Analyse révélatrice : 81 % des entreprises choisissent de publier du code présentant des failles de sécurité

Une étude récente met en lumière un phénomène alarmant dans le secteur technologique. Malgré une prise de conscience croissante des enjeux liés à la sécurité des applications, 81 % des entreprises admettent publier du code qui présente des failles de sécurité. Ce constat soulève des questions cruciales sur la façon dont les organisations intègrent la sécurité dans leurs pratiques de développement, tout en mettant en évidence la nécessité d’une réflexion plus profonde sur l’impact des nouvelles technologies, telles que l’intelligence artificielle (IA).

Le fossé entre adoption technologique et sécurité

Les résultats d’une étude réalisée entre 2023 et 2025 auprès de plus de 4 500 professionnels de la technologie révèlent un décalage préoccupant entre l’adoption rapide de nouvelles technologies et la capacité des entreprises à sécuriser leurs applications. Cette enquête, menée par Censuswide et publiée par Checkmarx, souligne le fait que malgré une meilleure conscience des risques, la majorité des entreprises choisissent de sacrifier la sécurité sur l’autel de la rapidité.

Un des aspects marquants de cette étude est la montée du Shadow AI, qui fait référence à l’utilisation non réglementée d’outils d’intelligence artificielle par les développeurs. Cette pratique laisse de côté des directives claires sur l’utilisation des technologies, accentuant un manque de traçabilité dans la provenance du code généré. Conséquemment, les vulnérabilités peuvent se multiplier sans que les équipes de sécurité ne puissent suivre leur cheminement, exacerbant significativement la marge d’erreur dans le développement.

Les principaux défis liés à l’intégration de l’IA dans le développement

Avec l’émergence de l’IA comme moteur de développement, les défis de sécurité prennent une nouvelle dimension. Un tiers des développeurs penche vers un usage d’IA qui génère plus de 60 % de leur code, misant sur l’accélération des cycles de production sans les garde-fous nécessaires. Or, la plupart des entreprises n’ont pas encore établi de cadre strict concernant l’utilisation des outils d’IA.

• Problèmes de traçabilité : L’absence de documentation claire rend difficile l’identification et la correction des failles.
• Pression sur les délais : Les développeurs ressentent une pression croissante pour livrer rapidement, poussant souvent la sécurité à être perçue comme un obstacle.
• Culture du « patch later » : Une approche se développe, où les entreprises choisissent de déployer le code dans un premier temps et d’apporter des corrections après coup.

Ces défis n’ont pas seulement des implications techniques, mais également des conséquences sur la confiance des clients et la réputation des entreprises.

Les implications de ces pratiques sont multiples et sérieuses. Une coordination insuffisante entre les développeurs et les équipes de sécurité se traduit par une accumulation de vulnérabilités qui pourraient être évitées. Cela résonne comme un appel à une réforme systémique de la culture de développement des entreprises, où la sécurité devrait être une priorité intégrée dès les phases initiales du développement.

Une culture d’acceptation des risques

Il est essentiel de comprendre que 81 % des organisations ne considèrent plus la sécurité comme une priorité absolue. Ce phénomène relève véritablement d’une culture d’acceptation des risques, où les failles de sécurité deviennent une conséquence inévitable et envisageable des compromis que les équipes de développement sont prêtes à faire. L’étude révèle que près d’un tiers des développeurs espèrent que des vulnérabilités passeraient inaperçues une fois le code en production.

Les raisons sous-jacentes à cette acceptation incluent la pression commerciale pour livrer rapidement et la perception que les outils d’automatisation des menaces peuvent gérer les vulnérabilités. Ainsi, le dilemme persistant entre la rapidité de livraison et la sécurité se traduit par un cercle vicieux, où les attaques exploitent ces failles presque instantanément après la mise en production.

Les impacts à long terme de cette approche

Adopter cette culture d’acceptation des risques peut entraîner des conséquences désastreuses. Non seulement les entreprises risquent de perdre la confiance de leurs utilisateurs et partenaires, mais elles font également face à des coûts croissants liés à la correction des failles après les incidents.

• Confiance des clients : Les atteintes à la sécurité nuisent à la perception de la marque.
• Coûts de correction : Les entreprises doivent débourser des sommes significatives pour réparer les dommages causés.
• Impacts sur la compétitivité : Les organisations peuvent être désavantagées par rapport à des concurrents plus axés sur la sécurité.

La mise en péril de la sécurité numérique laisse présager une dette technique qui peut perdurer, freinant l’innovation et le développement futur des entreprises. De nouvelles approches et méthodes s’imposent pour renverser cette tendance.

Des outils de sécurité sous-utilisés

Alors que de nombreux outils de sécurité sont disponibles, moins de la moitié des entreprises intègrent activement des solutions éprouvées telles que le Dynamic Application Security Testing (DAST) ou le scanning d’Infrastructure-as-Code. Ce décalage crée un faux sentiment de sécurité, empêchant de traiter les vraies menaces présentes dans le code généré.

Les résultats des recherches indiquent que, malgré la présence d’outils de sécurité, les entreprises peinent à les mettre en œuvre dans leurs pratiques dev sur le terrain. Cela entraîne une fragmentation dans la gestion des alertes de sécurité, où chaque solution remonte ses propres notifications sans vision unifiée des menaces, ce qui provoque une saturation d’informations pour les équipes techniques.

Ressources disponibles et recommandations

Dans ce contexte, il est fondamental que les entreprises prennent le temps d’évaluer et de mettre en place les outils de sécurité nécessaires pour renforcer leur posture de sécurité. Les exemples incluent :

• DAST : Pour détecter les failles en temps réel lors des tests d’application.
• Scanning d’Infrastructure-as-Code : Identifier les problèmes potentiels avant déploiement.
• Tests de sécurité API : Pour garantir que les API restent fermement sécurisées.

Ces technologies matures restent encore sous-exploitées, créant un paradoxe où les solutions pour sécuriser le code sont disponibles mais ne sont pas appliquées de manière adéquate, laissant les entreprises vulnérables aux attaques.

Bridger le fossé entre équipes de développement et de sécurité

La communication et la collaboration entre les équipes de développement et de sécurité sont cruciales pour remédier à cette situation. Le rapport révèle un schisme croissant entre les développeurs et les responsables de la sécurité, illustrant le fait que les perceptions de l’état de sécurité varient considérablement selon les fonctions. Alors que les développeurs estiment souvent faire leur part dans la correction des failles, la réalité est différente aux yeux des équipes de sécurité.

Le chiffre doit alerter : seulement 7 % des responsables de sécurité croient que presque toutes les vulnérabilités sont corrigées par les développeurs, contrastant fortement avec l’opinion de nombreux développeurs. Cela souligne l’importance d’un cadre de travail commun et d’outils partagés pour créer une synergie productive.

Recommandations pour favoriser la synergie

La mise en place d’un processus collaboratif peut considérablement améliorer la posture de sécurité d’une entreprise. Les recommandations incluent :

• Établir des tableaux de bord communs : Pour que chaque équipe puisse partager les mêmes données et priorités.
• Organiser des sessions de formation : Mobiliser les équipes autour des enjeux de sécurité des applications.
• Utiliser des outils intégrés : Pour réduire la fragmentation et améliorer la visibilité des alertes de sécurité.

Ces mesures contribueront à créer un environnement où la sécurité est considérée comme une responsabilité collective, intégrée dans chaque phase du développement. L’avenir de la cybersécurité dépendra de la capacité des entreprises à franchir cette étape cruciale et à unir leurs forces pour un développement plus sûr.