Les métiers de la sécurité applicative partagent un objectif commun : garantir que les logiciels conçus et exploités par une organisation sont pensés, écrits et livrés avec la sécurité à l'esprit. Plutôt que de tester les systèmes de l'extérieur une fois qu'ils existent, ces professionnels travaillent au plus près du processus de développement, aidant les équipes à empêcher l'introduction de faiblesses dans le code et à réduire le coût de correction de celles qui s'y glissent. Leur valeur vient de la façon dont ils influencent la fabrication des logiciels, et non seulement de l'inspection du résultat final.
Bien que ces métiers soient liés, ils se distinguent par leur position le long du cycle de vie du logiciel et par la proximité de leur collaboration avec les équipes d'ingénierie. Certains se concentrent sur le code lui-même, d'autres sur les plateformes et les chaînes qui le livrent, et d'autres encore sur la culture et les pratiques qui maintiennent la sécurité présente dans le travail quotidien. Les pages situées sous cette section décrivent chaque métier à tour de rôle, avec ses responsabilités habituelles, les compétences sur lesquelles il s'appuie et la manière dont il se connecte au développement, aux opérations et au programme de sécurité plus large.
L'ingénieur en sécurité applicative est un spécialiste polyvalent qui aide les équipes de développement à identifier et à corriger les faiblesses tout au long du cycle de vie, en combinant analyse, outillage et accompagnement. Le relecteur de code sécurisé se concentre plus étroitement sur l'examen du code source, manuellement ou à l'aide d'outils, afin de trouver les failles de logique, de traitement des données et de frontières de confiance avant qu'elles n'atteignent la production. L'ingénieur en sécurité produit adopte une vision centrée sur le produit, en travaillant aux côtés d'une équipe ou d'une gamme de produits précise pour intégrer la sécurité dans ses décisions de conception et dans sa feuille de route.
Deux autres métiers étendent la sécurité à la livraison et à l'organisation. L'ingénieur DevSecOps intègre des contrôles de sécurité et des vérifications automatisées dans les chaînes d'intégration et de livraison continues, de sorte que les tests et l'application des politiques fassent naturellement partie de la construction et de la mise en production des logiciels. Le security champion est généralement un développeur intégré à une équipe d'ingénierie, qui promeut les pratiques sécurisées et joue le rôle de point de contact local reliant l'équipe à la fonction sécurité plus large.
Les carrières dans ce domaine suivent rarement une trajectoire unique. De nombreux praticiens passent d'un de ces métiers à l'autre au fil du temps, et les frontières varient d'une organisation à l'autre selon la taille des équipes, la technologie et la maturité. Lire chaque page en parallèle de ce panorama aide un professionnel à voir où se situent ses intérêts et comment ces métiers se complètent entre eux et complètent le travail d'ingénierie qu'ils accompagnent.