Les 12 points de Gartner à maîtriser pour réussir son DevSecOps

« Intégrer la sécurité au DevOps pour mettre en place le DevSecOps exige de faire évoluer les mentalités, les processus et les technologies. Les responsables de la sécurité et de la gestion des risques doivent respecter la nature collaborative et agile du DevOps afin que les tests de sécurité s’intègrent parfaitement au développement et que le “Sec” de DevSecOps passe inaperçu. »

Selon le rapport de Gartner, le DevSecOps est rapidement devenu l’un des domaines qui ont suscité le plus d’intérêt en 2019. Les initiatives DevSecOps, en constante évolution et couronnées de succès, ont permis aux analystes et aux autres responsables de la sécurité et du développement de tirer des enseignements précieux. Le dernier rapport de Gartner — 12 points à maîtriser pour réussir son DevSecOps — rassemble ces enseignements et propose une analyse éclairante.

Faire évoluer une organisation vers le DevSecOps peut s’avérer complexe : de nombreuses équipes, des éléments interdépendants et parfois de nouveaux outils entrent en jeu. Les analystes de Gartner ont identifié les difficultés les plus fréquentes et formulé des recommandations à l’intention des organisations qui cherchent à déployer DevOps à plus grande échelle.

Le rapport aborde notamment les sujets suivants :

• Adapter les outils et les processus de tests de sécurité aux développeurs

• Cesser de chercher à éliminer toutes les vulnérabilités pendant le développement

• Commencer par identifier et supprimer les vulnérabilités connues des logiciels open source

• Ne pas s’attendre à utiliser les méthodes traditionnelles DAST/SAST sans les adapter

• Former les développeurs au codage sécurisé, sans attendre d’eux qu’ils deviennent des experts en sécurité

• Adopter un modèle de Security Champions et mettre en place un outil simple de collecte des exigences de sécurité

• Sécuriser les scripts d’automatisation et appliquer une discipline opérationnelle à la sécurité de l’infrastructure

• Renforcer le contrôle des versions pour l’ensemble du code et des composants

• Mettre en place une gestion des secrets

• Adopter une approche fondée sur l’infrastructure immuable

• Repenser la gestion des incidents liés à la fourniture des services

• Utiliser le provisionnement dynamique des accès pour les développeurs en DevSecOps

Nous approfondissons ci-dessous trois de ces douze points, mais nous vous invitons à lire l’intégralité du rapport pour découvrir les meilleures façons d’appliquer ces pratiques dans votre organisation.

Adapter les outils et les processus de tests de sécurité aux développeurs — et non l’inverse

L’un des principes fondamentaux et les plus connus du DevOps consiste à faire circuler le travail dans le système aussi rapidement que possible. Moins connu, mais essentiel au DevOps et à la sécurité des applications, un autre principe veut que les développeurs reçoivent des retours au même rythme et le plus tôt possible dans le processus.

L’approche dépassée de la sécurité de l’information doit être modernisée. Mais faire évoluer une organisation pour qu’elle adopte le DevOps n’est pas simple : cela suppose des équipes de développement capables de s’adapter, ainsi que des équipes des opérations et de la sécurité prêtes à collaborer et à transmettre leurs connaissances. Une fois le nouveau processus en place, les développeurs peuvent sécuriser leurs applications au fil de leur création et à leur rythme, ce qui simplifie l’ensemble du processus et facilite la mise en conformité.

Cette approche centrée sur les développeurs nécessite également d’auditer les solutions de sécurité disponibles. Celles-ci doivent avant tout être conçues pour les développeurs, leurs principaux utilisateurs, même si elles sont financées par l’équipe de sécurité. Avec le temps, ces solutions deviendront la norme et définiront notre approche du DevOps pour l’avenir.

Commencer par identifier et supprimer les vulnérabilités connues des logiciels open source

Une célèbre citation de Voltaire, vieille de plusieurs siècles, dit en substance que « le mieux est l’ennemi du bien ». Elle reste aussi vraie aujourd’hui qu’à l’époque, notamment dans le monde du numérique, où la quête d’une sécurité parfaite de la part des équipes de sécurité de l’information se heurte aux besoins de rapidité et d’agilité des entreprises et des développeurs.

Une fois les bons outils en place, on peut facilement croire que chaque problème sera immédiatement détecté et corrigé. Même avec les processus simplifiés que le DevOps apporte à la sécurité d’une organisation, ce n’est tout simplement pas le cas. La situation devient encore plus frustrante lorsque les équipes lancent leurs premiers tests, découvrent une longue liste de vulnérabilités et se demandent : « Par quoi commencer ? »

Comme Gartner, nous recommandons de transformer cette liste en une liste de priorités plus facile à gérer pour les développeurs.

Adopter un modèle de Security Champions et mettre en place un outil simple de collecte des exigences de sécurité

Les Security Champions peuvent rendre le codage sécurisé moins complexe en fournissant des exemples concrets et immédiats dans le code de l’équipe, et en privilégiant les mesures correctives à court terme plutôt que des problèmes plus abstraits et moins faciles à appréhender.

Un excellent exemple de Security Champions est la réussite de Revolut dans le déploiement de cette pratique au sein de toute l’organisation. L’entreprise a rapidement amélioré son approche de la sécurité et attribue une grande partie de ce succès à Snyk, un partenaire capable de s’intégrer à l’entreprise, tant sur le plan technologique que culturel.

Cet article de blog n’a fait qu’effleurer les précieuses informations que contient ce rapport : il reste encore tant de recommandations à découvrir !