Le contrôle de sécurité tourne là où naît le risque, à chaque changement. La sécurité écrit les règles et les modèles approuvés ; la revue manuelle ne garde que ce qui en sort.
Le contrôle tourne à chaque changement, là où le risque naît. La sécurité écrit les règles, les modèles approuvés et les contrôles ; le CISO les arrête. Ce qui reste dans un modèle passe sans revue séparée ; le reste est revu dès la conception, puis visé avant la production. Un risque gardé se signe au métier (fiche P-14).
Le mécanisme. Une chaîne de causes que le lecteur peut refaire dans sa tête.
Écrite telle qu'on l'entend vraiment en comité : c'est une croyance raisonnable qui a cessé d'être vraie.
« Rien ne part en production sans l'avis de la sécurité. C'est ce qui nous protège. »
Ce qu'aucun modèle ne couvre, un nouveau prestataire, une donnée sensible nouvelle, passe en revue complète. Une revue indépendante imposée par un texte ou un contrat reste, comptée dans le flux ; le juriste dit laquelle (fiche C-15). Aucun contrôle ne voit tout : la surveillance en production reste.
Cinq vérifications observables. Chacune dit où aller regarder, et à quoi on voit que ce n'est pas respecté.
Le plus rapideSuivez la dernière mise en production.
Aucune attente, si elle restait dans un modèle.
« Huit jours. Ils sont débordés. »
Demandez la liste des modèles approuvés.
Authentification, chiffrement, configuration : publiés, datés.
« On demande au CISO, au cas par cas. »
Ouvrez le dernier défaut de sécurité trouvé.
Signalé au développeur, dans son outil, au moment du changement.
Un rapport de cinquante pages, après la recette.
Demandez ce qui déclenche une revue manuelle.
Un critère écrit : hors modèle, ou première utilisation.
Tout passe en revue, « par prudence ».
Dans la duréePrenez le dernier défaut qui revenait.
Il a produit un contrôle partagé, pour toutes les équipes.
Une ligne de plus dans la liste de la revue.
Quatre faux amis. Ce sont eux qui font croire qu'on applique le principe en faisant l'inverse.
Ce n'est pas automatiser la revue de fin
Les deux raccourcissent l'attente.
En fin de chaîne, l'outil trouve le défaut aussi tard. Une revue qui n'arrête rien, hors obligation, se retire (fiche P-25).
Ce n'est pas supprimer la revue de sécurité
Les deux allègent la fin du circuit.
Elle garde ce qui sort des modèles : revue dès la conception, visa avant la mise en production.
Ce n'est pas laisser la sécurité aux développeurs
Les deux mettent le contrôle dans l'équipe.
La sécurité écrit les contrôles, forme, revoit les écarts. Le risque hors modèle se chiffre (fiche O-74) et se signe au métier.
Ce n'est pas cocher une liste de conformité
Les deux s'appuient sur des règles écrites.
La case cochée déclare la règle. Le contrôle s'exécute sur le changement, et laisse sa trace (fiche P-28).
Imaginons… Un établissement de crédit met en production son espace client 120 fois par an, chaque fois après revue de la sécurité.
Sans le principe L'avis attend 8 jours ; une fois sur quatre, un défaut : 4 jours de plus. 9 jours ajoutés en moyenne.
Avec le principe 90 restent dans les modèles ; 30 sont revus, puis visés. 1 jour ajouté ; 400 h au lieu de 1 020.
Le contrôleà chaque changement, dans la chaîne.
La revue manuellepour ce qui sort des modèles, dès la conception.
La sécuritéécrit les règles, les modèles et les contrôles.
Le contrôleun visa, juste avant la mise en production.
La revue manuellepour tout, en fin de chaîne.
La sécuritéinspecte chaque livraison, et devient la file.