L’une des d\u00e9cisions les plus d\u00e9terminantes qu’une organisation r\u00e9glement\u00e9e prend lors de la mise en place d’un programme DevSecOps est la mani\u00e8re de structurer les responsabilit\u00e9s en mati\u00e8re de s\u00e9curit\u00e9<\/strong> au sein de l’organisation. Cette d\u00e9cision \u2014 le choix du mod\u00e8le op\u00e9rationnel \u2014 d\u00e9termine qui poss\u00e8de les outils de s\u00e9curit\u00e9, qui applique les politiques, avec quelle coh\u00e9rence les contr\u00f4les sont mis en \u0153uvre, et avec quelle efficacit\u00e9 l’organisation peut d\u00e9montrer sa conformit\u00e9 aux auditeurs et aux r\u00e9gulateurs.<\/p>\n Il n’existe pas de r\u00e9ponse universellement correcte. Le bon mod\u00e8le d\u00e9pend de la taille de l’organisation, de ses obligations r\u00e9glementaires, de son app\u00e9tit pour le risque, de sa culture et de sa maturit\u00e9. Ce qui compte, c’est que le mod\u00e8le choisi soit d\u00e9lib\u00e9r\u00e9ment con\u00e7u, formellement document\u00e9 et syst\u00e9matiquement suivi<\/strong>.<\/p>\n Cet article examine trois mod\u00e8les op\u00e9rationnels \u2014 Centralis\u00e9, F\u00e9d\u00e9r\u00e9 et Hybride \u2014 sous l’angle de la gouvernance, de la conformit\u00e9 et de la pr\u00e9paration aux audits.<\/p>\n Dans un mod\u00e8le op\u00e9rationnel centralis\u00e9, une \u00e9quipe de s\u00e9curit\u00e9 d\u00e9di\u00e9e<\/strong> poss\u00e8de tous les outils de s\u00e9curit\u00e9, les politiques, les portes de s\u00e9curit\u00e9 des pipelines et les d\u00e9cisions de s\u00e9curit\u00e9. Les \u00e9quipes de d\u00e9veloppement consomment la s\u00e9curit\u00e9 comme un service \u2014 elles re\u00e7oivent les r\u00e9sultats des scans, les recommandations de rem\u00e9diation et les d\u00e9cisions de validation\/rejet de l’\u00e9quipe centrale.<\/p>\n Caract\u00e9ristiques :<\/strong><\/p>\n Convient le mieux \u00e0 :<\/strong> Les organisations soumises \u00e0 des exigences r\u00e9glementaires strictes n\u00e9cessitant une forte coh\u00e9rence, ou celles en phase de maturit\u00e9 DevSecOps pr\u00e9coce o\u00f9 l’expertise centrale compense un savoir distribu\u00e9 limit\u00e9.<\/p>\n Dans un mod\u00e8le op\u00e9rationnel f\u00e9d\u00e9r\u00e9, des security champions<\/strong> sont int\u00e9gr\u00e9s au sein de chaque \u00e9quipe de d\u00e9veloppement. Une \u00e9quipe centrale d\u00e9finit les politiques et les standards g\u00e9n\u00e9raux, mais les \u00e9quipes individuelles sont responsables de l’impl\u00e9mentation des contr\u00f4les de s\u00e9curit\u00e9 dans leurs propres pipelines et workflows.<\/p>\n Caract\u00e9ristiques :<\/strong><\/p>\n Convient le mieux \u00e0 :<\/strong> Les grandes organisations avec des \u00e9quipes de d\u00e9veloppement matures, une forte culture d’ing\u00e9nierie et la capacit\u00e9 de former et de soutenir des security champions distribu\u00e9s.<\/p>\n Le mod\u00e8le op\u00e9rationnel hybride combine des \u00e9l\u00e9ments des deux. Une \u00e9quipe centrale poss\u00e8de la s\u00e9curit\u00e9 de la plateforme, les outils partag\u00e9s et la d\u00e9finition des politiques<\/strong>. Des security champions int\u00e9gr\u00e9s g\u00e8rent les d\u00e9cisions de s\u00e9curit\u00e9 au niveau applicatif<\/strong> au sein de leurs \u00e9quipes, op\u00e9rant dans les limites d\u00e9finies centralement.<\/p>\n Caract\u00e9ristiques :<\/strong><\/p>\n Convient le mieux \u00e0 :<\/strong> La plupart des organisations r\u00e9glement\u00e9es cherchant un \u00e9quilibre entre coh\u00e9rence des contr\u00f4les et rapidit\u00e9 de livraison. C’est le mod\u00e8le le plus courant dans les services financiers matures et les organisations d’infrastructures critiques.<\/p>\nTrois mod\u00e8les op\u00e9rationnels expliqu\u00e9s<\/h2>\n
Mod\u00e8le centralis\u00e9<\/h3>\n
\n
Mod\u00e8le f\u00e9d\u00e9r\u00e9<\/h3>\n
\n
Mod\u00e8le hybride<\/h3>\n
\n
Comparaison d\u00e9taill\u00e9e<\/h2>\n