DevSecOps (shift left)
DevSecOps · shift left · sécurité dès la conception · security by design · SSDLC · développement sécurisé · SSDF
Démarche qui intègre la sécurité à chaque étape du développement et de l’exploitation d’un logiciel, au lieu de la contrôler seulement à la fin, juste avant la mise en production.
En pratique
« Shift left » signifie déplacer les contrôles vers le début du projet : modélisation des menaces dès la conception, analyse statique et des dépendances à chaque modification, détection des secrets, contrôle de l’infrastructure décrite en code (IaC), tests dynamiques en préproduction. Ces contrôles automatisés tournent dans la chaîne CI/CD et bloquent les problèmes graves, tandis que les développeurs reçoivent les alertes dans leurs outils habituels. Le cadre de référence le plus cité est le Secure Software Development Framework du NIST (SP 800-218). Le but n’est pas d’ajouter des barrières, mais de rendre le chemin sûr plus simple que le chemin risqué.
Cas fictif : une start-up découvrait ses failles lors d’un test d’intrusion annuel, suivi d’un mois de correctifs. Après avoir intégré SAST, SCA et détection de secrets à ses demandes de fusion, le test suivant ne relève plus que deux constats moyens, corrigés en une semaine.
