Talk donné lors de devops REX 2018, la conférence devops 100% retours d'expériences - http://www.devopsrex.fr Pour accompagner l’accélération d’un monde en constante mutation, à la fois imprévisible et riche d’opportunités, Thales a mis en œuvre une démarche active de transformation, adoptant notamment les méthodologies Agiles/Lean et la culture DevOps. Une grande partie de notre activité portant sur des processus métiers critiques et des données sensibles, nous avons rapidement constaté que la confiance est un impératif à cette transformation, et qu’elle passe en particulier par la cybersécurité. C’est pourquoi, entre choc culturel et nécessité d’évolution permanente, nous avons construit une culture DevOps, en y intégrant notre savoir-faire informatique et notre expertise en cybersécurité, pour une démarche DevSecOps de bout-en-bout. Comment déployer du DevSecOps pour des environnements projet multi-sites, multi-clients, ou bien encore dans des contextes contraints où le déploiement de solutions en opération se révèle être une étape critique du projet? L’objectif de cette session est de partager avec vous ces retours d’expérience et les enseignements de la culture DevOps/DevSecOps.

1. DevSecOps

3. Raphaël HIET Gérald COMPOINT

4. Collaborateurs
65 000
Présence à l’international
56 Pays
Budget R&D
797 M€
Un chiffre d’affaires équilibré
DÉFENSE 50% CIVIL 50%
Chiffre d’affaires 2017
15,8 Md€
25,8%
49,5%
24,7%
Autres
Etat
Français
Dassault
AviationRépartition actionnariat
au 31 décembre 2017

5. DEVOPS
DEVSECOPS
1 juin 2008 1 nov. 2012 1 avr. 2017
1 juin 2008 1 nov. 2012 1 avr. 2017

6. SEC
DEV OPS

7. SEC
DEV OPS

8. Atteinte à la VIE
HUMAINE
. . .
ENJEUX DU
SECTEUR
D’ACTIVITÉ

9. ÉTATS
CONCURRENTS
CYBER-DELINQUANTS
PERSONNEL
INTERNE
EXPOSITION
CAPACITE
LE POUVOIR
DE NUISANCE
GROUPES
CYBERCRIMINELS

10. Les Pillliers
du DevSecOps

11. La Gouvernance

12. SECURITE PAR LA
GOUVERNANCE
PSSI-M

13. AUTOMATISATION

14. AUTOMATISATION
ISSUE CODE BUILD TEST DEPLOY OPERATE
Pas
d’alertes
sécurité
Pas de
menaces de
sécurité
majeures
Pentesting
MAINTIEN EN CONDITION DE SECURITE
Pas de
vulnérabilités
critiques
U.S sécurité OK
(code + infra)

15. 650
vulnérabilités
Résultats
d’analyses
Analyse
par
l’expert
4 corr.
Correctifs
prioritaires
700 000
Lignes de
code
Dépôt Code Source
34
majeures
AUTOMATISATION

16. POUR TOUS,
PAR TOUS

17. CODING DOJOS,
HACKATHONS
FORMATIONS,
CERTIFICATIONS
POUR TOUS,
PAR TOUS,
ABUSER STORIES
CHALLENGES

18. LEVEL 3
Etats Tiers
Attaques, Espionnage
LEVEL 2
Attaques Externes pour Profits
LEVEL 1 – Menaces
Employé licencié, Ancien employé
MALWARES, Attaquants, Mauvaise utilisation du S.I
Site Web Compromis, Mauvaise Organisation du S.I
PYRAMIDE
DES RISQUES

19. Security
empowerment
in teams
Attacker
view
(Red team)
Test
& learn
Collaboration &
coaching
Business risk
Approach
Business
Enabler
Over
Security roadmaps
and plans
Over
Solving
theoretical
vulnerabilities
Over
Central
accountable
security team
Over
“pushing” security
Requirements to
teams
Over
Security policy
compliance
Over
Saying “No”
for security
reasons
Automated
Security
Over
Manual controls
& paperwork
CE QUE NOUS PRÉFÉRONS…

20. Et la suite ?

21. DESIGN
THINKING
DesignOps
DEVOPS
SECURITE

22. REMERCIEMENTS