Formation Formation Démarches DevOps et Sécurité : Fondations Essentielles

01.Introduction au DevSecOps et ses enjeux

• —Définition et positionnement du DevSecOps
• —Historique et évolution des Ops, DevOps vers DevSecOps
• —Les défis sécuritaires dans le cycle de vie logiciel (SDLC)
• —Avantages stratégiques de l'intégration de la sécurité

02.Principes fondamentaux de la Sécurité Logicielle

• —Les menaces courantes et vulnérabilités (OWASP Top 10)
• —Principes de sécurité : CIA (Confidentiality, Integrity, Availability)
• —Cadres et normes de sécurité (ISO 27001, NIST, GDPR)
• —Bonnes pratiques de codage sécurisé et de conception

03.Intégration de la Sécurité dans l'Agilité et le DevOps

• —Le manifeste Agile et ses implications pour la sécurité
• —Culture DevOps : Collaboration, Automatisation, Mesure, Partage
• —Shift Left Security : Intégrer la sécurité plus tôt
• —Rôle et responsabilités des équipes DevSecOps

04.Sécuriser la Phase de Conception et de Planification

05.Sécurité dans le Développement (Secure Coding)

06.Sécurité des Tests et des Artefacts (CI/CD)

• —Tests de sécurité dynamiques (DAST) et interactifs (IAST)
• —Tests d'intégration et de non-régression sécuritaires
• —Analyse de sécurité des conteneurs et images Docker
• —Gestion sécurisée des artefacts et des dépôts

07.Sécurité de l'Infrastructure et du Déploiement

• —Infrastructure as Code (IaC) et configuration sécurisée
• —Sécurité des pipelines CI/CD (Secrets, accès, audit)
• —Gestion des vulnérabilités dans l'environnement de production
• —Sécurité des API et des microservices

08.Surveillance et Opérations Sécurisées (SecOps)

• —Monitoring continu de la sécurité (SIEM, EDR)
• —Gestion des incidents de sécurité (Response and Recovery)
• —Logging et audit de sécurité des applications et infrastructures
• —Gestion des patchs et mises à jour de sécurité

09.Automatisation de la Sécurité dans le Pipeline

• —Orchestration des outils de sécurité dans le CI/CD
• —Intégration des tests de sécurité automatisés
• —Politiques de sécurité automatisées et conformité
• —Workflow d'approbation et de gating de sécurité
• —=== MODULE_NUMBER: 10
• —MODULE_TITLE: Audit, Conformité et Gouvernance DevSecOps
• —MODULE_CONTENT:
• —Audits de sécurité et penetration testing
• —Rapports de conformité et de performance DevSecOps
• —Rôles et responsabilités DevSecOps (CISO, Security Champion)
• —Indicateurs clés de performance (KPI) de sécurité

10.Outils et Technologies DevSecOps Émergents

• —Présentation des écosystèmes d'outils DevSecOps
• —Introduction à des outils spécifiques (GitHub Actions, Jenkins, SonarQube)
• —Concepts de Zero Trust et Authentification forte
• —Sécurité sans serveur (Serverless Security)

11.Implémentation et Culture DevSecOps

• —Étapes clés pour démarrer une démarche DevSecOps
• —Surmonter les obstacles et les résistances au changement
• —Développer une culture de la sécurité partagée et responsabilisée
• —Bonnes pratiques et retours d'expérience DevSecOps
• —=== COMPETENCE ===
• —COMPETENCE_NUMBER: 1
• —COMPETENCE_NAME: Intégrer sécurité dès la conception logicielle
• —COMPETENCE_CONTENT: Appliquer les principes de Shift Left Security pour anticiper et adresser les risques de sécurité dès les phases de conception et de planification du cycle de développement logiciel, en utilisant des modèles de menaces et des exigences de sécurité.
• —=== COMPETENCE ===
• —COMPETENCE_NUMBER: 2
• —COMPETENCE_NAME: Automatiser sécurité dans pipelines CI/CD
• —COMPETENCE_CONTENT: Mettre en œuvre et orchestrer des outils d'analyse de sécurité (SAST, DAST, SCA) au sein de pipelines d'intégration et de déploiement continus (CI/CD) pour identifier et corriger les vulnérabilités de manière proactive et automatisée.
• —=== COMPETENCE ===
• —COMPETENCE_NUMBER: 3
• —COMPETENCE_NAME: Maîtriser les bonnes pratiques de sécurité des applications
• —COMPETENCE_CONTENT: Appliquer les bonnes pratiques de codage sécurisé, de gestion des secrets et de sécurité des dépendances, et surveiller la sécurité des applications déployées en production via des outils de monitoring et de gestion des incidents.
• —=== COMPETENCE ===
• —COMPETENCE_NUMBER: 4
• —COMPETENCE_NAME: Développer une culture de sécurité partagée
• —COMPETENCE_CONTENT: Promouvoir une culture de sécurité collaborative et responsabilisée au sein des équipes DevOps, en sensibilisant aux enjeux de sécurité et en intégrant la sécurité comme responsabilité collective et non isolée.