DevSecOps : la sécurité livrée avec le code
Nous aidons vos équipes à intégrer la sécurité dans la conception, l'écriture, la revue et la livraison du logiciel, pour que moins de problèmes arrivent jusqu'au test d'intrusion et encore moins en production.
Présentation
Où la sécurité a sa place dans le développement
Un test d'intrusion avant la mise en production trouve les problèmes au moment où ils coûtent le plus cher à corriger. Beaucoup auraient pu être repérés plus tôt : lors d'une discussion de conception, d'une revue de code ou par un contrôle qui s'exécute à chaque commit. C'est l'idée du DevSecOps et d'un cycle de développement sécurisé.
Black Fox travaille avec vos équipes d'ingénierie à chaque étape. Nous animons des séances de modélisation des menaces sur les nouvelles fonctionnalités et architectures, revoyons le code là où il compte le plus, ajoutons des contrôles de sécurité à vos chaînes CI/CD, y compris l'analyse des dépendances et la détection de secrets, et formons les développeurs aux erreurs que nous trouvons réellement en test.
L'objectif est un processus que vos développeurs continueront d'utiliser, pas une barrière qu'ils apprennent à contourner. Les contrôles sont réglés pour que leurs résultats vaillent la peine d'être lus, et chaque constat s'accompagne d'une façon de le corriger.
À qui s'adresse ce service
Les éditeurs de logiciels et les équipes de développement internes qui livrent souvent, les équipes produit qui préparent les revues de sécurité de leurs clients ou un test d'intrusion, et les fabricants de produits comportant des éléments numériques qui se préparent aux attentes du règlement européen sur la cyberrésilience en matière de développement sécurisé.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Cycle de développement sécurisé
Des activités de sécurité placées dans votre cycle existant : exigences, conception, réalisation, tests et livraison, avec des responsables clairs et sans bureaucratie à part.
Modélisation des menaces
Des séances structurées avec votre équipe sur une fonctionnalité ou un système, avec des approches comme STRIDE, pour trouver les faiblesses de conception avant qu'elles ne soient construites.
Revue de code
Revue manuelle de sécurité du code qui compte le plus, comme l'authentification, les autorisations, les paiements et le traitement des entrées, avec des corrections expliquées.
Sécurité dans la CI/CD
Analyse statique, contrôle des dépendances, analyse des conteneurs et de l'infrastructure as code, entre autres, intégrés à vos chaînes et réglés pour réduire le bruit.
Dépendances et secrets
Bibliothèques vulnérables connues et identifiants exposés repérés dans le code et l'historique, avec un processus de mise à jour, de renouvellement et de prévention.
Formation des développeurs
Des formations pratiques fondées sur des classes de vulnérabilités réelles, comme celles de l'OWASP Top 10, dans les langages et frameworks de vos équipes.
Déroulement de la mission
Lancement
Nous rencontrons vos responsables techniques, convenons des produits, dépôts et chaînes concernés, et signons d'abord un accord de confidentialité si vous le souhaitez.
État des lieux
Nous regardons comment vous concevez, construisez, revoyez et livrez aujourd'hui, et où la sécurité intervient déjà ou devrait intervenir.
Plan
Un ensemble priorisé de changements de processus et d'outillage, validé avec vos équipes et dimensionné pour ce qu'elles peuvent absorber.
Mise en œuvre
Nous travaillons aux côtés de vos développeurs : modèles de menaces, contrôles dans les chaînes, pratiques de revue et formations, introduits par étapes.
Transfert et bilan
Documentation, configurations réglées et bilan une fois les changements en place depuis un moment, pour que le processus tienne sans nous.
Ce que vous recevez
- Évaluation du cycle de développement sous l'angle de la sécurité
- Modèles de menaces pour les fonctionnalités ou systèmes convenus
- Constats de revue de code avec conseils de correction
- Contrôles de sécurité configurés dans vos chaînes CI/CD
- Résultats et processus d'analyse des dépendances et des secrets
- Sessions et supports de formation pour les développeurs
Questions
Le DevSecOps remplace-t-il le test d'intrusion ?
Non. Il réduit ce que trouve un test d'intrusion et rend les corrections moins coûteuses. Un test indépendant avant les versions majeures reste utile, et ses résultats alimentent le processus.
Quels outils utilisez-vous ?
Cela dépend de vos langages, plateformes et chaînes. Nous pouvons travailler avec vos outils existants, recommander des options open source ou commerciales, et régler celle que vous choisissez.
Cela va-t-il ralentir nos livraisons ?
Des contrôles mal configurés, oui. Nous les introduisons par étapes, commençons par ceux qui trouvent de vrais problèmes, et décidons avec vos équipes quels constats bloquent un build et lesquels se contentent de signaler.
Avez-vous besoin d'accéder à notre code source ?
Pour la revue de code et le travail sur les chaînes, oui, par des accès que vous contrôlez et sous accord de confidentialité. La modélisation des menaces et la formation peuvent se faire sans.
Services associés
- Conseil et réponseSensibilisation à la sécuritéFormations Black Fox Security : sensibilisation à la sécurité et à l'ingénierie sociale, réponse à incident, DevSecOps, pour équipes, développeurs et direction.
- Conformité et certificationCyber Resilience ActCyber Resilience Act avec Black Fox Security : écarts face aux exigences essentielles, tests de sécurité produit, gestion des vulnérabilités et documentation.
Avancez la sécurité dans la chaîne
Décrivez-nous comment vos équipes construisent et livrent aujourd'hui. Nous vous montrerons où la sécurité trouve sa place sans gêner.