DEVSECOPS Foundation

---

OBJECTIFS :

• Comprendre le but, les avantages, les concepts et le vocabulaire de DevSecOps
• Discerner les différences entre les pratiques de sécurité DevOps et les autres approches de sécurité
• Déceler les stratégies de sécurité axées sur l’entreprise
• Comprendre et appliquer les sciences des données et de la sécurité

PROGRAMME DE FORMATION :

Introduction et explication sur DevSecOps

• Objectifs et déroulé du cours
• Exercice : schématiser votre pipeline CI / CD

Pourquoi DevSecOps ?

• Terminologie et notions clés
• Pourquoi DevSecOps devient de plus en plus important
• Trois façons de penser l’approche DevOps avec la sécurité
• Principes clés de DevSecOps

Culture Management

• Terminologie et notions clés
• Modèle d’incitation
• La résilience
• La culture organisationnelle
• Générativité
• Erickson, Westrum et LaLoux
• Exercice : Influencer la culture

Considérations stratégiques

• Terminologie et notions clés
• Quel volume de sécurité est considéré comme suffisant?
• Modélisation de la menace
• Le contexte est tout
• Gestion des risques dans un monde à grande vitesse
• Exercice : Mesurer le succès

Considérations générales sur la sécurité

• Éviter le piège de la case à cocher
• Hygiène de sécurité élémentaire
• Considérations architecturales
• Identité fédérée
• Gestion des journaux

IAM : Gestion des identités et des accès

• Terminologie et notions clés
• Concepts de base d’IAM
• Directives de mise en œuvre
• Opportunités d’automatisation
• Comment se faire mal avec IAM
• Exercice : surmonter les défis de l’IAM

Sécurité des applications

• Tests de sécurité des applications (AST)
• Techniques d’essai
• Prioriser les techniques de test
• Intégration de la gestion des problèmes
• Modélisation de la menace
• Automatiser

Sécurité opérationnelle

• Terminologie et notions clés
• Pratiques d’hygiène de sécurité de base
• Rôle de la gestion des opérations
• L’environnement des opérations
• Exercice : Ajout de sécurité à votre pipeline CI / CD

Gouvernance, Risques, Conformité (GRC) et Audit

• Terminologie et notions clés
• Qu’est-ce que la GRC ?
• Pourquoi se soucier de la GRC ?
• Repenser les politiques
• Politique en tant que code
• Déplacement de la vérification à gauche
• Trois mythes sur la séparation des tâches et les DevOps
• Exercice : Mise en œuvre de stratégies, d’audit et de conformité avec DevOps

Journalisation, surveillance et réponse

• Terminologie et notions clés
• Configuration de la gestion des journaux
• Réponse aux incidents et expertise judiciaire
• Intelligence de la menace et partage de l’information

Préparation à l’examen

• Critères d’examen, pondération des questions et liste de terminologie
• Exemple d’examen

---

INFORMATIONS COMPLÉMENTAIRES :

PUBLIC VISÉ

• Développeurs
• Architectes
• Administrateurs

PRÉ-REQUIS

• Avoir des connaissances sur l’automatisation avec ANSIBLE ou équivalent
• Avoir des connaissances de base en administration Linux / Unix et en scripting

RESSOURCES

• Supports pédagogiques
• 30% de théorie
• 70% de pratique

MODALITÉS D’ACCÈS

• Présentiel
• A distance
• Interentreprises
• Intra-entreprise

MÉTHODES PÉDAGOGIQUES

• Apport magistral et interactivité
• Travaux pratiques

ÉVALUATION

• Exercices pratiques
• Mise en situation