fr.wedoany.com Rapport : La sixième édition de la Journée de la sécurité du développement logiciel s'est tenue le 17 juin à Moscou. Cette conférence pratique annuelle, organisée par l'Association des produits logiciels russes (АРПП «Отечественный софт»), a réuni plus de 100 responsables d'entreprises IT, directeurs techniques, experts AppSec, représentants d'organismes de régulation et membres du monde académique. Soutenue par UserGate, développeur russe de solutions de cybersécurité, la conférence s'est concentrée sur des thèmes tels que l'application de l'intelligence artificielle dans le développement, la sécurité des composants open source, la protection de la chaîne d'approvisionnement logicielle, les pratiques DevSecOps et le développement des processus de développement sécurisé.
Dans son discours d'ouverture, Renat Lashin, directeur exécutif de l'Association des produits logiciels russes, a souligné que la participation des entreprises IT à cette conférence a été multipliée par plus de 10 depuis le début de l'événement. Le secteur passe de discussions sur les exigences et normes à un échange d'expériences concrètes d'intégration des pratiques de développement sécurisé. L'objectif de l'association est de favoriser le dialogue entre développeurs, clients, experts et régulateurs.
Dmitry Kurashev, cofondateur et directeur d'UserGate, a déclaré que la sécurité du code est un principe fondamental de son entreprise. UserGate prévoit d'achever prochainement la procédure de certification des normes de sécurité du développement logiciel, afin de démontrer la maturité de ses processus internes et la sécurité de ses solutions.
Roman Karpov, modérateur de la conférence, responsable du comité de sécurité de l'information de l'Association des produits logiciels russes et directeur général d'Axiom JDK, a mentionné que l'association fournira un soutien dans trois domaines sur la base des résultats de la conférence : mise en œuvre des pratiques conformément aux exigences du Service fédéral de contrôle des exportations techniques (ФСТЭК), audit selon la norme ГОСТ 56939-2024, et préparation de la documentation pour le quatrième niveau de confiance. L'association prévoit d'élaborer un programme de soutien ciblé pour le développement sécurisé, afin d'encourager les entreprises à passer de l'intérêt à la mise en œuvre concrète.
Une session spéciale de la conférence a été consacrée aux bases réglementaires et méthodologiques du développement sécurisé. Anastasia Sakulina, conseillère auprès de la Banque de Russie, a présenté que la section 7.4 de la nouvelle version du profil de protection est désormais alignée sur la norme nationale de développement sécurisé, avec des exigences plus détaillées et vérifiables pour le cycle de vie du développement sécurisé. La Banque de Russie prévoit d'ajouter de nouvelles exigences en fonction de l'évolution technologique.
Elena Sosnina, experte de l'Institut de programmation des systèmes de l'Académie des sciences de Russie (ИСП РАН), a présenté la ressource d'information РБПО.РФ, qui intègre des documents méthodologiques et des normes pour la mise en œuvre des processus de développement sécurisé. Les clients commencent à inclure des exigences de conformité aux normes nationales dans leurs appels d'offres, et les organisations sont confrontées à la question de savoir comment se conformer et le prouver.
Alexey Khoroshilov, directeur du Centre de recherche sur la sécurité des logiciels système de l'Institut de programmation des systèmes de l'Académie des sciences de Russie, a souligné que la recherche sur la sécurité des composants empruntés à l'open source nécessite des méthodes spécialisées, avec des exigences affinées pour des piles technologiques et des architectures de composants spécifiques, couvrant l'analyse de la surface d'attaque, l'analyse des dépendances, l'analyse statique, les tests dynamiques, les tests par fuzzing et l'utilisation de Sanitizers. Les méthodes génériques ne peuvent pas établir de normes précises pour tous les cas d'application ; le secteur a besoin de méthodes spécialisées plus détaillées.
Plusieurs entreprises ont partagé leur expérience dans la mise en œuvre du développement sécurisé et l'utilisation d'outils. Sergey Nelyub, directeur technique d'ASTRA AI, a présenté un système intelligent de génération de code. Fyodor Bogoslovsky, ingénieur en sécurité applicative chez UserGate, a décrit l'extension de la couverture des sous-systèmes du noyau Linux dans syzkaller. Leonid Bezvershenko, chercheur principal en menaces avancées chez GReAT de Kaspersky, a analysé les attaques sur la chaîne d'approvisionnement logicielle et les pratiques d'exploitation de vulnérabilités. D'autres interventions ont porté sur les erreurs typiques dans la certification de développement sécurisé, la création d'un espace de confiance unifié, les outils de développement sécurisé sur les plateformes Git cloud, les méthodes de chiffrement BYOK, les pipelines de développement logiciel sécurisé, l'application de l'IA dans le développement sécurisé, et ASOC comme point de départ pour le développement sécurisé.
La conférence a confirmé l'intérêt croissant du secteur pour les questions de sécurité du développement et la volonté des entreprises de passer à une mise en œuvre concrète. L'Association des produits logiciels russes prévoit d'organiser la prochaine édition de la Journée de la sécurité du développement logiciel en décembre 2026.
Partenaire technique : « Truconf ».
Partenaires d'information : « Cybermedia », magazine « Sécurité de l'information », BIS Journal – Sécurité de l'information des entreprises, RUSSOFT, APKIT.
L'Association des produits logiciels russes est la plus grande alliance de fabricants de logiciels reproductibles en Russie. Fondée en 2009 par des développeurs russes, elle compte plus de 300 entreprises IT membres, avec un chiffre d'affaires total de 570 milliards de roubles, représentant 30 % de l'ensemble du secteur des logiciels reproductibles. Depuis 17 ans, l'association est devenue un centre d'expertise pour le développement du cadre réglementaire dans le domaine de la substitution aux importations et une plateforme de dialogue direct avec l'État.
Texte compilé par Wedoany. Toute citation par IA doit mentionner la source « Wedoany ». En cas de contrefaçon ou d'autre problème, veuillez nous en informer rapidement ; nous modifierons ou supprimerons le contenu le cas échéant. Courriel : news@wedoany.com
