clement13.net
Photo d’origine : Haute muraille de pierre d'une enceinte fortifiée longeant un chemin.
Description
Haute muraille de pierre d'une enceinte fortifiée longeant un chemin.
Source
En Merker · page d’origine
Licence
CC0 Domaine public
Photo d’origine, non retouchée. L’arrière-plan en est une version stylisée par le site.

Sécurité logicielle — OWASP SAMM

Comment mesurer et améliorer la sécurité du cycle de développement, pratique par pratique, sans tout vouloir faire à la fois ?

≈ 2 min de lectureLecture
En bref
  • 5 fonctions, 15 pratiques.
  • Niveaux 1 à 3 par pratique (0 = point de départ).
  • Profil cible proportionné au risque.
Sur cette page
  1. Fiche d’identité
  2. Pourquoi cette matrice compte dans mon domaine
  3. L’échelle de maturité
    1. Départ implicite
    2. Mise en œuvre initiale
    3. Réalisation structurée
    4. Exploitation optimisée
  4. Les dimensions évaluées
    1. Gouvernance — Stratégie et métriques
    2. Gouvernance — Politique et conformité
    3. Gouvernance — Formation et accompagnement
    4. Conception — Évaluation des menaces
    5. Conception — Exigences de sécurité
    6. Conception — Architecture de sécurité
    7. Implémentation — Construction sécurisée
    8. Implémentation — Déploiement sécurisé
    9. Implémentation — Gestion des défauts
    10. Vérification — Évaluation de l'architecture
    11. Vérification — Tests pilotés par les exigences
    12. Vérification — Tests de sécurité
    13. Opérations — Gestion des incidents
    14. Opérations — Gestion de l'environnement
    15. Opérations — Gestion opérationnelle
  5. Comment l’utiliser
  6. Limites et précautions
  7. Sources et vérification

Fiche d’identité#

Organisme
OWASP (Open Worldwide Application Security Project)
Modèle
Software Assurance Maturity Model (SAMM), version 2
Structure
5 fonctions métier, 15 pratiques de sécurité, 2 volets (streams) par pratique
Échelle
Niveaux de maturité 1 à 3 pour chaque pratique ; le niveau 0 est le point de départ implicite
Accès
Gratuit et ouvert ; boîte à outils d'évaluation disponible

Pourquoi cette matrice compte dans mon domaine#

La sécurité « par conception » est une exigence permanente d'une équipe qui publie des logiciels. SAMM transforme cette exigence en feuille de route : quelles pratiques (menaces, exigences, architecture, tests, incidents…), à quel niveau, et dans quel ordre. Il rend aussi visible ce qui relève du développement et ce qui relève de l'exploitation.

L’échelle de maturité#

Chaque pratique est évaluée sur trois niveaux, cumulatifs. Le niveau 0 est le point de départ implicite : les activités de la pratique ne sont pas remplies.

  1. Départ implicite#

    Les activités de la pratique ne sont pas remplies.

  2. Mise en œuvre initiale#

    Compréhension et mise en place initiales de la pratique, de façon ponctuelle ou partielle.

  3. Réalisation structurée#

    Pratique plus efficace et mieux structurée : définie, répétée, suivie.

  4. Exploitation optimisée#

    Maîtrise complète de la pratique, à l'échelle, avec amélioration continue.

Les dimensions évaluées#

Cinq fonctions métier regroupent quinze pratiques (noms officiels anglais entre parenthèses).

  • Gouvernance — Stratégie et métriques#

    Strategy & Metrics

  • Gouvernance — Politique et conformité#

    Policy & Compliance

  • Gouvernance — Formation et accompagnement#

    Education & Guidance

  • Conception — Évaluation des menaces#

    Threat Assessment

  • Conception — Exigences de sécurité#

    Security Requirements

  • Conception — Architecture de sécurité#

    Security Architecture

  • Implémentation — Construction sécurisée#

    Secure Build

  • Implémentation — Déploiement sécurisé#

    Secure Deployment

  • Implémentation — Gestion des défauts#

    Defect Management

  • Vérification — Évaluation de l'architecture#

    Architecture Assessment

  • Vérification — Tests pilotés par les exigences#

    Requirements-driven Testing

  • Vérification — Tests de sécurité#

    Security Testing

  • Opérations — Gestion des incidents#

    Incident Management

  • Opérations — Gestion de l'environnement#

    Environment Management

  • Opérations — Gestion opérationnelle#

    Operational Management

Comment l’utiliser#

  1. Évaluer les quinze pratiques (questionnaire fourni par SAMM).
  2. Fixer un profil cible adapté au risque, pratique par pratique.
  3. Bâtir une feuille de route par paliers (souvent de trimestre en trimestre).
  4. Réévaluer pour mesurer la progression.

Limites et précautions#

  • SAMM mesure des pratiques, pas l'absence de vulnérabilités : un bon score n'est pas une garantie.
  • Il ne remplace ni un audit externe, ni une certification (par exemple ISO/IEC 27001, qui vérifie un système de management).
  • Les niveaux sont cumulatifs : sauter le niveau 1 pour viser le 3 est contre-productif.

Sources et vérification#