La chaîne d’approvisionnement logicielle exige davantage de visibilité sur les composants et les fournisseurs
Les entreprises veulent savoir quelles bibliothèques et dépendances composent leurs applications pour réagir plus rapidement aux nouvelles vulnérabilités.
Résumé de l’actualité
Une application d’entreprise peut contenir des centaines ou des milliers de composants qui n’ont pas été développés en interne. Les bibliothèques open source, les packages commerciaux, les images de base et les services externes forment une chaîne d’approvisionnement numérique difficile à cartographier. Lorsqu’une vulnérabilité critique apparaît dans l’un de ces composants, la première question est simple et la réponse parfois difficile à trouver: ¿l’utilisons-nous?
C’est pourquoi les inventaires de composants et les SBOM, listes structurées des éléments qui composent un logiciel, prennent de l’importance. Leur intérêt ne réside pas uniquement dans la production d’un document, mais dans la capacité à relier une nouvelle vulnérabilité aux applications concernées et à prioriser les actions à mener.
La maîtrise des risques commence aussi en amont. Vérifier la provenance des dépendances, verrouiller les versions, valider les signatures et protéger les dépôts de développement réduit le risque qu’un composant altéré arrive en production. Les identités utilisées par les pipelines d’intégration et de déploiement doivent également être traitées comme des identifiants d’accès critiques.
Pour les entreprises qui achètent des logiciels, la chaîne d’approvisionnement inclut les fournisseurs. Les interroger sur leur gestion des vulnérabilités, des mises à jour et des accès à distance aide à comprendre quel risque est externalisé.
Il ne s’agit pas d’éliminer les dépendances, ce qui est pratiquement impossible, mais de disposer d’une visibilité suffisante pour agir rapidement.
Pour les équipes de développement, une bonne pratique consiste à pouvoir retrouver un composant vulnérable à partir d’une application donnée et à faire le chemin inverse. Cette traçabilité transforme l’inventaire en outil opérationnel. L’automatiser dans le pipeline évite que les informations deviennent obsolètes peu après la génération d’un SBOM.
Ce qui change dans la gestion des logiciels
Une application d’entreprise peut contenir des centaines ou des milliers de composants qui n’ont pas été développés en interne: bibliothèques open source, packages commerciaux, images de base et services externes forment une chaîne d’approvisionnement numérique difficile à cartographier. Lorsqu’une vulnérabilité critique apparaît dans l’un de ces composants, la première question est simple et parfois difficile à résoudre: ¿l’utilisons-nous?
C’est pourquoi les inventaires de composants et les SBOM, listes structurées des éléments qui composent un logiciel, prennent de l’importance. Leur intérêt ne se limite pas à produire un document, mais réside dans la possibilité de relier une nouvelle vulnérabilité aux applications concernées et de prioriser les actions à mener.
Pourquoi cela concerne aussi les acheteurs de logiciels
La maîtrise des risques commence avant l’apparition d’une vulnérabilité: vérifier la provenance des dépendances, figer les versions, valider les signatures et protéger les dépôts de développement réduit le risque qu’un composant altéré arrive en production. Les identités utilisées par les pipelines d’intégration et de déploiement doivent être considérées comme des identifiants critiques.
Pour les entreprises qui achètent des logiciels au lieu de les développer, la chaîne d’approvisionnement inclut leurs fournisseurs. Leur demander comment ils gèrent les vulnérabilités, les mises à jour et les accès à distance aide à comprendre quels risques sont externalisés.
Les points à vérifier
Des mesures concrètes pour gagner en visibilité sans chercher à éliminer toute dépendance:
- Disposer d’un inventaire ou d’un SBOM des applications critiques, même dans une première version.
- Pouvoir relier une vulnérabilité précise aux applications qui utilisent le composant concerné.
- Figer les versions et valider la provenance des dépendances avant de les intégrer.
- Demander aux fournisseurs de logiciels comment ils gèrent leurs propres vulnérabilités et accès.
Questions fréquentes
- ¿Qu’est-ce qu’un SBOM?
- C’est une liste structurée des composants d’un logiciel, qui permet de savoir rapidement si une vulnérabilité affecte une application donnée.
- ¿Cela concerne-t-il uniquement les grandes entreprises du logiciel?
- Non. Toute entreprise utilisant des applications comportant de nombreuses dépendances, internes ou tierces, a intérêt à disposer d’une visibilité sur leurs composants.
- ¿Faut-il éliminer toutes les dépendances externes?
- Ce n’est ni réaliste ni nécessaire. L’objectif est de disposer d’une visibilité suffisante pour agir rapidement lorsqu’une vulnérabilité apparaît.
Notions mentionnées dans cet article: Vulnérabilité
Seintec peut vous aider à examiner vos processus de développement, vos dépendances et vos fournisseurs technologiques pour renforcer la sécurité de votre chaîne d’approvisionnement. Si vous souhaitez savoir quels composants sous-tendent vos services critiques et comment vous réagiriez à une vulnérabilité majeure, contactez-nous pour faire le point.
Contacter SeintecService associé
Cybersécurité
Nous protégeons votre entreprise pour que son activité ne s’arrête jamais.