![<\/a><\/div>\nLes pratiques traditionnelles de s\u00e9curit\u00e9 des applications ne sont pas efficaces dans le monde DevOps moderne. Lorsque les analyses de s\u00e9curit\u00e9 sont ex\u00e9cut\u00e9es uniquement \u00e0 la fin du cycle de vie de livraison du logiciel (soit juste avant, soit apr\u00e8s le d\u00e9ploiement d’un service), le processus de compilation et de correction des vuln\u00e9rabilit\u00e9s qui s’ensuit cr\u00e9e une surcharge consid\u00e9rable pour les d\u00e9veloppeurs. Des frais g\u00e9n\u00e9raux qui d\u00e9gradent la v\u00e9locit\u00e9 et mettent en p\u00e9ril les d\u00e9lais de production.<\/p>\nLa pression r\u00e9glementaire visant \u00e0 garantir l\u2019int\u00e9grit\u00e9 de tous les composants logiciels s\u2019intensifie \u00e9galement de mani\u00e8re spectaculaire. Les applications sont cr\u00e9\u00e9es avec un nombre croissant de composants logiciels open source (OSS) et d’autres artefacts tiers, chacun pouvant introduire de nouvelles vuln\u00e9rabilit\u00e9s dans l’application. Les attaquants cherchent \u00e0 exploiter les vuln\u00e9rabilit\u00e9s de ces composants, ce qui met \u00e9galement en danger les utilisateurs du logiciel.<\/p>\nLes logiciels repr\u00e9sentent la plus grande surface d\u2019attaque sous-trait\u00e9e \u00e0 laquelle les organisations sont confront\u00e9es. Quelques statistiques int\u00e9ressantes \u00e0 dig\u00e9rer :<\/p>\n\nPlus de 80\u00a0% des vuln\u00e9rabilit\u00e9s logicielles sont introduites via des logiciels open source (OSS) et des composants tiers.<\/li>\nLes attaques contre la cha\u00eene d\u2019approvisionnement num\u00e9rique deviennent de plus en plus agressives, sophistiqu\u00e9es et diversifi\u00e9es. D\u2019ici 2025, 45 % des organisations en auront v\u00e9cu au moins un. (Gartner)<\/li>\nLe co\u00fbt total des cyberattaques contre la cha\u00eene d\u2019approvisionnement logicielle contre les entreprises d\u00e9passera 80,6 milliards de dollars \u00e0 l\u2019\u00e9chelle mondiale d\u2019ici 2026, contre 45,8 milliards de dollars en 2023 (Juniper Research)<\/li>\n<\/ul>\nL’environnement de menace actuel, associ\u00e9 \u00e0 la volont\u00e9 de fournir des applications plus rapidement, oblige les organisations \u00e0 int\u00e9grer la s\u00e9curit\u00e9 tout au long du cycle de vie du d\u00e9veloppement logiciel de mani\u00e8re \u00e0 ne pas d\u00e9grader la productivit\u00e9 des d\u00e9veloppeurs. Cette pratique est officiellement connue sous le nom de DevSecOps.<\/p>\nFournir des logiciels s\u00e9curis\u00e9s \u2013 r\u00e9sultat d\u2019un programme DevSecOps efficace \u2013 est une entreprise colossale. Cela n\u00e9cessite des changements culturels importants dans plusieurs fonctions pour favoriser le partage des responsabilit\u00e9s, la collaboration, la transparence et une communication efficace. Cela n\u00e9cessite \u00e9galement un ensemble appropri\u00e9 d\u2019outils et de technologies, ainsi que l\u2019utilisation de l\u2019automatisation et de l\u2019IA pour s\u00e9curiser les applications au rythme de leur d\u00e9veloppement. Mis en \u0153uvre correctement, DevSecOps devient un facteur de succ\u00e8s majeur dans la fourniture de logiciels s\u00e9curis\u00e9s. <\/p>\nAlors, qu\u2019est-ce que DevSecOps ?<\/strong><\/h2>\nDevSecOps, abr\u00e9viation de d\u00e9veloppement, s\u00e9curit\u00e9 et op\u00e9rations, est une approche du d\u00e9veloppement logiciel qui int\u00e8gre les pratiques de s\u00e9curit\u00e9 tout au long du cycle de vie du d\u00e9veloppement logiciel. Il met l’accent sur la collaboration et la communication entre les \u00e9quipes de d\u00e9veloppement, les \u00e9quipes de s\u00e9curit\u00e9 et les \u00e9quipes d’exploitation pour garantir que la s\u00e9curit\u00e9 est int\u00e9gr\u00e9e \u00e0 chaque \u00e9tape du processus de d\u00e9veloppement logiciel.<\/p>\nDans le contexte des pipelines de d\u00e9veloppement logiciel, DevSecOps vise \u00e0 \u00ab d\u00e9placer la s\u00e9curit\u00e9 vers la gauche \u00bb, ce qui signifie essentiellement le plus t\u00f4t possible dans le processus de d\u00e9veloppement. Tr\u00e8s franchement, cela implique d\u2019int\u00e9grer d\u00e8s le d\u00e9but des pratiques et des outils de s\u00e9curit\u00e9 dans le pipeline de d\u00e9veloppement. Ce faisant, la s\u00e9curit\u00e9 devient une partie int\u00e9grante du processus de d\u00e9veloppement logiciel plut\u00f4t qu’un module compl\u00e9mentaire avanc\u00e9.<\/p>\nCette approche permet aux organisations d’identifier et de r\u00e9soudre plus facilement les vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 d\u00e8s le d\u00e9but, et de respecter les obligations r\u00e9glementaires. Il est \u00e9galement important de noter que DevSecOps repose sur une culture de collaboration et de responsabilit\u00e9 partag\u00e9e. Il brise les silos et encourage les \u00e9quipes interfonctionnelles \u00e0 travailler ensemble vers un objectif commun : cr\u00e9er des applications plus s\u00e9curis\u00e9es \u00e0 grande vitesse. <\/p>\nPrincipes directeurs pour la fourniture de logiciels s\u00e9curis\u00e9s <\/strong><\/h2>\n\u00c0 un niveau \u00e9lev\u00e9, cr\u00e9er et ex\u00e9cuter un programme DevSecOps efficace signifie que votre organisation est capable d’exploiter une plate-forme de livraison s\u00e9curis\u00e9e, de tester les vuln\u00e9rabilit\u00e9s logicielles, de prioriser et de corriger les vuln\u00e9rabilit\u00e9s, d’emp\u00eacher la publication de code non s\u00e9curis\u00e9 et de garantir l’int\u00e9grit\u00e9 des logiciels et de tout. de ses artefacts. Vous trouverez ci-dessous des descriptions d\u00e9taill\u00e9es des \u00e9l\u00e9ments et des capacit\u00e9s requises pour mettre en \u0153uvre une pratique DevSecOps r\u00e9ussie.<\/p>\n\u00c9tablir une culture collaborative qui fait de la s\u00e9curit\u00e9 une responsabilit\u00e9 partag\u00e9e<\/h3>\nLe succ\u00e8s de toute pratique DevSecOps est r\u00e9ellement entre les mains de ses parties prenantes, donc avant de se lancer dans l’acquisition, la configuration et le d\u00e9ploiement de nouveaux outils et technologies,<\/p>\nSi votre organisation cr\u00e9e, vend ou utilise des logiciels (ce qui est aujourd’hui le cas de toutes les organisations imaginables sur la plan\u00e8te), alors chaque employ\u00e9 a un impact sur la posture de s\u00e9curit\u00e9 globale, et pas seulement ceux dont le titre contient le mot \u00ab s\u00e9curit\u00e9 \u00bb. \u00c0 la base, DevSecOps est une culture de responsabilit\u00e9 partag\u00e9e, et fonctionner avec un \u00e9tat d’esprit commun ax\u00e9 sur la s\u00e9curit\u00e9 d\u00e9termine dans quelle mesure les processus DevSecOps s’int\u00e8grent et peuvent conduire \u00e0 une meilleure prise de d\u00e9cision lors du choix des plates-formes, des outils et des solutions de s\u00e9curit\u00e9 individuelles DevOps.<\/p>\nLes mentalit\u00e9s ne changent pas du jour au lendemain, mais l\u2019alignement et un sentiment de responsabilit\u00e9 en mati\u00e8re de s\u00e9curit\u00e9 peuvent \u00eatre obtenus gr\u00e2ce aux \u00e9l\u00e9ments suivants\u00a0: <\/p>\n\nEngagement \u00e0 suivre des formations internes r\u00e9guli\u00e8res en mati\u00e8re de s\u00e9curit\u00e9, adapt\u00e9es au DevSecOps, qui incluent les d\u00e9veloppeurs, les ing\u00e9nieurs DevOps et les ing\u00e9nieurs en s\u00e9curit\u00e9. Les lacunes et les besoins en mati\u00e8re de comp\u00e9tences ne doivent pas \u00eatre sous-estim\u00e9s. <\/li>\nAdoption par les d\u00e9veloppeurs de m\u00e9thodologies et de ressources de codage s\u00e9curis\u00e9es <\/li>\nL’ing\u00e9nierie de s\u00e9curit\u00e9 contribue \u00e0 l’architecture des applications et de l’environnement, ainsi qu’aux revues de conception. Il est toujours plus facile d’identifier et de r\u00e9soudre les probl\u00e8mes de s\u00e9curit\u00e9 d\u00e8s le d\u00e9but du cycle de vie du d\u00e9veloppement logiciel. <\/li>\n<\/ul>\nBrisez les silos fonctionnels et collaborez en continu<\/h3>\n\u00c9tant donn\u00e9 que DevSecOps est le r\u00e9sultat de la confluence du d\u00e9veloppement logiciel, des op\u00e9rations informatiques et de la s\u00e9curit\u00e9, briser les silos et collaborer activement et de mani\u00e8re continue est essentiel au succ\u00e8s. En r\u00e8gle g\u00e9n\u00e9rale, les organisations centr\u00e9es sur DevOps et fonctionnant sans aucun cadre DevSecOps formel voient la s\u00e9curit\u00e9 entrer en sc\u00e8ne comme un crash ind\u00e9sirable. <\/p>\nLes changements de processus ou les outils impos\u00e9s soudainement (par opposition \u00e0 ceux choisis et instanci\u00e9s de mani\u00e8re collaborative) entra\u00eenent invariablement des frictions dans le pipeline de d\u00e9veloppement et un travail inutile pour les d\u00e9veloppeurs. Un sc\u00e9nario courant implique que la s\u00e9curit\u00e9 impose des contr\u00f4les de s\u00e9curit\u00e9 suppl\u00e9mentaires des applications sans tenir compte de leur placement dans le pipeline ou de la charge de travail requise pour traiter les r\u00e9sultats du scanner et corriger les vuln\u00e9rabilit\u00e9s, ce qui incombe in\u00e9vitablement aux d\u00e9veloppeurs.<\/p>\n\nFavoriser la collaboration et fonctionner en tant qu\u2019\u00e9quipe DevSecOps coh\u00e9rente implique\u00a0: <\/li>\nD\u00e9finir et convenir d’un ensemble d’objectifs de s\u00e9curit\u00e9 mesurables, tels que le temps moyen de rem\u00e9diation et le pourcentage de r\u00e9duction du bruit des alertes CVE. <\/li>\nImplication des d\u00e9veloppeurs de logiciels et des \u00e9quipes DevOps tout au long des processus d’\u00e9valuation et d’approvisionnement des nouveaux outils de s\u00e9curit\u00e9 <\/li>\nS’assurer qu’aucun processus DevSecOps n’a un seul contr\u00f4leur d’acc\u00e8s fonctionnel <\/li>\nOptimisation it\u00e9rative des choix d’outils et des pratiques de s\u00e9curit\u00e9 pour la productivit\u00e9 et la rapidit\u00e9 des d\u00e9veloppeurs<\/li>\n<\/ul>\nD\u00e9placer la s\u00e9curit\u00e9 vers la gauche<\/h3>\nLa mise en \u0153uvre de la s\u00e9curit\u00e9 Shift-Left est une \u00e9tape cruciale dans la s\u00e9curisation du code d\u2019application \u00e0 mesure qu\u2019il progresse dans les pipelines de d\u00e9veloppement. Cette approche implique l’int\u00e9gration des pratiques de s\u00e9curit\u00e9 d\u00e8s le d\u00e9but du cycle de vie du d\u00e9veloppement logiciel, d\u00e8s les premi\u00e8res \u00e9tapes de codage et tout au long du processus de d\u00e9veloppement et de d\u00e9ploiement. En d\u00e9pla\u00e7ant les tests de s\u00e9curit\u00e9 plus \u00e0 gauche, les organisations peuvent identifier et corriger les vuln\u00e9rabilit\u00e9s \u00e0 un stade pr\u00e9coce, r\u00e9duisant ainsi le risque de failles de s\u00e9curit\u00e9 et garantissant la fourniture d’applications s\u00e9curis\u00e9es.<\/p>\nLe d\u00e9placement r\u00e9ussi de la s\u00e9curit\u00e9 vers la gauche commence par l\u2019int\u00e9gration et l\u2019orchestration de diff\u00e9rents types d\u2019analyseurs de s\u00e9curit\u00e9 tout au long des pipelines de d\u00e9veloppement. Il existe plusieurs cat\u00e9gories de tests de s\u00e9curit\u00e9 des applications que les \u00e9quipes DevSecOps doivent adopter et utiliser afin de d\u00e9tecter et corriger les vuln\u00e9rabilit\u00e9s tout au long du cycle de vie du d\u00e9veloppement logiciel. Les techniques employ\u00e9es par chaque type de scanner de s\u00e9curit\u00e9 sont compl\u00e9mentaires. Ensemble, ils sont tr\u00e8s efficaces pour d\u00e9tecter les probl\u00e8mes de s\u00e9curit\u00e9 connus avant qu’une application n’entre en production. <\/p>\nComment commencer <\/strong><\/h2>\nSi vous souhaitez apprendre les principes fondamentaux de la livraison s\u00e9curis\u00e9e de logiciels, savoir qui doit \u00eatre impliqu\u00e9 et, en fin de compte, comment mettre en place une pratique DevSecOps hautement efficace, vous devez t\u00e9l\u00e9charger le Guide d\u00e9finitif pour la livraison s\u00e9curis\u00e9e de logiciels<\/a><\/em>. Nous fournirons un aper\u00e7u de ce qui est requis du point de vue des outils, des technologies et des processus pour fournir des logiciels plus s\u00e9curis\u00e9s et plus rapides. <\/p>\n<\/p>\nVous avez trouv\u00e9 cet article int\u00e9ressant ? Cet article est une contribution de l\u2019un de nos pr\u00e9cieux partenaires.<\/span> Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/Quest-ce-que-DevSecOps-et-pourquoi-est-il-essentiel-pour-la-fourniture.png\"){kind=link}
Les pratiques traditionnelles de s\u00e9curit\u00e9 des applications ne sont pas efficaces dans le monde DevOps moderne. Lorsque les analyses de s\u00e9curit\u00e9 sont ex\u00e9cut\u00e9es uniquement \u00e0 la fin du cycle de vie de livraison du logiciel (soit juste avant, soit apr\u00e8s le d\u00e9ploiement d’un service), le processus de compilation et de correction des vuln\u00e9rabilit\u00e9s qui s’ensuit cr\u00e9e une surcharge consid\u00e9rable pour les d\u00e9veloppeurs. Des frais g\u00e9n\u00e9raux qui d\u00e9gradent la v\u00e9locit\u00e9 et mettent en p\u00e9ril les d\u00e9lais de production.<\/p>\n
La pression r\u00e9glementaire visant \u00e0 garantir l\u2019int\u00e9grit\u00e9 de tous les composants logiciels s\u2019intensifie \u00e9galement de mani\u00e8re spectaculaire. Les applications sont cr\u00e9\u00e9es avec un nombre croissant de composants logiciels open source (OSS) et d’autres artefacts tiers, chacun pouvant introduire de nouvelles vuln\u00e9rabilit\u00e9s dans l’application. Les attaquants cherchent \u00e0 exploiter les vuln\u00e9rabilit\u00e9s de ces composants, ce qui met \u00e9galement en danger les utilisateurs du logiciel.<\/p>\n
Les logiciels repr\u00e9sentent la plus grande surface d\u2019attaque sous-trait\u00e9e \u00e0 laquelle les organisations sont confront\u00e9es. Quelques statistiques int\u00e9ressantes \u00e0 dig\u00e9rer :<\/p>\n
- \n
- Plus de 80\u00a0% des vuln\u00e9rabilit\u00e9s logicielles sont introduites via des logiciels open source (OSS) et des composants tiers.<\/li>\n
- Les attaques contre la cha\u00eene d\u2019approvisionnement num\u00e9rique deviennent de plus en plus agressives, sophistiqu\u00e9es et diversifi\u00e9es. D\u2019ici 2025, 45 % des organisations en auront v\u00e9cu au moins un. (Gartner)<\/li>\n
- Le co\u00fbt total des cyberattaques contre la cha\u00eene d\u2019approvisionnement logicielle contre les entreprises d\u00e9passera 80,6 milliards de dollars \u00e0 l\u2019\u00e9chelle mondiale d\u2019ici 2026, contre 45,8 milliards de dollars en 2023 (Juniper Research)<\/li>\n<\/ul>\n
L’environnement de menace actuel, associ\u00e9 \u00e0 la volont\u00e9 de fournir des applications plus rapidement, oblige les organisations \u00e0 int\u00e9grer la s\u00e9curit\u00e9 tout au long du cycle de vie du d\u00e9veloppement logiciel de mani\u00e8re \u00e0 ne pas d\u00e9grader la productivit\u00e9 des d\u00e9veloppeurs. Cette pratique est officiellement connue sous le nom de DevSecOps.<\/p>\n
Fournir des logiciels s\u00e9curis\u00e9s \u2013 r\u00e9sultat d\u2019un programme DevSecOps efficace \u2013 est une entreprise colossale. Cela n\u00e9cessite des changements culturels importants dans plusieurs fonctions pour favoriser le partage des responsabilit\u00e9s, la collaboration, la transparence et une communication efficace. Cela n\u00e9cessite \u00e9galement un ensemble appropri\u00e9 d\u2019outils et de technologies, ainsi que l\u2019utilisation de l\u2019automatisation et de l\u2019IA pour s\u00e9curiser les applications au rythme de leur d\u00e9veloppement. Mis en \u0153uvre correctement, DevSecOps devient un facteur de succ\u00e8s majeur dans la fourniture de logiciels s\u00e9curis\u00e9s. <\/p>\n
Alors, qu\u2019est-ce que DevSecOps ?<\/strong><\/h2>\n
DevSecOps, abr\u00e9viation de d\u00e9veloppement, s\u00e9curit\u00e9 et op\u00e9rations, est une approche du d\u00e9veloppement logiciel qui int\u00e8gre les pratiques de s\u00e9curit\u00e9 tout au long du cycle de vie du d\u00e9veloppement logiciel. Il met l’accent sur la collaboration et la communication entre les \u00e9quipes de d\u00e9veloppement, les \u00e9quipes de s\u00e9curit\u00e9 et les \u00e9quipes d’exploitation pour garantir que la s\u00e9curit\u00e9 est int\u00e9gr\u00e9e \u00e0 chaque \u00e9tape du processus de d\u00e9veloppement logiciel.<\/p>\n
Dans le contexte des pipelines de d\u00e9veloppement logiciel, DevSecOps vise \u00e0 \u00ab d\u00e9placer la s\u00e9curit\u00e9 vers la gauche \u00bb, ce qui signifie essentiellement le plus t\u00f4t possible dans le processus de d\u00e9veloppement. Tr\u00e8s franchement, cela implique d\u2019int\u00e9grer d\u00e8s le d\u00e9but des pratiques et des outils de s\u00e9curit\u00e9 dans le pipeline de d\u00e9veloppement. Ce faisant, la s\u00e9curit\u00e9 devient une partie int\u00e9grante du processus de d\u00e9veloppement logiciel plut\u00f4t qu’un module compl\u00e9mentaire avanc\u00e9.<\/p>\n
Cette approche permet aux organisations d’identifier et de r\u00e9soudre plus facilement les vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 d\u00e8s le d\u00e9but, et de respecter les obligations r\u00e9glementaires. Il est \u00e9galement important de noter que DevSecOps repose sur une culture de collaboration et de responsabilit\u00e9 partag\u00e9e. Il brise les silos et encourage les \u00e9quipes interfonctionnelles \u00e0 travailler ensemble vers un objectif commun : cr\u00e9er des applications plus s\u00e9curis\u00e9es \u00e0 grande vitesse. <\/p>\n
Principes directeurs pour la fourniture de logiciels s\u00e9curis\u00e9s <\/strong><\/h2>\n
\u00c0 un niveau \u00e9lev\u00e9, cr\u00e9er et ex\u00e9cuter un programme DevSecOps efficace signifie que votre organisation est capable d’exploiter une plate-forme de livraison s\u00e9curis\u00e9e, de tester les vuln\u00e9rabilit\u00e9s logicielles, de prioriser et de corriger les vuln\u00e9rabilit\u00e9s, d’emp\u00eacher la publication de code non s\u00e9curis\u00e9 et de garantir l’int\u00e9grit\u00e9 des logiciels et de tout. de ses artefacts. Vous trouverez ci-dessous des descriptions d\u00e9taill\u00e9es des \u00e9l\u00e9ments et des capacit\u00e9s requises pour mettre en \u0153uvre une pratique DevSecOps r\u00e9ussie.<\/p>\n
\u00c9tablir une culture collaborative qui fait de la s\u00e9curit\u00e9 une responsabilit\u00e9 partag\u00e9e<\/h3>\n
Le succ\u00e8s de toute pratique DevSecOps est r\u00e9ellement entre les mains de ses parties prenantes, donc avant de se lancer dans l’acquisition, la configuration et le d\u00e9ploiement de nouveaux outils et technologies,<\/p>\n
Si votre organisation cr\u00e9e, vend ou utilise des logiciels (ce qui est aujourd’hui le cas de toutes les organisations imaginables sur la plan\u00e8te), alors chaque employ\u00e9 a un impact sur la posture de s\u00e9curit\u00e9 globale, et pas seulement ceux dont le titre contient le mot \u00ab s\u00e9curit\u00e9 \u00bb. \u00c0 la base, DevSecOps est une culture de responsabilit\u00e9 partag\u00e9e, et fonctionner avec un \u00e9tat d’esprit commun ax\u00e9 sur la s\u00e9curit\u00e9 d\u00e9termine dans quelle mesure les processus DevSecOps s’int\u00e8grent et peuvent conduire \u00e0 une meilleure prise de d\u00e9cision lors du choix des plates-formes, des outils et des solutions de s\u00e9curit\u00e9 individuelles DevOps.<\/p>\n
Les mentalit\u00e9s ne changent pas du jour au lendemain, mais l\u2019alignement et un sentiment de responsabilit\u00e9 en mati\u00e8re de s\u00e9curit\u00e9 peuvent \u00eatre obtenus gr\u00e2ce aux \u00e9l\u00e9ments suivants\u00a0: <\/p>\n
- \n
- Engagement \u00e0 suivre des formations internes r\u00e9guli\u00e8res en mati\u00e8re de s\u00e9curit\u00e9, adapt\u00e9es au DevSecOps, qui incluent les d\u00e9veloppeurs, les ing\u00e9nieurs DevOps et les ing\u00e9nieurs en s\u00e9curit\u00e9. Les lacunes et les besoins en mati\u00e8re de comp\u00e9tences ne doivent pas \u00eatre sous-estim\u00e9s. <\/li>\n
- Adoption par les d\u00e9veloppeurs de m\u00e9thodologies et de ressources de codage s\u00e9curis\u00e9es <\/li>\n
- L’ing\u00e9nierie de s\u00e9curit\u00e9 contribue \u00e0 l’architecture des applications et de l’environnement, ainsi qu’aux revues de conception. Il est toujours plus facile d’identifier et de r\u00e9soudre les probl\u00e8mes de s\u00e9curit\u00e9 d\u00e8s le d\u00e9but du cycle de vie du d\u00e9veloppement logiciel. <\/li>\n<\/ul>\n
Brisez les silos fonctionnels et collaborez en continu<\/h3>\n
\u00c9tant donn\u00e9 que DevSecOps est le r\u00e9sultat de la confluence du d\u00e9veloppement logiciel, des op\u00e9rations informatiques et de la s\u00e9curit\u00e9, briser les silos et collaborer activement et de mani\u00e8re continue est essentiel au succ\u00e8s. En r\u00e8gle g\u00e9n\u00e9rale, les organisations centr\u00e9es sur DevOps et fonctionnant sans aucun cadre DevSecOps formel voient la s\u00e9curit\u00e9 entrer en sc\u00e8ne comme un crash ind\u00e9sirable. <\/p>\n
Les changements de processus ou les outils impos\u00e9s soudainement (par opposition \u00e0 ceux choisis et instanci\u00e9s de mani\u00e8re collaborative) entra\u00eenent invariablement des frictions dans le pipeline de d\u00e9veloppement et un travail inutile pour les d\u00e9veloppeurs. Un sc\u00e9nario courant implique que la s\u00e9curit\u00e9 impose des contr\u00f4les de s\u00e9curit\u00e9 suppl\u00e9mentaires des applications sans tenir compte de leur placement dans le pipeline ou de la charge de travail requise pour traiter les r\u00e9sultats du scanner et corriger les vuln\u00e9rabilit\u00e9s, ce qui incombe in\u00e9vitablement aux d\u00e9veloppeurs.<\/p>\n
- \n
- Favoriser la collaboration et fonctionner en tant qu\u2019\u00e9quipe DevSecOps coh\u00e9rente implique\u00a0: <\/li>\n
- D\u00e9finir et convenir d’un ensemble d’objectifs de s\u00e9curit\u00e9 mesurables, tels que le temps moyen de rem\u00e9diation et le pourcentage de r\u00e9duction du bruit des alertes CVE. <\/li>\n
- Implication des d\u00e9veloppeurs de logiciels et des \u00e9quipes DevOps tout au long des processus d’\u00e9valuation et d’approvisionnement des nouveaux outils de s\u00e9curit\u00e9 <\/li>\n
- S’assurer qu’aucun processus DevSecOps n’a un seul contr\u00f4leur d’acc\u00e8s fonctionnel <\/li>\n
- Optimisation it\u00e9rative des choix d’outils et des pratiques de s\u00e9curit\u00e9 pour la productivit\u00e9 et la rapidit\u00e9 des d\u00e9veloppeurs<\/li>\n<\/ul>\n
D\u00e9placer la s\u00e9curit\u00e9 vers la gauche<\/h3>\n
La mise en \u0153uvre de la s\u00e9curit\u00e9 Shift-Left est une \u00e9tape cruciale dans la s\u00e9curisation du code d\u2019application \u00e0 mesure qu\u2019il progresse dans les pipelines de d\u00e9veloppement. Cette approche implique l’int\u00e9gration des pratiques de s\u00e9curit\u00e9 d\u00e8s le d\u00e9but du cycle de vie du d\u00e9veloppement logiciel, d\u00e8s les premi\u00e8res \u00e9tapes de codage et tout au long du processus de d\u00e9veloppement et de d\u00e9ploiement. En d\u00e9pla\u00e7ant les tests de s\u00e9curit\u00e9 plus \u00e0 gauche, les organisations peuvent identifier et corriger les vuln\u00e9rabilit\u00e9s \u00e0 un stade pr\u00e9coce, r\u00e9duisant ainsi le risque de failles de s\u00e9curit\u00e9 et garantissant la fourniture d’applications s\u00e9curis\u00e9es.<\/p>\n
Le d\u00e9placement r\u00e9ussi de la s\u00e9curit\u00e9 vers la gauche commence par l\u2019int\u00e9gration et l\u2019orchestration de diff\u00e9rents types d\u2019analyseurs de s\u00e9curit\u00e9 tout au long des pipelines de d\u00e9veloppement. Il existe plusieurs cat\u00e9gories de tests de s\u00e9curit\u00e9 des applications que les \u00e9quipes DevSecOps doivent adopter et utiliser afin de d\u00e9tecter et corriger les vuln\u00e9rabilit\u00e9s tout au long du cycle de vie du d\u00e9veloppement logiciel. Les techniques employ\u00e9es par chaque type de scanner de s\u00e9curit\u00e9 sont compl\u00e9mentaires. Ensemble, ils sont tr\u00e8s efficaces pour d\u00e9tecter les probl\u00e8mes de s\u00e9curit\u00e9 connus avant qu’une application n’entre en production. <\/p>\n
Comment commencer <\/strong><\/h2>\n
Si vous souhaitez apprendre les principes fondamentaux de la livraison s\u00e9curis\u00e9e de logiciels, savoir qui doit \u00eatre impliqu\u00e9 et, en fin de compte, comment mettre en place une pratique DevSecOps hautement efficace, vous devez t\u00e9l\u00e9charger le Guide d\u00e9finitif pour la livraison s\u00e9curis\u00e9e de logiciels<\/a><\/em>. Nous fournirons un aper\u00e7u de ce qui est requis du point de vue des outils, des technologies et des processus pour fournir des logiciels plus s\u00e9curis\u00e9s et plus rapides. <\/p>\n
<\/p>\n
Vous avez trouv\u00e9 cet article int\u00e9ressant ? Cet article est une contribution de l\u2019un de nos pr\u00e9cieux partenaires.<\/span> Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n