Introduction
Les dirigeants de la sécurité partagent souvent le même soupçon : il y a des vulnérabilités dans notre base de code que nous ne connaissons pas. La vérité est que la plupart du code ne fait jamais l'objet d'une revue de sécurité approfondie. Les vulnérabilités s'accumulent discrètement dans les référentiels actifs, à travers les langages et les équipes, souvent non détectées jusqu'à ce que quelque chose se passe mal.
Contexte Technique
Aujourd'hui, GitHub introduit l'évaluation des risques de sécurité de code, un scan gratuit en un clic qui révèle les vulnérabilités cachées dans le code de votre organisation. Cette évaluation utilise CodeQL, le moteur d'analyse statique de pointe de GitHub, et fournit un tableau de bord résumant les résultats. L'évaluation est disponible pour les administrateurs d'organisation et les gestionnaires de la sécurité sur GitHub Enterprise Cloud et GitHub Team.
Analyse et Implications
L'évaluation des risques de sécurité de code peut aider les équipes à aligner leurs efforts sur les risques existants et à déterminer ce qu'il faut corriger en premier. Les résultats de l'évaluation peuvent également aider à justifier l'utilisation de produits tels que Secret Protection et Code Security pour protéger les informations d'identification et corriger les vulnérabilités. De plus, GitHub Code Security et Copilot Autofix peuvent aider à réduire les risques en corrigeant les vulnérabilités détectées.
Perspective
Il est essentiel de surveiller les vulnérabilités de code et de prendre des mesures pour les corriger. L'évaluation des risques de sécurité de code de GitHub est un outil gratuit et facile à utiliser qui peut aider les organisations à améliorer leur posture de sécurité. Il est important de noter que la connaissance des vulnérabilités est le premier pas, mais que la correction de ces vulnérabilités est ce qui réduit réellement les risques. Les organisations doivent être proactives dans la gestion de leurs risques de sécurité et utiliser des outils tels que l'évaluation des risques de sécurité de code pour améliorer leur sécurité.
