What's your name?

Score

Déployer sur les serveurs de production.

Connaitre tous les secrets (tokens, clés, mots de passe). 

Nos dépendances proviennent toutes de sources de confiance, validées par l’organisation. 

Nos pipelines CI/CD sont systématiquement documentés.

Les équipes tech ont défini elles-mêmes les exigences.

Je n’ai pas d’exigences de sécurité définies.

Nous sommes audit-ready, nous avons des rapports automatiques et un suivi de notre progression vers la conformité avec un historique.

Les équipes sécurité et techniques réalisent des audits ponctuels et manuels et fournissent un rapport Excel ou PDF.

Injection de code malveillant dans notre organisation.

Exfiltration de code, des secrets et accéder à la production. 

Perte de certification ou subir des pénalités financières (audit)

Les équipes passeraient en mode pompier pour arrêter l'hémorragie

Le CTO, le CISO et les responsables techniques s’exposent à de lourdes conséquences, jusqu’à perdre leur poste.

L'attaquant pourrait uniquement consulter le code source.

Aucun risque réel, nos pipelines ne peuvent pas être compromis. Aucune attaque n’est possible.

Moins de 5 minutes par pipeline — juste 2-3 clics sur l'outil de suivi de conformité des pipelines CI/CD.

Entre 45 minutes et 2 heures par pipeline —  impliquant de multiples échanges avec les équipes Dev, Sec et Ops.

Aucune idée. On n’audite jamais le code de nos pipelines CI/CD