Quand les ambitions de sécurité dépassent la réalité opérationnelle

La sécurité avancée tient ses promesses seulement si elle repose sur une base opérationnelle mature : infrastructure moderne, processus automatisés et culture proactive.

Imaginez qu'une entreprise vient d'approuver l'achat d'un outil de sécurité basé sur l'IA capable de détecter et de classer automatiquement les vulnérabilités en production. Cet outil s'intègre parfaitement dans une logique de sécurité avancée : automatisation complète du CI/CD, ingénierie de plateforme aboutie et orchestration sophistiquée de la sécurité.

Ce n'est qu'après l'intégration qu'une réalité bien plus complexe apparaît. La pile de sécurité n'est pas totalement alignée sur le mode de fonctionnement des équipes d'ingénierie en charge de l’infrastructure, et les systèmes legacy existant génèrent un travail manuel pour les équipes, qui doivent jongler entre différents outils afin de combler les lacunes et vérifier les alertes. Résultat : tous les gains d'efficacité que ce nouvel outil aurait pu apporter sont perdus.

Ce scénario se répète dans de nombreuses usines logicielles. Pour les grands éditeurs de logiciels confrontés à une forte complexité opérationnelle, des ajouts bien intentionnés à un programme de sécurité peuvent accroître encore davantage la complexité et engendrer des problèmes inattendus. La sécurité devient alors un goulot d'étranglement plutôt qu’un levier de performance.

Bien que la mise en place d’une sécurité avancée soit un objectif important, elle requiert une préparation adéquate qui ne se résume pas au simple achat d'un nouvel outil. C'est la maturité opérationnelle qui détermine si une nouvelle solution devient un accélérateur de productivité ou un logiciel coûteux qui ne sera pas utilisé.

L'excellence en matière de sécurité commence par l'excellence opérationnelle

Avant de faire évoluer les opérations de sécurité, il est essentiel de bien comprendre les processus existants qui soutiennent l'infrastructure de sécurité d'une organisation. La maturité opérationnelle varie légèrement d'une organisation à l'autre, mais trois indicateurs clés permettent de déterminer si une organisation est prête à mettre en œuvre des capacités de sécurité plus avancées :

1. L'infrastructure est moderne. Les organisations matures s'appuient sur une infrastructure qui facilite le respect des normes de sécurité. Les architectures cloud-native ou hybrides simplifient les mises à jour et la maintenance, contrairement aux infrastructures legacy, alourdies par la dette technique et la complexité.
2. Les processus de déploiement sont automatisés et bien documentés. Les équipes expérimentées automatisent les pipelines et ont recours à des opérations pilotées par API pour éliminer les tâches répétitives et faire évoluer leurs programmes de sécurité. Elles documentent également leurs processus et collaborent étroitement avec les équipes chargées de l'infrastructure et de la fiabilité afin de maintenir un suivi sophistiqué et une visibilité complète sur l'ensemble des systèmes. Les organisations moins expérimentées s'appuient souvent sur des processus manuels et un savoir-faire institutionnel, ce qui rend quasiment impossible la reproduction des workflows et la collaboration interfonctionnelle.
3. La culture de sécurité est proactive et flexible. La culture peut simplifier ou compliquer la manière dont une organisation réagit lorsque des problèmes surviennent lors de la mise en œuvre. Une culture qui favorise les analyses post-incident sans recherche de responsabilité individuelle et encourage la proactivité facilitera l'évaluation des erreurs et des lacunes d'implémentation, afin de prévenir les problèmes futurs. Les équipes coincées dans des cycles réactifs au sein de leurs workflows existants seront submergées par les nouvelles capacités à mesure que leurs programmes de sécurité se développeront.

Le succès repose sur la capacité à gagner en efficacité et à gérer la dette technique, sans dépendre d'une mise à l'échelle linéaire. Les organisations qui affichent le plus haut degré de maturité sur ces indicateurs seront en mesure de faire évoluer leur programme de sécurité.

Si l'organisation n'est pas prête, une approche progressive s'impose

Lorsqu'une entreprise peine à atteindre ces indicateurs de maturité, elle doit prioriser le renforcement de ses fondations opérationnelles existantes en matière d'ingénierie, plutôt que l'ajout de fonctionnalités plus avancées.

Les approches de sécurité hybrides seront idéales pendant cette transition. À mesure que les pipelines CI/CD sont modernisés, les solutions de type "strangler fig" (qui assurent progressivement la transition entre les systèmes legacy vers une infrastructure moderne) permettent de maintenir la couverture de sécurité tout en modernisant les outils et les processus de manière incrémentale.

Par ailleurs, évitez de vous montrer trop ambitieux avec des délais de transformation trop agressifs ou une surcharge des équipes. Menées simultanément, la migration de plateforme et la refonte des processus peuvent provoquer des perturbations généralisées et compromettre le rythme ainsi que l'efficacité des deux initiatives.

Le temps sera l’élément déterminant. Les organisations qui gèrent à la fois une forte complexité et des efforts de modernisation ambitieux doivent s'attendre à ce que ce processus prenne entre 36 et 48 mois. Espérer des résultats plus rapides conduit souvent à des échecs de mise en œuvre et impose des exigences irréalistes aux équipes. La direction doit être informée de ce calendrier pluriannuel, avec des points d'étape identifiés tout au long du parcours.

À titre d'exemple, voici à quoi ressemblerait un calendrier visant à renforcer la préparation opérationnelle :

• Phase 1 : stabilisation et planification. Évaluez l'état actuel de vos opérations de sécurité logicielle et identifiez les exigences de transformation. C'est à cette étape que vous commencez à construire une architecture de sécurité hybride qui prend en charge les systèmes legacy et modernes, et que vous établissez une roadmap de transformation avec des jalons et des indicateurs de réussite.
• Phase 2 : construction des fondations. Prenez des mesures pour réduire la dette technique et commencez à déployer des modèles hybrides qui lancent des plateformes modernes aux côtés des systèmes legacy. Pilotez des capacités automatisées dans les domaines à forte valeur ajoutée de votre programme qui démontrent déjà un retour sur investissement, et intégrez des initiatives culturelles visant à réduire la résistance organisationnelle et à insuffler une dynamique.
• Phase 3 : accélération. Maintenez la dynamique de transformation. Évaluez les progrès de la migration des systèmes legacy et des efforts de modernisation, et veillez à ce que les capacités émergentes de la plateforme favorisent l'autonomie.
• Phase 4 : optimisation. Mesurez l'amélioration de l'efficacité de votre programme par rapport à votre référence initiale. Confirmez l'état des contraintes liées aux systèmes legacy et évaluez comment une automatisation accrue de la sécurité peut renforcer la vélocité métier.

Ce calendrier sera différent pour chaque organisation.

Vers un programme de sécurité plus robuste

Pour les usines logicielles, la sécurité des produits est intrinsèquement liée à la qualité logicielle. L'excellence en matière de sécurité constitue un avantage concurrentiel déterminant sur le marché actuel. Toutefois, même les outils et les capacités de sécurité basés sur l'IA les plus sophistiqués ne peuvent compenser des opérations et des processus immatures.

Une véritable valeur métier commence par la mise en place de bases opérationnelles solides. Les organisations limitées par des contraintes héritées, une dette technique et des processus manuels n'atteindront jamais l'excellence en matière de sécurité, quel que soit leur investissement.

La mise en place d'une infrastructure et de processus de sécurité logicielle solides doit être la priorité : ce n'est qu'à cette condition que les investissements dans des capacités de sécurité avancées tiendront réellement leurs promesses de transformation.