Formation DevOps écrite

Comment assurer la sécurité de l’information en DevOps ?

Dans la plupart des organisations, la sécurité de l’information est l’une des objections les plus fréquentes à l’adoption du DevOps. Le DevOps est pourtant l’une des meilleures méthodes pour livrer des systèmes parmi les plus sûrs au monde.

Dans beaucoup d’organisations, peut-être la vôtre aussi, les spécialistes de la sécurité de l’information représentent un centième de l’équipe d’ingénierie logicielle. Une équipe de 100 personnes ne compte donc généralement qu’un seul spécialiste. Il en résulte de longs délais pour résoudre les problèmes de sécurité logicielle, des retards de livraison et, pire encore, un niveau de sécurité de l’information insuffisant pour vos clients.

S’il y a une chose à retenir de votre expérience de livraison, c’est que les blocages de fin de projet sont graves, et ceux liés à la sécurité le sont encore plus. Chaque membre de votre équipe DevOps devrait donc intégrer la sécurité de l’information à son travail quotidien, au-delà d’une case cochée ou non en fin de projet.

Associez les spécialistes de la sécurité de l’information dès les premières étapes du développement

Pour éviter qu’un problème de sécurité de l’information ne bloque ou ralentisse votre livraison juste avant le déploiement, associez les spécialistes dès le début de l’ingénierie logicielle. Invitez-les aux démonstrations et aux premières séances de planification et de revue pour qu’ils comprennent les activités auxquelles le logiciel est destiné. Ils pourront mieux évaluer les risques et les problèmes de sécurité potentiels et aider votre équipe DevOps à fixer les objectifs de sécurité et de conformité à traiter pendant le développement.

La sécurité de l’information fait partie du travail quotidien

Votre équipe DevOps et vous-même devez suivre les fonctionnalités et les incidents de sécurité dans les outils habituels de planification des tâches et de gestion des incidents, au lieu de les reléguer dans des outils de conformité que l’équipe consulte peu. Lorsqu’un problème de sécurité apparaît dans l’architecture, la conception ou les systèmes en service, expliquez-le à votre équipe. Aidez-la à comprendre ses causes profondes et à aborder des situations similaires à l’avenir pour éviter de répéter la même erreur.

En matière de sécurité de l’information, votre équipe DevOps poursuit les objectifs tactiques suivants :

• Éviter que les erreurs de sécurité se répètent.
• Intégrer les objectifs de sécurité aux objectifs du projet et aux outils de planification et de suivi.
• Intégrer les tests de sécurité aux tests automatisés du pipeline de déploiement.
• Après avoir analysé sous tous les angles la sécurité de l’information de certaines fonctionnalités du produit et du service, définir des outils en libre-service et des bibliothèques logicielles réutilisables qui regroupent les bonnes pratiques de sécurité de l’information de votre organisation.
• Former les développeurs et les ingénieurs d’exploitation DevOps dont la sécurité de l’information n’est pas nécessairement le cœur de métier et leur faire confiance.

Créez des bibliothèques, des procédures, des modèles, des architectures et des conceptions sécurisés pour vos logiciels

Avec ces ressources réutilisables, votre équipe DevOps devrait uniformiser les pratiques de sécurité de l’information dans des domaines essentiels, notamment :

• Communication et transfert de données entre les clients et le logiciel.
• Stockage des données.
• Environnements sécurisés.
• Systèmes d’exploitation, bases de données et configuration des outils et composants tiers et des autres interfaces pour éviter les vulnérabilités.
• Stockage des mots de passe.
• Gestion des mots de passe oubliés.
• Gestion de la journalisation des informations sensibles des clients.
• Prévention des attaques par script intersite (XSS).
• Injections SQL.
• Autres vulnérabilités de sécurité de l’information propres à votre activité et au cadre juridique dans lequel elle s’exerce.

Techniques de sécurité de l’information recommandées avec le DevOps

• Analyse statique : Analyse du code pour détecter les portes dérobées et les vulnérabilités.
• Analyse dynamique : Analyse des portes dérobées et des vulnérabilités pendant l’exécution du système. Supervision et analyse continues du processeur, de la mémoire vive et des opérations d’entrée-sortie réseau et disque dans les environnements de production et hors production.
• Analyse des dépendances : Analyse statique et dynamique des outils et dépendances externes dont vous ne maîtrisez pas le code source. Lorsque votre organisation utilise des outils, des bibliothèques ou des services tiers, elle hérite aussi de leurs problèmes de sécurité. Examinez les incidents de sécurité encore ouverts pour les composants tiers et les délais habituels de correction de leur fournisseur.
• Sécurisation de l’accès au code source : Votre équipe DevOps devrait utiliser une infrastructure à clés publiques où chacun possède une clé publique et une clé privée. Toutes les opérations d’intégration, d’extraction et de lecture dans votre dépôt de code sont ainsi autorisées et surveillées, et chaque changement est signé par son auteur.
• Intégrez la supervision de la sécurité (télémétrie) à vos environnements : Examinez les données d’utilisation du système pour repérer les atteintes à la sécurité. Elles se manifestent souvent par un nombre excessif d’événements critiques déclenchés par les utilisateurs, comme les échecs de connexion, les demandes de récupération de mot de passe ou les achats effectués par un même utilisateur avec plusieurs cartes bancaires.

CONCLUSION

Ce chapitre vous a présenté quelques recommandations sur la façon dont le DevOps aborde la sécurité de l’information. La sécurité est à la fois un art et une science. L’objectif de ce chapitre est d’expliquer comment la méthodologie DevOps de développement et de livraison des logiciels traite la sécurité de l’information.

Le DevOps donne à vos ingénieurs les moyens d’intégrer les objectifs de sécurité de l’information et de conformité au travail quotidien de toute l’organisation. Les entreprises les plus dynamiques du monde ont déjà démontré que cette démarche leur permet de servir leurs clients en toute sécurité.