Pour qui
- Les entreprises qui veulent que certains développeurs vérifient la sécurité du code avant le merge.
- Les équipes sécurité qui font évoluer un développeur ou un ingénieur junior vers un poste en sécurité applicative.
- Les équipes qui veulent une formation sécurité pour développeurs au rythme de chacun et construite autour de leurs propres langages et frameworks.
Ce que vous saurez faire
- Des ingénieurs capables de suivre une entrée non fiable dans une base de code comme la vôtre et de repérer les failles d’authentification, d’autorisation et de flux de données.
- Des vulnérabilités rédigées comme les développeurs les acceptent : emplacement, cause racine, preuves et correctif.
- L’habitude d’examiner avant le merge les modifications sensibles pour la sécurité et celles générées par l’IA.
- Une formation au rythme de chaque ingénieur, pour qu’un développeur senior et un junior reçoivent chacun ce dont ils ont besoin.
Prérequis
- Chaque ingénieur remplit les prérequis de la formation choisie et peut suivre une formation en anglais (ou en arabe s’il est arabophone) ; l’évaluation initiale le confirme.
- Un interlocuteur dans votre entreprise pour le périmètre et le planning.
- Du temps réservé pour les séances et pour les exercices entre elles.
Fonctionnement
Quatre étapes. Chaque ingénieur suit son propre parcours.
CadrageConvenez de qui est formé, dans quelle formation et vers quel objectif.
- Quels ingénieurs, et quelle formation : revue de code sécurisé ou test d’intrusion web et API
- Les langages et frameworks utilisés par votre équipe
- Les objectifs de chaque ingénieur
- Langue et planning
Évaluation initialeÉtablissez le point de départ de chaque ingénieur.
- Une courte évaluation pratique
- Un parcours pour chaque ingénieur : ordre, profondeur et rythme
- Validé avant le début de la formation
Séances individuellesChaque ingénieur travaille avec moi en individuel.
- Des séances en direct et en ligne qui suivent le programme de la formation
- Des labs et des exercices entre les séances, adaptés à son niveau
- Des exemples dans les langages de votre équipe lorsque c’est possible
- Un point sur la progression à chaque séance
Évaluation finaleChaque ingénieur montre ce qu’il sait faire en autonomie.
- La revue en autonomie d’une application conçue pour la formation
- Un rapport de vulnérabilités que nous passons en revue ensemble
- Une attestation de fin de formation en cas de réussite
Travaux pratiques
Des labs conçus pour la formation
Des applications et des exercices que j’ai préparés, avec des failles documentées, exécutés sur la machine de chaque ingénieur.
Les langages de votre équipe
Lorsque la formation le permet, les exemples et les exercices utilisent les langages et frameworks de vos ingénieurs.
Une correction personnelle
Je corrige les exercices et le rapport final de chaque ingénieur, et nous les passons en revue pendant les séances.
Évaluation finale
Évaluation finale de chaque ingénieur
Chaque ingénieur examine seul une application conçue pour la formation et rédige un rapport de vulnérabilités, que je passe en revue avec lui.
Critères d’évaluation
- Des vulnérabilités confirmées avec preuves
- Une cause racine correcte
- Un raisonnement solide sur la criticité
- Des correctifs qui traitent la cause
Ce qui distingue cette formation
Un ingénieur, un formateur
Chaque ingénieur travaille avec moi en individuel, selon son propre planning.
Un rythme propre à chacun
Un ingénieur senior et une nouvelle recrue suivent des parcours différents, construits à partir du même programme.
En anglais, ou en arabe
Chaque ingénieur est formé en anglais, ou en arabe s’il est arabophone, ce qui convient aux équipes internationales.
Outils utilisés
Normes et références
- OWASP Code Review Guide
- OWASP Application Security Verification Standard (ASVS)
- NIST SP 800-218, Secure Software Development Framework
- OWASP Cheat Sheet Series
Études de cas à lire dès maintenant
- Revue de code sécurité ou test d’intrusion : que faut-il commander ?
- Compromission d’axios sur npm : comment la chaîne de confiance a cédé
- Confusion d’algorithme dans fast-jwt : corrigée à la troisième tentative
Questions sur cette formation
Cela aide-t-il à répondre aux exigences de la NCA en Arabie saoudite ?
Le modèle de norme de développement sécurisé de l’Autorité nationale de cybersécurité saoudienne (NCA) prévoit une formation au développement sécurisé pour les développeurs. La formation individuelle de vos développeurs soutient cette pratique. Ce n’est ni un audit ni une certification, et c’est à votre équipe conformité de décider comment la consigner.
Peut-on former plusieurs ingénieurs ?
Oui. Chaque ingénieur est formé en individuel, avec son propre parcours et son propre planning. Plusieurs ingénieurs peuvent être couverts par un seul accord avec votre entreprise.
Les exercices peuvent-ils porter sur notre propre code ?
La formation utilise des labs que je prépare pour elle. Si vous souhaitez des exemples tirés de votre propre code, dites-le-moi ; ce type de demande est discuté et convenu par écrit au préalable.
Une partie de la formation se fait-elle en présentiel ?
Non. Toute la formation se fait en ligne.
Comment le prix est-il fixé ?
1 890 USD par ingénieur pour une formation. Plusieurs ingénieurs peuvent être couverts par un seul accord, formalisé dans une proposition écrite avant le début de la formation.
Pour aller plus loin
Les ingénieurs qui terminent une formation peuvent poursuivre avec l’autre.