Archer ajoute la corde SDL à sa gestion des risques

La méthode de développement sécurisé de Microsoft gagne du terrain. Elle vise désormais à s'imposer comme référence au sein de tous les projets de développement en environnement Windows.

Stéphane Bellec

01net

le 28/05/10 à 14h45

laisser un avis

Spécialisé dans la gestion des risques, Archer Technologies, devenu en janvier dernier la propriété de RSA (branche sécurité d'EMC), présentait au centre de sécurité Microsoft à Redmond, l'intégration du programme SDL (Security Development Lifecycle) dans sa liste des tâches de supervision couvertes par son outil logiciel eGRC. Mise au point en interne chez Microsoft, cette méthode de développement sécurisé cherche à gagner l'ensemble des studios de développement. « Nous œuvrons à cette intégration depuis novembre », précise Steve Schlarman, responsable de la solution eGRC. A la question pourquoi intégrer une méthode comme SDL et non celle de l'Owasp (Open Web Application Security Project), la réponse se veut simple : « Nous y songeons car l'Owasp est un organisme très sérieux, mais celle de Microsoft était déjà structurée et sa mise en œuvre, de fait, plus aisée. Il nous faudra plus de temps pour intégrer l'Owasp, mais c'est un bon investissement. »

Des retours d'expérience en perspective

La méthode SDL appliquée en interne chez Microsoft.

agrandir la photo

Une première pour SDL, qui s'est également vu ajouter dans Visual Studio un nouvel onglet, qui sert à démarrer un projet en tenant compte dès le début de la méthode (référencement des contacts sécurité du projet dans le workflow, listing des menaces qui peuvent toucher l'application, désignation du responsable sécurité du projet, etc.). On est alors en droit de se demander si ce qui est aujourd'hui optionnel risque de devenir obligatoire : « Absolument pas, répond Steve Lipner, directeur du département ingénierie et stratégie sécurité de Microsoft. Avant d'imposer quoi que ce soit, nous devons faire le bilan des retours utilisateurs. Ce qui risque d'être très long, étant donné que nous n'avons pour le moment aucune information sur leur utilisation de SDL. » L'intégration au sein d'Archer apportera une série de retours d'expérience supplémentaires.