Le problème à résoudre
La sécurité intervient en bout de chaîne, juste avant la mise en production, comme un goulot d’étranglement qui bloque ou retarde les livraisons. Résultat : tension entre vitesse et sécurité, et failles découvertes trop tard.
La promesse pour la direction
Votre ingénieur intègre la sécurité dès le début (shift-left) : analyse automatisée du code, des dépendances et des images dans la CI/CD — une sécurité continue qui accélère au lieu de freiner.
Ce que le parcours débloque
Dès le commit
Moment de détection des failles
Conciliées
Sécurité vs vitesse
Bloqués
Secrets exposés
Le cadre
| Élément | Valeur |
|---|---|
| Profil cible | Ingénieur sécurité ou DevOps |
| Prérequis | CI/CD, conteneurs, bases sécurité |
| Durée | 6 mois (accélérateur) |
| Format | Blended · 70 % de pratique |
Pile technique maîtrisée à l’issue
Trivy · Snyk · SonarQube · OWASP ZAP · Gitleaks · OPA / Kyverno · GitLab CI
Les jalons
Une trajectoire pour un collaborateur déjà en poste. Chaque mois est validé par un livrable et un critère d’acceptation écrit à l’avance.
| Mois | Thème | Atelier | Validation |
|---|---|---|---|
| M1 | Shift-left security Sécurité intégrée | Intégrer un premier contrôle de sécurité en CI | ✔ Contrôle de sécurité automatisé |
| M2 | Analyse du code SAST | Détecter les failles dans le code | ✔ Vulnérabilités de code bloquées |
| M3 | Dépendances & images SCA & scan d’images | Scanner dépendances et conteneurs | ✔ CVE détectées avant la prod |
| M4 | Secrets & configuration Detection & durcissement | Détecter les secrets et durcir les configs | ✔ Aucun secret exposé en CI |
| M5 | Sécurité à l’exécution Runtime & policies | Appliquer des politiques de sécurité K8s | ✔ Politiques de sécurité appliquées |
| M6 | Projet DevSecOps Chaîne sécurisée | Sécuriser une chaîne de livraison réelle | ✔ Soutenance + faille bloquée |
Ce parcours dans une carrière
Il figure dans un cursus documenté. Voici où il se situe.
C3 · De la chaîne de livraison au DevSecOps
Aboutissement : Architecte Zero Trust