Comment devenir DevSecOps ?

“Dev” pour “Development”, “Sec” pour “Security” et “Ops” pour “Operations” soit : Développement, Sécurité et Exploitation. Les trois termes montrent en effet le lien du DevSecOps avec le mouvement DevOps ainsi qu’avec le domaine de la cybersécurité. Analysons cela plus en détail.

En fusionnant les deux approches grâce à un certain nombre d’actions, notamment l’automatisation, la gestion des ressources, les indicateurs de performances, et par une nouvelle vision du travail en commun, des progrès remarquables ont été réalisés.

Toutefois, la sécurité des applications et logiciels n’a pas été originellement prise en compte dans le DevOps. Ainsi, les tests de sécurité étaient effectués à la fin du cycle de développement. Le temps était parfois trop court pour reprendre les défaillances du code et cela exposait dangereusement les clients.

En outre, depuis quelques années, la cybersécurité est plus que jamais sur le devant de la scène. Les bibliothèques et les frameworks open source deviennent de plus en plus vulnérables. Ajoutons que le RGPD (le règlement général sur la protection des données) de 2018 qui s’applique aujourd’hui à tous les organismes, oblige ces derniers à prendre en compte la confidentialité de manière plus rigoureuse.

C’est là que le DevSecOps intervient : il sécurise l’application tout au long du cycle de développement, étape par étape.

Le DevSecOps incorpore donc la sécurité au sein du DevOps en apportant à l’entreprise la culture de security as code (sécurité en tant que code). Concrètement, il utilise le “DoD Enterprise DevSecOps Reference Design” qui est un document recensant toutes les pratiques du DevSecOps en termes d’automatisation, de surveillance et de mise en place de la sécurité à tous les instants du projet.

Nous l’avons vu, le DevSecOps s’emploie à sécuriser une application à toutes les étapes de son élaboration. Néanmoins, vous avez peut-être déjà entendu parler du SecDevOps, dont le mot contient les mêmes éléments, mais dans un ordre différent. S’agit-il d’un autre métier ?

Le SecDevOps donne la priorité absolue à la sécurité à chaque instant du développement. Il prend toutes les décisions relatives à cela. Le DevSecOps, quant à lui, intègre la sécurité au sein du processus, mais fait prendre conscience à tous les membres de l’équipe de l’importance de la prise en compte de la sécurité. Pour ce dernier, la gestion du risque est partagée.

Le DevSecOps est déjà une évolution du DevOps. La responsabilité et la polyvalence du métier en font pour beaucoup de développeurs une fin en soi. Vous pouvez tout de même décider de naviguer entre les possibilités qui s’offrent à vous au sein du domaine de la cybersécurité :