DevSecOps et les fournisseurs de cloud public : la voie vers des tests de sécurité automatisés et intégrés

Le paysage actuel de la sécurité numérique peut être décrit en un seul mot : compliqué. En effet, les menaces sont de plus en plus nombreuses et avancées, les exigences de conformité indéfinissables et complexes, les infrastructures à sécuriser sont nébuleuses. En d'autres termes, la sécurisation des applications, des données et de la supply chain représente désormais plus qu'un travail à plein temps, et malheureusement, les entreprises ont du mal à suivre le rythme.

Le problème de la Sécurité

Les ingénieurs des équipes DevOps évoluent dans un environnement sans frontière et les serveurs d'intégration continue automatisés permettent de réaliser des développements et des tests en toute autonomie. Ainsi, la sécurité doit impérativement être mise à la disposition de toute l'équipe de la même manière : pratique, accessible à tout moment par les ingénieurs, transparente et efficace.

Cependant, la sécurité est souvent considérée comme un goulot d'étranglement puisque ce sont généralement quelques experts qui se retrouvent au contact de multiples versions d'applications et de de nombreuses équipes de développeurs. En raison de cette disparité entre les équipes, le niveau de demandes est saturé et les retards s’accumulent.

Le recours à une équipe AppSec indépendante des équipes DevOps s’avère aujourd’hui compliqué, voire dangereux, puisque grâce à l’automatisation possible via cette méthode, les équipes applicatives publient de nouvelles améliorations ou modifications hebdomadaires, accompagnées de conseils de remédiation lents. La sécurité des applications est alors un véritable goulot d'étranglement.

Intégration et automatisation à la rescousse

Les équipes de sécurité et les développeurs doivent donc désormais travailler ensemble, et non plus indépendamment les uns des autres. En effet, les développeurs ne devraient pas avoir à attendre des réponses ou à interrompre leur travail afin d'obtenir de l'aide, mais devraient, au contraire, être équipés de solutions de sécurité qu'ils peuvent et doivent comprendre, mais surtout qu'ils peuvent configurer et utiliser eux-mêmes. Il faut également veiller à ce que ces outils s'intègrent à leur mode de travail : de l'intégration à la livraison, à leurs IDE lorsqu'ils saisissent du code, ainsi qu’aux demandes de suppression de code. En d'autres termes, il faut s'assurer que tous les tests et vérifications pourront générer un commentaire immédiat et précis. Au même titre que l’adoption de la méthode DevOps, le DevSecOps doit faire partie intégrante de la culture d’entreprise afin d’être la plus efficace possible.

Les avantages de l’approche DevSecOps