L’approche DevOps s’est largement imposée au fil des ans ; comme le levier permettant de progresser tant au niveau des volumes de production, qu’en termes d’agilité, de rapidité et de fiabilité en. Après avoir fait le tour des failles potentielles du DevOps et des outils utilisés pour mettre en œuvre cette démarche au sein d’équipes tech, les experts ont compris qu’un élément faisait défaut dans la démarche et qu’il fallait absolument l’intégrer : la sécurité. Le DevSecOps a ainsi vu le jour. Force est de constater que l’intégration de la sécurité n’est pas aussi simple qu’envisagé.
Les enjeux du DevSecOps
Habitués au processus DevOps, les équipes IT les plus rodées ont vu leur production avancer à grands pas, quantitativement et qualitativement parlant. Quand bien même ils reconnaissent la nécessité de rehausser le volet sécurité dans le process, on ne peut pas dire qu’ils s’en réjouissent. En effet, adopter le DevSecOps chamboulerait tout et irait à contre-sens de la raison d’être du DevOps à en croire certains employés, en enlevant notamment la fluidité et le côté interconnecté des étapes de la chaine DevOps. À vrai dire, le blocage n’est pas forcément technique. Pour certains, il est psychologique, voire culturel. Cette situation marquée par de l’appréhension, voire de la réticence généralisée rappelle la difficile adoption du DevOps il y a de cela quelques années, notamment quand le mur entre les univers dev et ops est tombé.
Un sondage a été réalisé auprès des personnes qui sont passés du DevOps au DevSecOps. Ceux qui travaillent principalement sur la sécurité sont globalement satisfaits de l’initiative prise par leurs entreprises mais pour les Devs et les Ops, c’est une autre histoire. 42% d’entre eux reconnaissent avoir du mal à traiter les failles de sécurité. Selon les experts, la redistribution des rôles, de manière précise est essentielle pour mettre en place un process DevSecOps efficace, notamment sur les tâches purement orientées sécurité. Selon Jonathan Hunt de GitLab :
« Une délimitation plus claire des responsabilités et l'adoption de nouveaux outils sont nécessaires pour que la sécurité s’impose comme une priorité ».
L’importance prise par le cloud ces dernières années a augmenté les risques liés à la sécurité. La complexité du cloud a généré plusieurs angles morts qu’il va falloir cerner et sécuriser grâce au DevSecOps.
DevSecOps, une évolution logique
Avec l’évolution des exigences du marché, les pratiques ne peuvent rester figées. La complexité des applications et logiciels actuels nécessitent une sécurisation accrue, à tous les niveaux du process. La même enquête a révélé que 51 % des entreprises très avancées en matière de culture DevOps ont réussi à intégrer la sécurité dans leur process mais à des étapes différentes. 61 % des entreprises l’intègrent dès la conception, 53 % pendant la construction et 52 % lors des tests.
En tout cas, on constate que plus les failles de sécurité sont découvertes tardivement, plus elles sont difficiles à combler et plus les interventions coûtent à l’entreprise. Par ailleurs, les experts tendent à une approche différente du DevSecOps et parlent de modifier la nomenclature en SecDevOps. Tout sauf anodin, cette modification suggère que la sécurité devrait être priorisée, qu’elle soit mise en place du début à la fin de la conception de logiciels.
Cela étant dit, il ne suffit pas de se lancer. Adopter une démarche DevSecOps ne fait pas tout, encore faut-il trouver la bonne technologie, celle qui convient aux pratiques déjà en place et à la maturité des équipes IT. Parmi toutes les pratiques relatives à la sécurité, le « Security-as-a-Code » a le vent en poupe. Comme son nom l’indique, ceci consiste en l’imbrication la sécurité dans un fichier de configuration en tant que code.
Enfin, tout porte à croire que le DevSecOps sera déterminant sur le plan commercial pour les entreprises dans un futur très proche. Dans environnement très concurrentiel, tout se jouera sur les réactivités des entreprises et leur capacité à fournir des solutions hautement fiables et sécurisées dans un très court délai. En domptant le concept DevSecOps, les entreprises se donnent une chance de mieux satisfaire la clientèle et de prendre de l’avance sur les autres, encore cantonnés à une démarche DevOps.
DevSecOps à la conquête du secteur public
Le GitLab Commit 2021 a été l’occasion de découvrir un partage d’expérience de deux ingénieurs d’Anchore, un éditeur qui fait preuve d’une expertise reconnue en termes de sécurisation des containers. En effet, Anchore a été choisi par le Ministère de la Défense américaine (Department of Defense ou tout simplement DoD) avec GitLab pour développer un programme de sécurité dans le cadre du projet Platform One.
Si Washington se tourne de plus en plus vers les opérateurs privés de la sphère tech, c’est grâce à leur avancée en matière de développement et de sécurisation de logiciel. Sur ces deux acteurs (GitLab et Anchore) et leur initiative orientée DevSecOps, reposent l’essentiel de la suite de la transformation numérique de tout le secteur public américain.
