Formation DevSecOps : La Sécurité pour le Développement Agile

Programme de notre formation DevSecOps

[Jour 1 – Matin]

Intégrer la sécurité dans le cycle de développement

• Comprendre la culture DevSecOps et le principe de responsabilité partagée entre développement, sécurité et opérations
• Intégrer la sécurité dans le Secure Software Development Lifecycle (SSDLC)
• Identifier les exigences de sécurité dès la conception et appliquer une démarche Shift Left
• Modéliser les menaces et analyser les risques d’une application
• Exploiter les référentiels OWASP Top 10 et OWASP ASVS pour définir les contrôles de sécurité
• Atelier pratique : réaliser un threat modeling d’une application et identifier les contrôles à intégrer dans son cycle de développement.

[Jour 1 – Après-midi]

Sécuriser le code, les dépendances et la supply chain

• Détecter les vulnérabilités du code avec les outils de SAST et intégrer leur analyse dans le workflow développeur
• Analyser les dépendances et composants open source avec le Software Composition Analysis (SCA)
• Détecter et empêcher la publication de secrets, clés API et identifiants dans les dépôts Git
• Comprendre le rôle des SBOM, signatures et provenance dans la sécurisation de la supply chain logicielle
• Prioriser les vulnérabilités et organiser leur remédiation selon le risque et le contexte applicatif
• Atelier pratique : analyser un dépôt, détecter code vulnérable, dépendances à risque et secrets puis définir les actions de remédiation.

[Jour 2 – Matin]

Automatiser les contrôles de sécurité dans les pipelines CI/CD

• Positionner les contrôles SAST, SCA, secret scanning et DAST aux différentes étapes du pipeline
• Définir des security gates et des critères de blocage adaptés au niveau de risque
• Automatiser les tests de sécurité applicative avec OWASP ZAP
• Gérer les résultats, faux positifs et exceptions sans ralentir inutilement les équipes
• Structurer les feedbacks de sécurité pour accélérer la correction par les développeurs
• Atelier pratique : intégrer plusieurs contrôles de sécurité dans un pipeline CI/CD et bloquer automatiquement une livraison présentant une vulnérabilité critique.

[Jour 2 – Après-midi]

Sécuriser les conteneurs et l’Infrastructure as Code

• Analyser les images de conteneurs, dépendances et configurations avant leur déploiement
• Réduire la surface d’attaque des images et appliquer les bonnes pratiques de gestion des privilèges
• Scanner les configurations Infrastructure as Code (IaC) pour détecter les erreurs de sécurité
• Appliquer des règles de sécurité avec une approche Policy as Code
• Sécuriser les secrets et paramètres sensibles utilisés par les pipelines et infrastructures
• Atelier pratique : analyser une image de conteneur et une configuration IaC, corriger les risques puis appliquer une politique de conformité automatisée.

[Jour 3 – Matin]

Tester, superviser et traiter les vulnérabilités en continu

• Combiner les résultats des différents outils pour obtenir une vision cohérente du risque applicatif
• Prioriser les vulnérabilités selon leur criticité, leur exploitabilité et l’exposition du composant
• Mettre en place des métriques et indicateurs permettant de suivre la maturité DevSecOps
• Intégrer logs, alertes et informations de sécurité aux processus de supervision et de réponse
• Exploiter l’IA pour assister l’analyse, le triage et la remédiation sans automatiser aveuglément les décisions de sécurité
• Atelier pratique : analyser les résultats de plusieurs contrôles, prioriser les vulnérabilités et construire un plan de remédiation exploitable par l’équipe.

[Jour 3 – Après-midi]

Industrialiser une démarche DevSecOps

• Définir les responsabilités des équipes Development, Security et Operations dans le cycle de livraison
• Construire des standards, modèles de pipelines et contrôles réutilisables entre les projets
• Définir les seuils, exceptions et processus de validation nécessaires à une gouvernance efficace
• Mesurer la maturité DevSecOps et identifier les axes d’amélioration continue
• Construire une feuille de route permettant de déployer progressivement la démarche dans une organisation
• Atelier pratique : sécuriser un pipeline de bout en bout puis définir une feuille de route DevSecOps adaptée à son organisation.