Expertises · LughSoftware
La sécurité au cœur de l’application
Une application manipule des données, ouvre des accès et échange avec d’autres systèmes. Sa sécurité se prépare dans les choix de conception et se poursuit pendant son développement et son exploitation.
LughSoftware vous accompagne pour traduire vos risques en exigences concrètes, à intégrer au périmètre du projet et aux critères de validation.
Échangeons ensemble →Découvrir la démarche →Consulter le cadre contractuel →
Partir de ce que vous devez protéger
Les échanges avec vos équipes permettent d’identifier les données sensibles, les rôles utilisateurs, les opérations critiques et les interfaces exposées. Nous proposons ensuite de préciser les scénarios de risque et les contrôles attendus.
Cette démarche tient compte de votre application existante, de vos contraintes d’exploitation et des exigences communiquées par vos responsables métier et sécurité.
Intégrer la sécurité à chaque étape
Conception : définir les règles d’accès
Quels utilisateurs peuvent consulter une information, modifier une donnée ou déclencher une opération ? Ces règles sont décrites avec les responsables du produit et reliées aux parcours à développer.
Le cadrage porte également sur les échanges entre composants, les accès d’administration et les informations à conserver pour comprendre un incident.
Développement : rendre les exigences vérifiables
Les contrôles retenus sont intégrés aux tâches de réalisation : autorisations côté serveur, validation des entrées, gestion des secrets et traitement des erreurs. Les dépendances utilisées et les changements sensibles font partie des éléments à examiner.
Le référentiel OWASP ASVS fournit une base pour sélectionner des exigences de vérification de la sécurité applicative. Son utilisation doit préciser les exigences retenues et leur niveau de vérification. Référence OWASP
Tests : examiner les usages autorisés et les abus possibles
La recette de sécurité peut inclure des scénarios d’accès interdit, de modification non autorisée ou d’utilisation inattendue des interfaces. Les résultats et les anomalies sont consignés afin d’organiser leur traitement.
Les analyses automatisées, revues et éventuels tests d’intrusion ont des objectifs complémentaires. Leur périmètre et leurs conditions d’exécution sont convenus avant intervention.
Exploitation : organiser le suivi
La mise en service doit préciser les responsabilités sur les correctifs, les accès, les alertes et les sauvegardes. Le traitement des vulnérabilités et la préparation des réponses aux incidents font partie des sujets à intégrer à l’organisation de maintenance.
Le cadre SSDF du NIST décrit l’intégration des pratiques de sécurité au cycle de développement, y compris la préparation de l’organisation et le traitement des vulnérabilités. Référence NIST
Clarifier ce qui a été contrôlé
Selon le périmètre, les livrables peuvent comprendre une liste d’exigences, une matrice des droits, des résultats de vérification et un suivi des risques restant ouverts. Ils donnent aux responsables du projet une base explicite pour décider de la mise en service.
L’usage d’un référentiel ne constitue pas une certification. Les garanties, audits spécifiques et prestations de surveillance sont définis selon les besoins et les engagements retenus.
Une responsabilité partagée, des interlocuteurs identifiés
Vos responsables fixent les exigences et les décisions d’acceptation. Le lead technique organise leur traduction dans l’application ; le chef de projet suit leur prise en compte. Votre Lugher facilite la transmission du contexte entre vos interlocuteurs et l’équipe en Inde.
Quelles exigences doit respecter votre application ?
Présentez-nous vos utilisateurs, les données traitées et les contraintes déjà identifiées. Nous pourrons préparer un périmètre de travail et les vérifications adaptées.