À quoi ressemble le processus de développement logiciel sécurisé ?
amaise suit un SDLC sécurisé complet (Secure Software Development Lifecycle) :
Modélisation des menaces : audits de sécurité internes trimestriels avec revue de l’architecture et des modèles de conception.
Exigences de sécurité : documentées selon OWASP Top 10 pour chaque catégorie.
Revue de code axée sur la sécurité : obligatoire pour chaque pull request. La checklist comprend : pas de secrets dans le code, pas de données personnelles identifiables dans les logs, validation des entrées, prévention des injections, prévention des XSS, contrôles d’autorisation et séparation des locataires.
Analyse statique du code (SAST) : à chaque build pour tous les langages (Java, Python, TypeScript, Terraform).
Analyse de la composition logicielle (SCA) : vérification automatique de toutes les dépendances pour détecter les vulnérabilités à chaque build.
Scan des secrets : détection automatique des secrets accidentellement introduits à chaque commit.
Tests dynamiques (DAST) : scans externes périodiques et tests de pénétration externes annuels.
Tous les contrôles de sécurité doivent être validés avant de pouvoir fusionner le code. En cas de problème, le build est immédiatement interrompu.