La sécurité de l'information est souvent négligée dans les entreprises. Pourtant, elle intervient dans presque tous les domaines de gestion d'une organisation. En effet, les informations dont disposent les entreprises sont de plus en plus gérées par des systèmes informatiques développés par des ingénieurs en Génie Logiciel. Ceux-ci doivent prendre en considération des mesures afin de protéger les données traitées par les applications développées. La plupart des développeurs dans le contexte africain ne réalisent pas la place importante qu'ils occupent dans la sécurisation d'un système d'information. Le Google Developer Group Abidjan a regroupé des jeunes développeurs afin de les instruire sur différents sujets en rapport avec leur domaine. Le GDG a jugé important de leur présenter la sécurité des développements afin qu'ils puissent se familiariser aux différentes notions.

1. [Location]
Walter Michael TACKA
Cyber-stratégie & Gouvernance IT
Speaker Image
Placeholder
Les développeurs & IT au
cœur de la Sécurité de
l’Information

2. Plan de la présentation
1. Définition de la
sécurité de
l’information
2. Domaine d’application de
la sécurité de
l’information
3. La sécurité dans le
cycle de vie des
développements

3. Définition de la
sécurité de
l’information

4. Définition de la Sécurité de l’information
La sécurité de l’information est un dispositif global dont la
mise en œuvre assure la protection de la confidentialité,
l’intégrité et la disponibilité de l’information :
1. Confidentialité : propriété par laquelle l’information n’est
pas diffusée ni divulguée à des personnes, des entités ou des
processus non autorisés
2. Intégrité : Propriété d’exactitude et de complétude
3. Disponibilité : Propriété d’être accessible et utilisable à la
demande par une entité autorisée

5. Enjeux de la sécurité de l’information
L’enjeu majeur de la sécurité de l’information est de se prémunir
contre les cyber-attaques afin d’éviter les conséquences
auxquelles les organisations pourraient être exposées. Elle
permet tout de même de :
1. Renforcer la réputation de l’organisation
2. Se conformer aux exigences légales et réglementaires
3. Renforcer la confiance des partenaires
4. Réduire les risques de pertes financières
5. Mieux coordonner les activités de sécurité avec les
différents acteurs
6. Assurer la pérennité de l’organisation

6. Domaine
d’application de la
sécurité de
l’information

7. Sécurité Informatique & Sécurité de l’Information
Information ou données sur différents supports
Processus et activités
Structure organisationnelle
Ressources humaines
Physique & environnemental
sécurité technique :
Réseau informatique
Outils de télécommunication
Application
Système
Terminaux
Sécurité de l’information
Sécurité informatique
Départements /
Directions
d’affaires
Départements /
Directions
informatiques

8. 80%
Sécurité de l’information
D’organisation
20%
De technique

9. Domaine d’application de la sécurité de l’information
Gestion des risques
Gestion des
vulnérabilités
techniques
Sécurité réseau &
système
Gestion des logs
Gestion des incidents
Gestion des
développements
Gestion de
l’exploitation
Conformité
Gestion des actifs
Gestion des
ressources humaines
Gestion des accès
Sécurité physique
Cryptographie
Continuité d’activité
Organisation projet
Normes & méthodes
Sensibilisation &
Formation
Gestion des coûts &
des gains
Audit & Revue

10. La sécurité dans le
cycle de vie des
développements

11. Définition & Objectifs de la sécurité des développements
La sécurité des développements a pour objectif de s’assurer que les
questions de sécurité de l’information sont étudiées et prises en
compte dans le cadre du cycle de vie du développement des systèmes
d’information.
Les développements prennent en compte tout logiciel ou tout système.
La sécurité des développements permet de réduire les risques
d’incidents et garantit une haute résilience des systèmes.

12. Identification des actifs du cycle de vie du
développement
1. Les équipes de développement
2. Les méthodes de conception et de développement
3. Les outils de gestion du code source
4. Les PC des développeurs
5. Les serveurs d’hébergement
6. Les réseaux et infrastructures
7. Les codes sources

13. Vulnérabilités & menaces dans le cycle de vie du
développement
Cyber-
criminel
Espion Employé
licencié
Employé
mécontent ou
malveillant
Sources de menace Vulnérabilités Menaces
Erreurs humaines
Dysfonctionnement
Divulgation de code
source
Reproduction
frauduleuse
Corruption des
données
Traitement illégal des
données
Ecoute
Absence de contrôle des modifications
Dispositions absentes ou insuffisantes
dans les contrats
Absence de journalisation
Vol de code source
Bibliothèques vulnérables
Spécifications des développements
confuses

14. Mesures de traitement
Vulnérabilités Mesures
Erreurs humaines
Politique/processus de développement sécurisé
Procédure de contrôle des changements
Revue technique des applications
Tests de sécurité des systèmes développés
Environnement de développement sécurisé
Absence de contrôle des modifications
Dispositions absentes ou insuffisantes
dans les contrats
Absence de journalisation
Bibliothèques vulnérables
Spécifications des développements
confuses
Clauses contractuelles de confidentialité et de non
divulgation des informations

15. Conception
3. Conception du
système
9. Mise en ligne du
code source
2. Choix de la
méthode de
développement
6. Tests du code
source
5.Développement
du code source
4. Demande de
changement
1. Compréhension
du cahier de
charges
Développement Tests Mise en production
Processus de développement sécurisé
8. Tests de
vulnérabilités
7. Tests unitaires
& fonctionnels

16. 3. Conception
La conception doit inclure une analyse des risques pouvant survenir dans l’exploitation du système. Elle
doit inclure également les différents contrôles et mesures de sécurité à intégrer dans l’application.
L’identification des risques peut mener à la mise en place de certaines fonctionnalités, notamment :
1. L’authentification : L’accès aux données aux personnes autorisées doit être garanti par un
mécanisme d’authentification.
2. La validation à plusieurs étapes : Des actions peuvent être jugées très sensibles et requièrent
donc d’être validées avant son exécution effective. Un processus de validation en plusieurs étapes
peut être implémenté afin que d’autres acteurs viennent approuver l’action réalisée par l’acteur
initial.
3. La signature des données : La conception doit inclure un moyen de vérifier l’intégrité des données
grâce à la cryptographie pour s’assurer que les données n’ont pas été altérées lors de la
transmission.

17. 3. Conception
4. La gestion des rôles et des privilèges : Une fonctionnalité permettant de gérer les actions que pourront réaliser les
utilisateurs doit être implémentée. Selon le principe du moindre privilège, les privilèges sont attribués aux utilisateurs afin de
s’assurer de la confidentialité des données auxquelles ces utilisateurs n’ont pas droit.
5. La journalisation des actions réalisées dans le système : Pendant la conception, les différents niveaux de journalisation
doivent être identifiés selon la sensibilité des actions et des données traitées. La journalisation inclut :
1. l’action menée (ou la ressource affectée)
2. la date et l’heure de l’action
3. l’utilisateur qui réalise l’action
4. le type d’action
5. le résultat de l’action (succès ou échec)
6. l’origine de l’action
6. La maintenance du système : Le système doit pouvoir être mis en maintenance totalement ou partiellement, généralement
pour résoudre un incident ou un bug. Cette fonctionnalité permet donc de créer une indisponibilité momentanée dans une
optique d’amélioration

18. 3. Conception
Dans la phase de choix de la stack technologique, une attention particulière doit être portée au choix du langage de
programmation
La stack technologique doit être choisie parmi les meilleurs outils. Les outils avec les caractéristiques suivantes doivent
être évités :
1. L’obsolescence : les outils dont les versions sont obsolètes doivent être évités. Ces outils ne sont plus maintenus
et les patchs de sécurité pour les vulnérabilités ne sont pas mis à jour pour sécuriser l’outil. Pour les cas particuliers
où les exigences requièrent l’utilisation de ces outils, il est nécessaire de définir des mesures pour maîtriser le
risque.
2. Une faible communauté soutenant l’outil : un outil avec une forte communauté est un facteur assurant des mises
à jour fréquentes. La forte communauté participe donc à la découverte des vulnérabilités et à la mise en place des
correctifs de sécurité.
3. Un framework dans sa phase de naissance : les framework dans leur phase de naissance sont déconseillés pour
des projets d’entreprise et d’envergure, sauf si elle est portée par une entreprise avec une forte notoriété. Avec le
temps, les frameworks sont dotés de méthodes de sécurisation face aux attaques les plus fréquentes.

19. 4. Demande de changement
La demande de changement est associée à la procédure de contrôle des changements. Afin
de limiter les dysfonctionnements, il est essentiel de maîtriser les changements réalisés sur un
système. Dans une approche globale de gestion de la sécurité du système d’information,
l’analyse permettant de décider s’il est nécessaire de mettre en place un nouvel outil dans le
système d’information d’une entreprise démarre par une demande de changement. Il est
conseillé de répertorier les informations suivantes dans la demande de changement :
1. Les raisons de la demande de changement
2. La description du changement à apporter
3. Les parties prenantes
4. Les entités impactées
5. Les grandes étapes de mise en place du changement
6. Le délai de réalisation

20. 6-7. Tests unitaires & fonctionnels
Les tests unitaires & fonctionnels sont associés aux mesures de revue technique des applications.
Différents tests sont réalisés dans un processus de développement sécurisé afin de s’assurer que les
systèmes en production présentent un minimum de faiblesses au niveau fonctionnel.
1. Test unitaire : Des tests doivent être réalisés fonction par fonction. Des tests unitaires pour les
fonctions de sécurité intégrées dans le système doivent être également réalisés.
2. Test d’intégration : les différents modules du système sont assemblés et testés dans leur
ensemble.
3. Revue de code ou de configuration : Dans le cas des développements de logiciels, un
spécialiste dans le langage de programmation utilisé ou un outil automatique vérifie si les bonnes
pratiques de programmation du langage et les règles d’hygiène définies sont appliquées. Le
spécialiste ou l’outil vérifie entre autres si le code source ne comporte pas de données sensibles
telles que des tokens ou des mots de passe. Pour les systèmes configurables, une checklist des
configurations réalisées doit être dressée afin de vérifier chaque point de contrôle.

21. 8. Scans de vulnérabilités
Les scans de vulnérabilités sont associées à la mesure de test de la sécurité des systèmes développés.
Le code source ou l’environnement est scanné afin de vérifier s’il ne comporte pas de vulnérabilités.
Il existe un classement des vulnérabilités les plus répandues dans le développement.
Le top 10 d’OWASP s’actualise chaque année avec l’évolution du hacking.
TOP 10 OWASP 2021 :
● A01:2021 - Contrôles d'accès défaillants
● A02:2021 - Défaillances cryptographiques
● A03:2021 - Injection
● A04:2021 - Conception non sécurisée
● A05:2021 - Mauvaise configuration de sécurité
● A06:2021 - Composants vulnérables et obsolètes
● A07:2021 - Identification et authentification de mauvaise qualité
● A08:2021 - Manque d'intégrité des données et du logiciel
● A09:2021 - Carence des systèmes de contrôle et de journalisation
● A10:2021 - Falsification de requête côté serveur

22. 9. Mise en ligne du code source
La mise en ligne du code source se fait en s’assurant que les règles des étapes précédentes
sont appliquées et que tous les tests ont été concluants.
Le passage dans l’environnement de production doit être précédé par un passage vers un
environnement intermédiaire qui permettra à des utilisateurs d’éprouver le système afin de
réduire les risques d’erreur et de relever les points essentiels qui sont passés entre les mailles
du filet du processus.

23. “ Un jour j'irai vivre en Théorie, car en
Théorie tout se passe bien ” Sun Tzu

24. Difficultés d’intégration de la sécurité dans le cycle de
développement
1. Un manque de sensibilisation des équipes de développement sur
l’importance de la sécurité
2. La complexité de la démarche à adopter
3. Le niveau de connaissance en sécurité de l’information
4. Le caractère unique d’un développement

25. Merci de votre
attention !
LinkedIn