Le logiciel moderne a déjà été une structure statique pour se transformer en un écosystème dynamique qui intègre des lignes de code constantes créées par des tiers. Et là, c’est radicalement le véritable défi, car il importe d’importer une seule solution qui implique de transmettre silencieusement un rouge de dépendances secondaires pour le contrôle et l’actualisation de l’alcance directe de l’organisation.
Le logiciel commercial n’est pas développé uniquement dans les organisations. Les applications, plates-formes et services numériques intègrent des bibliothèques, des paquets, des images de conteneurs et des composants de code ouverts créés par des tiers. Ce modèle accélère l’innovation et permet de déployer rapidement de nouvelles fonctionnalités, mais il s’étend également sur une surface de risque que de nombreuses organisations ne comprennent pas aujourd’hui en profondeur.
La chaîne de gestion des logiciels ouvre tous les flux d’applications, de dépendances, d’outils et de dispositifs numériques qui interviennent depuis le développement jusqu’à la production. Parce que chaque composant ajouté peut provoquer de nouvelles dépendances, une vulnérabilité, un paquet malveillant ou une actualisation manipulée, il peut également se propager à des systèmes distincts sans que l’organisation affectée soit l’objectif initial.
Le problème n’est pas le code ouvert
Le code ouvert est essentiel pour l’économie numérique. Le risque n’est pas radical lors de l’utilisation, mais en l’intégrant sans contrôles homogènes, sans connaître votre procédure ou sans connaître la visibilité sur là où vous êtes épuisé. Les équipes peuvent incorporer des logiciels qui gèrent des paquets publics, des référentiels, des archives compressées, des binaires, des sous-modules ou des fragments copiés directement dans le code. De ceci, on en déduit que, lorsque chaque équipe suit une méthode distincte, protéger la chaîne de suministro se vuelve une zone particulièrement complète.
Il s’agit d’une erreur d’uniformité qui génère des points ciegos, car une organisation peut découvrir qu’une bibliothèque vulnérable est présente dans divers services critiques, ou elle reçoit également une alerte et ne sait pas quels produits, clients ou processus dépendent du composant affecté. Dans ce scénario, le temps de réponse s’alourdit et l’exposition augmente.
C’est pourquoi la première étape consiste à réduire les risques liés à la mer qui sont utilisés et utilisés. Maintenir un inventaire complet des composants et dépendances du code ouvert permettant de réagir rapidement avant les paquets compromis, les vulnérabilités connues ou les outils qui ont été ajoutés au final de votre vie utile.
Le code ouvert est essentiel pour l’économie numérique. El riesgo no radicala en usarlo, sino en integrarlo sin controles homogéneos
Cet inventaire doit être complété par une analyse continue des vulnérabilités et des logiciels malveillants, des contrôles sur les sources de téléchargement et des mécanismes pour valider l’intégrité des artefacts. Il est également nécessaire de conserver une chaîne de garde qui doit veiller à ce que les composants déchargés aient suivi le processus autorisé et n’aient pas subi de modifications non autorisées. Nous notons que le risque est dynamique, c’est-à-dire que de nouvelles vulnérabilités apparaissent au moment où les techniques d’attaque évoluent, car ces mesures doivent être révisées de manière périodique et les mises à jour doivent être appliquées rapidement.
De las medidas aisladas a la gobernanza
La protection de la chaîne de contrôle ne peut dépendre de la bonne volonté de chaque développeur ni des révisions manuelles de la fin du projet. Il faut une politique commune pour incorporer, analyser, inventorier, actualiser et auditer les composants.
Les frameworks comme S2C2F planifient une évolution progressive. En un premier niveau, les organisations peuvent utiliser des gestionnaires de paquets, conserver des copies locales, analyser les vulnérabilités et les licences et inventorier les composants. Dans les étapes ultérieures, il est possible d’automatiser les mises à jour, de renforcer la procédure du logiciel, d’analyser les logiciels malveillants ou même de recompiler les artefacts des infrastructures de confiance pour les défenseurs devant des solutions avancées.
Aucune entreprise n’a besoin d’appliquer le niveau le plus exigeant à tous ses projets. La clé est d’adapter les contrôles au niveau de risque et de mettre en œuvre les mesures les plus avancées pour les dépendances et les applications critiques.
Les organisations dépendent du code ouvert et des tiers pour innover, mais il semble que la différence soit dans leur capacité à savoir ce qui consomme, de là à procéder et à répondre quand quelque chose tombe. Dans la chaîne de gestion numérique, la sécurité s’étend bien avant que le logiciel ne démarre la production.
Un changement culturel et technologique
Protéger la chaîne de réussite exige d’intégrer la sécurité dès les premières phases du développement, en suivant le paradigme décaler vers la gaucheet coordonner les équipes de développement, les opérations et la sécurité informatique. Par ailleurs, il faut s’assurer que la vitesse d’entrée ne peut pas améliorer la marge de rentabilité et de confiance.
Depuis l’expérience de ReeVo en entreprise natif du cloudce changement ne consiste pas à ajouter un outil plus important, mais à établir des normes, des responsabilités et des preuves qui accompagnent le logiciel pendant tout votre cycle de vie.
Bien sûr, les organisations dépendront du code ouvert et des tiers pour innover, mais la différence sera dans leur capacité à savoir ce qu’ils consomment, de là à venir et à répondre quand quelque chose tombe. Dans la chaîne de gestion numérique, la sécurité s’étend bien avant que le logiciel ne démarre la production.
Par Sara Trappetti, responsable du marketing produit Cloud Native EMEA, ReeVo
