DevSecOps

Le DevSecOps étend la démarche DevOps, qui rapproche développement et exploitation, en y associant la sécurité dès la conception. L'idée, souvent résumée par « shift left », est de déplacer les contrôles le plus tôt possible : revue de code, recherche de secrets oubliés dans le code, analyse des dépendances vulnérables, tests statiques et dynamiques, analyse de la configuration de l'infrastructure. Ces contrôles s'exécutent automatiquement dans le pipeline d'intégration et de déploiement continus et bloquent ou signalent une livraison problématique. Le coût d'une faille est généralement plus faible quand elle est trouvée tôt. Le DevSecOps est autant une pratique d'équipe qu'un ensemble d'outils : il suppose de définir qui corrige quoi, avec quels délais. Il ne remplace ni un audit externe ni un test d'intrusion, qui apportent un regard indépendant. Pour une PME, une version proportionnée consiste à mettre à jour les dépendances, protéger les secrets, limiter les droits du pipeline et automatiser quelques contrôles essentiels.