CI Sécurité Agile/en

Accélérer ou permettre l'implémentation de la Sécurité dans des contextes agiles.

Catégorie : Communauté d'intérêt

Diary of the Agile Security WG

On 05/09/23, the Agile Cybersecurity WG met in plenary to report on the progress of the various streams:

• Stream Gouvernance: New stages proposed for the SDLC, closer to the DevOps philosophy than the traditional scheme. Drafting of V2 document, call for comments.

• Stream Security Champions & SME": Document outline and positioning of each section. Progress is fairly patchy, but some have started writing.

• Stream Technology": Evaluation of each technology at each session, recurring once a week. Call on the community of interest to request RETEX on certain technologies.

The overall objective is to agree on a road map to finalize the various deliverables by the end of the year.

On 06/27/23, the Agile Cybersecurity WG met in plenary to review progress on the various streams:

• Stream Gouvernance : A first draft of the SSLDC deliverable will be finalized in September.

• Stream Security Champions & EMS: Progress on EMS structure. The form of the deliverable will be defined next week. The various sections will be drafted this summer. The questionnaire will be sent out again this week.

• Technology Stream: The structure of the deliverable is taking shape. The mapping of technologies has been completed, and the stream is now working on assessing the relevance of each technology according to various criteria, and prioritizing technologies in order to build the ramp-up strategy. Next meeting scheduled for the end of August to resume work on the deliverable.

Creation of assignable tasks with deadlines for each person working independently during the July/August period.

On 05/30/23, the Agile Cybersecurity WG met in plenary to report on the progress of the various streams:

• Stream Gouvernance: Finalization of the SSDLC draft, which will continue to be completed. At the same time, 4 major themes were addressed:
  • Scoping: definition and control of risks and impacts (linked to Threat Modeling)
  • Vulnerability prioritization & finding: definition of criteria and means to facilitate tool apprehension.
  • Training awareness
  • Ramp up: facilitating SSDLC deployment practices.

• Stream Security Champions & SME: Review of questionnaire. Discussion on a potential intermediate deliverable that will synthesize the questionnaire responses.

• Stream Technologies: Technology mapping is being finalized, with the first deliverable due by summer.
• Stream Threat Modeling: In view of the low number of participants, this stream will be postponed until the autumn, or merged with the Governance stream.

On 16/05/23, the Agile Cybersecurity WG met in plenary to report on the progress of the various streams:

• Stream Gouvernance : Finalization of the 1st draft of the SSDLC milestones deliverable.

• Stream Security Champions & SME : Révision du questionnaire d'ici le 6 juin pour envoi à l'ensemble des membres de la communauté d'intérêt Sécurité Agile

• Stream Technologies : Cartographie de technologies en cours de finalisation pour le premier livrable d'ici l'été.

Rédaction d'un texte chapeau pour l'ensemble des livrables du GT.

Le 02/05/23, le GT Cybersécurité Agile s'est réuni en plénière pour faire l'état d'avancement des différents streams :

• Stream Gouvernance : Compliqué d’établir un SSDLC car difficulté à cadrer. Changement de format avec des réflexions en groupe restreint sur la direction à donner puis proposition au groupe élargi. Etablir une task force.

• Stream Security Champions & SME : Révision du questionnaire qui a été raccourci et simplifié. A finaliser le 06 juin en plénière.

• Stream Technologies : Cartographie en cours de rédaction. Mise à l'écrit des RETEX.

Le 18/04/23, le GT Cybersécurité Agile s'est réuni en plénière pour faire l'état d'avancement des différents streams :

• Stream Gouvernance : Définition des différentes étapes du SSDLC avec ses prérequis de sécurité et input. Priorisation de ces étapes par la suite. L'objectif est, dans un premier temps, de faire une v1 du SSDLC pour le présenter aux membres du GT et avoir du feedback.

• Stream Security Champions & SME : Rédaction d'un questionnaire à adresser à la communauté d'intérêt pour obtenir des RETEX et dégager des pratiques communes.
• Stream Threat Modeling : Récolte de RETEX. Livrables en cours de discussion.

• Stream Technologies : Récolte de RETEX sur les expériences de chacun en termes de déploiement technologique. L'objectif est d'établir une stratégie de ramp up sur l'axe technologique. Pour ce faire, il est nécessaire de lister toutes les technologies à considérer.

Le 04/04/23, le GT Cybersécurité Agile s'est réuni en plénière pour faire l'état d'avancement des différents streams :

• Stream Gouvernance : Kick off pour définir la fréquence des réunions et connaître les attendus des différents membres. Document chapeau à rédiger, avec les différents process et les prérequis. Pas de livrables définis pour le moment. Le SSDLC va être un élément central de la gouvernance.

• Stream Security Champions & SME : Plusieurs questions pour guider un retex sur l'approche Security Champions sont en cours d'écriture. Faire passer une communication à la communauté d’intérêt --> Co-leader du stream envoient le contenu du message au Campus Cyber pour relai message et obtenir un retex plus large qui bénéficiera à tous.
• Stream Threat Modeling --> livrables potentiels :
  • Process de Threat Modeling au sein du SSDLC sur 3 niveaux de maturité avec RACI
  • Modélisation d’attaques —> format d’échanges sur les infos pertinentes pour les activités de TM.
  • Critères et pièges à éviter dans les outils de TM. Mutualisation de menaces
  • Modules de formation (identifier cibles, famille de compétences) et mapping

• Stream Technologies : Production d’une matrice de maturité technologique (par où commencer pour quels outils). Prochaine session : cartographier les technologies et les axes à considérer pour la matrice tels que la maîtrise du risque, la complexité de mise en oeuvre, le coût...

Le 21/03/23, le GT Cybersécurité Agile a travaillé sur :

• Les avancées et les prochaines étapes pour chaque stream
• Les potentiels livrables des streams

Il a pris les décisions de : ​

• Garder la récurrence de se retrouver toutes les deux semaines en plénière
• Fixer la récurrence de chaque stream
• Préparer les ateliers pour stream

Il est à noter que le stream Outillage a été renommé "Technologie"

Le 21/02/23, le GT Cybersécurité Agile a travaillé sur :

• Le cadrage des streams

Il a pris les décisions de : ​

• Mettre en place deux ateliers avant le prochain GT. Un avec les coordinateurs et les leaders de chaque stream et entre membres de streams.

Il est à noter que le stream Spécificités et contraintes règlementaires a été remplacé par Outillage.

Le 07/02/23, le GT Cybersécurité Agile a travaillé sur :

• La validation des streams : Gouvernance, Security Champions et SME, Threat modeling, Spécificités et contraintes règlementaires
• La répartition des membres du GT sur chaque stream en tant que leaders/contributeurs/relecteurs

Le 24/01/23, le GT Cybersécurité Agile a travaillé sur :

• Présentation des membres​
• Les objectifs du GT ​
• Les livrables ​
• Le calendrier ​

Il a pris les décisions de : ​

• Se réunir tous les 15 jours en plénière ​
• S’organiser sous forme de sous streams à partir des propositions de thématiques, complétées par le GT lors de la prochaine session​
• S’accorder sur les contenus des streams et les rôles de chacun​

​

Il est à noter que la date du prochain GT est à définir.​

Groupes de travail

	Status	Description
Cybersécurité Agile : SSDLC	En cours	Schéma de SSDLC qui intègre le design, l'architecture, le developpement, le testing et la maintenance
Cybersécurité Agile : Security Champions & SME	En cours	Identifier l'intérêt pour les organisations d'avoir des Security Champions et Subject Matter Expert
Cybersécurité Agile : Technologies	En cours	Mise en place d'un ramp-up technologique pour définir une stratégie et un plan de mise en œuvre