Said OULMAKHZOUNE 
Concevoir une architecture unique satisfaisant à la fois NIS2 et DORA Les organisations opérant dans des environnements réglementés sont de plus en plus soumises à plusieurs réglementations de cybersécurité et de résilience simultanément. En Europe, cela signifie souvent se conformer à la fois à NIS2 et à DORA, chacune ayant son propre périmètre, ses attentes … Lire la suite
Un guide consolidé des contrôles de sécurité CI/CD fondamentaux dont tout pipeline d’entreprise a besoin : les risques qui les rendent nécessaires, les dix contrôles fondamentaux eux-mêmes, et une liste de contrôle de sécurité pratique et prête pour l’audit.
Un guide unifié de l’application par le CI/CD dans les environnements réglementés : les modèles d’application que les organisations adoptent, la couche d’application technique qui les met en œuvre dans le pipeline, et la manière dont les auditeurs évaluent si cette application est réelle, gouvernée et étayée par des preuves.
Un playbook complet en cinq parties pour les audits CI/CD en environnement réglementé : la check-list de préparation à compléter avant l’arrivée des auditeurs, le playbook du jour de l’audit, un aide-mémoire de questions-réponses, les signaux d’alerte qui inquiètent les auditeurs et une note de synthèse pour la direction.
Les auditeurs jugent la sécurité applicative à la manière dont les contrôles sont appliqués et prouvés tout au long du SDLC — et non au nombre d’outils déployés. Ce guide explique ce qu’ils privilégient, ce qu’ils ignorent le plus souvent, et les constats qui reviennent le plus fréquemment.
Le Dynamic Application Security Testing (DAST) est un contrôle de sécurité utilisé dans les pipelines CI/CD pour tester les applications en cours d’exécution à la recherche de vulnérabilités. Pour les auditeurs et les responsables conformité, le DAST est fréquemment rencontré lors des revues de sécurité applicative et de gouvernance de la livraison logicielle — pourtant, … Lire la suite
La sécurité CI/CD, le DevSecOps et la sécurité applicative répondent à des risques, des contrôles et des attentes d’audit différents. Cette page explique pourquoi les organisations réglementées les gardent séparés, comment chacun correspond à DORA, NIS2, ISO 27001, SOC 2 et PCI DSS, et où les jonctions entre eux engendrent des constats d’audit.
Comment les auditeurs DORA, NIS2 et ISO 27001 interprètent le même pipeline différemment Les pipelines CI/CD sont de plus en plus centraux pour la conformité réglementaire, mais toutes les réglementations ne les évaluent pas de la même manière. Bien que l’outillage technique puisse être identique, les auditeurs interprètent les risques, les contrôles et les faiblesses … Lire la suite
Guide orienté gouvernance des catégories de contrôles de sécurité CI/CD pour les auditeurs, responsables conformité et régulateurs Les pipelines CI/CD sont l’épine dorsale de la livraison logicielle moderne. Pour les auditeurs et les responsables conformité, comprendre les contrôles de sécurité intégrés dans ces pipelines est essentiel pour évaluer si une organisation gère adéquatement les risques … Lire la suite
Comment les auditeurs devraient évaluer le SAST, le DAST et le SCA en tant que contrôles CI/CD — par objectif, qualité des preuves, application et alignement avec les référentiels — ainsi qu’une correspondance complète de chaque catégorie d’outillage de sécurité avec les contrôles qu’elle applique et les preuves qu’elle produit.
