État de la sécurité des applications cloud-native

À l’ère du cloud native, la réussite d’une organisation se mesure à sa capacité à livrer de nouvelles versions logicielles plus rapidement et plus efficacement, comme le confirment les résultats de notre enquête. La possibilité de déployer plus rapidement du code en production et de gérer plus facilement les applications a été la principale raison du passage à une infrastructure conteneurisée. Cependant, à mesure que les entreprises adoptent les technologies cloud native dans le cadre de leur transformation numérique, la sécurité apparaît comme un facteur clé pour créer des plateformes performantes. Si seulement 36 % des personnes interrogées ont indiqué que la sécurité était l’une des principales raisons du passage de leurs applications de production aux conteneurs, 99 % ont reconnu qu’elle était un élément important de leur stratégie cloud native. De plus, plus de 80 % ont déclaré que la sécurité était très importante à leurs yeux.

Au total, plus de 78 % des charges de travail en production sont déployées dans des conteneurs ou sous forme d’applications serverless. Les conteneurs restent le principal mécanisme de déploiement des applications cloud native, avec près de 60 % des charges de travail en production déployées dans des conteneurs. Les technologies serverless sont désormais largement adoptées dans les entreprises de toutes tailles et représentent plus d’un cinquième (en moyenne) de l’ensemble des charges de travail en production. L’utilisation des technologies cloud native est importante dans les entreprises de toutes tailles, signe que leur adoption se généralise. Plus de 50 % des charges de travail des répondants étant également déployées à l’aide d’une forme ou d’une autre d’Infrastructure as Code, l’utilisation d’infrastructures pilotées par logiciel a progressé parallèlement à l’essor des conteneurs et du serverless. L’utilisation de ces technologies fondamentales est l’un des principaux indicateurs de la transformation cloud native en général. C’est pourquoi nous nous appuyons sur ces mesures tout au long de ce rapport pour évaluer le niveau d’adoption au sein des organisations.

La mise en place de pipelines de déploiement entièrement automatisés peut être complexe. Mais une fois l’automatisation et les processus en place, ils créent un cercle vertueux en offrant de multiples points d’intégration qui facilitent l’automatisation. C’est un facteur clé pour permettre les tests de sécurité. Les entreprises dont les déploiements étaient fortement automatisés avaient plus de deux fois plus de chances d’effectuer des tests de sécurité à chaque étape du cycle de développement logiciel que celles qui n’avaient aucun processus automatisé. Les entreprises de toutes tailles privilégiaient clairement les tests dans l’intégration continue (CI) et le plus tôt possible, mais les grandes entreprises étaient davantage susceptibles d’effectuer également des tests lors des étapes ultérieures du déploiement et en production. Même si les tests dans les environnements de développement locaux, comme les IDE, relèvent des développeurs, les organisations les plus automatisées étaient près de deux fois plus susceptibles de voir leurs équipes de développement adopter la sécurité dès les premières étapes de leurs workflows.

Des tests plus rapides permettent de corriger plus vite. Plus de 72 % des répondants dont le niveau d’automatisation était élevé affichaient un délai moyen de correction des vulnérabilités inférieur à une semaine, et 36 % d’entre eux corrigeaient les vulnérabilités en un jour ou moins en moyenne. Les équipes entièrement automatisées étaient plus de 4 fois plus susceptibles de corriger les problèmes de sécurité en un jour et plus de 2 fois plus susceptibles de le faire en une semaine. Les tests automatisés sont également essentiels pour gagner en visibilité : impossible de corriger ce qu’on ne voit pas. Les réponses de 28 % des organisations dont le niveau d’automatisation était faible le confirment : elles ne savaient pas combien de temps leur prenait la correction des problèmes.