Sécuriser le développement logiciel dès le départ

7 minutes de lecture

Une faille corrigée pendant l'écriture du code coûte une fraction de ce que coûte la même faille corrigée une fois le logiciel en production, voire après un incident. C'est toute l'idée derrière le DevSecOps.

01La situation en clair

Pendant longtemps, la sécurité intervenait à la toute fin d'un projet informatique, sous forme d'un audit ou d'un test réalisé juste avant la mise en ligne. À ce stade, corriger une faille structurelle revient souvent à revoir une bonne partie de l'architecture déjà construite, ce qui coûte cher et retarde le projet. Le DevSecOps propose l'inverse : intégrer la sécurité à chaque étape du développement, dès les premières lignes de code, plutôt que de l'ajouter tout à la fin.

Ce nom vient de la contraction de développement, sécurité et opérations : l'idée est que ces trois dimensions travaillent ensemble en continu, plutôt que la sécurité n'intervienne que comme un contrôle final séparé.

02Pourquoi ça compte

Les développeurs, sans en avoir toujours conscience, sont en première ligne de la sécurité d'une application : une erreur dans la façon dont une donnée est traitée, un contrôle d'accès mal pensé, deviennent des failles exploitables une fois le logiciel en ligne. Leur donner les moyens de repérer ces problèmes tôt évite une grande partie des incidents applicatifs les plus fréquents.

03Ce qu'il faut faire

1. 1

   Analysez le code automatiquement, avant qu'il ne soit déployé

   Des outils d'analyse automatique du code source repèrent une grande partie des failles classiques (mauvaise gestion des entrées utilisateur, secrets codés en dur) directement pendant le développement, sans attendre un audit externe.

2. 2

   Vérifiez aussi les composants que vous n'avez pas écrits vous-même

   Un logiciel moderne s'appuie sur une multitude de bibliothèques et composants tiers, chacun pouvant contenir ses propres failles. Un outil dédié à cette vérification permet de savoir précisément quels composants sont utilisés, et s'ils comportent des vulnérabilités connues.

3. 3

   Formez les équipes de développement, pas seulement les équipes de sécurité

   La qualité de la sécurité d'un logiciel dépend largement des compétences de ceux qui l'écrivent. Une formation régulière et concrète des développeurs sur les erreurs classiques à éviter reste l'un des investissements les plus rentables dans ce domaine.

4. 4

   Ne considérez pas la sécurité comme un frein à la rapidité

   Bien intégrée dans le processus de développement, la sécurité automatisée s'exécute en parallèle des autres vérifications habituelles, sans ralentir significativement la mise en production. C'est justement l'objectif du DevSecOps : ne plus opposer vitesse et sécurité.