Cyber Shelf

// Comparaison

Alice and Bob Learn Application Security vs The Pragmatic Programmer : lequel lire ?

Deux livres de cybersécurité sur Foundations, comparés honnêtement : à qui s'adresse chacun, ce que chacun fait de mieux, et lequel lire en premier.

Débutant
4/52020
Alice and Bob Learn Application Security

Tanya Janca

Le primer AppSec hands-on de Tanya Janca couvrant threat modeling, design sécurisé, code sécurisé, tests, déploiement et le côté social de la conduite d'un programme AppSec — à travers une structure narrative et amicale.

Débutant
5/52019
The Pragmatic Programmer

Your Journey to Mastery

David Thomas, Andrew Hunt

L'ensemble d'heuristiques pratiques de Thomas et Hunt pour écrire du logiciel professionnellement — orthogonalité, broken-windows, DRY, tracer bullets, et l'argument sous-jacent que le craftsmanship est une posture, pas un processus.

À lire si

Développeurs logiciel, ingénieurs AppSec junior et champions sécurité qui ont besoin d'un livre unique et amical couvrant le cycle de vie AppSec sans supposer de connaissance sécurité. Excellent comme premier livre à donner à un développeur à qui on demande de mener l'AppSec pour son équipe.
Tout ingénieur logiciel en activité, quelle que soit l'expérience. L'édition 20e anniversaire est la version la plus actuelle du livre le plus cité du champ sur le développement logiciel professionnel ; les ingénieurs sécurité en bénéficient parce que la plupart des défaillances sécurité sont des défaillances de qualité logicielle déguisées.

À éviter si

Professionnels AppSec senior qui ont déjà le cycle de vie intériorisé ; le livre est un primer par design. Aussi relativement léger sur les spécificités AppSec cloud-native (scan IaC, attestation supply-chain), que les écrits ultérieurs de Janca couvrent plus profondément.
Lecteurs voulant de la profondeur spécifique au domaine (sécurité, ML, systèmes distribués) ; le livre est délibérément général. Pas un livre de méthodologie non plus — Thomas et Hunt sont anti-méthodologie en esprit et explicitement dans le texte.

Points clés

  • L'AppSec est une discipline de cycle de vie, pas une discipline de scan ; la structure de Janca fait l'argument en parcourant chaque étape avec des exemples concrets.
  • La plupart des gains AppSec viennent du design sécurisé et du travail relations-développeurs, pas de trouver plus de bugs en fin de SDLC.
  • Le ton du livre est sa force sous-estimée — beaucoup de développeurs finiront ce livre ; très peu finiront un manuel AppSec plus formel.
  • La plupart des défauts de sécurité sont des défauts de qualité logicielle ; le livre enseigne les fondations qui rendent possible l'écriture de code sûr.
  • La liste d'heuristiques est plus courte que le livre — 100 tips sur une carte — mais c'est la prose qui les fait coller.
  • Les mises à jour de la 20e (concurrence, pensée déclarative, observabilité) sont les parties qui justifient la nouvelle édition pour quelqu'un qui a lu l'originale.

Comment ils se comparent

Nous notons The Pragmatic Programmer plus haut (5/5 contre 4/5 pour Alice and Bob Learn Application Security). Pour la plupart des lecteurs, The Pragmatic Programmer est le choix principal et Alice and Bob Learn Application Security un complément utile.

Les deux livres ciblent un public de niveau débutant : le choix se fait sur la thématique, pas la difficulté.

Alice and Bob Learn Application Security et The Pragmatic Programmer couvrent tous les deux Foundations : les lire dans l'ordre renforce les mêmes notions sous des angles différents.

Continuer la lecture

Alice and Bob Learn Application Security

→ Alternatives à Alice and Bob Learn Application Security→ Que lire après Alice and Bob Learn Application Security

The Pragmatic Programmer

→ Alternatives à The Pragmatic Programmer→ Que lire après The Pragmatic Programmer

Thématiques liées

Foundations