Ce niveau transforme les fondations du socle en pratiques opérationnelles. Vous savez déjà administrer Linux, utiliser Git et faire tourner des conteneurs. L’objectif ici est de sécuriser le flux de livraison de bout en bout : du code au déploiement en production, en passant par les tests, les secrets, les dépendances et l’observabilité.
Durée estimée : 80 à 100 heures selon votre expérience CI/CD initiale.
Ce que vous saurez faire en sortie
Section intitulée « Ce que vous saurez faire en sortie »- Expliquer et appliquer le shift-left sécurité dans un backlog et un pipeline
- Construire un pipeline CI/CD avec SAST, DAST, SCA et secrets scanning
- Modéliser les menaces d’un système avec STRIDE
- Gérer les secrets avec Vault ou des solutions équivalentes
- Générer et vérifier un SBOM, implémenter SLSA niveau 1–2
- Déployer avec GitOps (ArgoCD ou Flux)
- Mettre en place des SLO et des alertes basiques
- Gérer un incident et rédiger un postmortem
Bloc 1 — Fondamentaux DevSecOps
Section intitulée « Bloc 1 — Fondamentaux DevSecOps »Avant d’intégrer des outils, il faut comprendre pourquoi la sécurité échoue dans les équipes qui travaillent vite, et comment y remédier structurellement.
Bloc 2 — Shift-Left et threat modeling
Section intitulée « Bloc 2 — Shift-Left et threat modeling »Le shift-left n’est pas une phrase creuse : c’est une décision d’organisation du travail. Savoir faire du threat modeling est la compétence clé qui rend le shift-left concret.
Bloc 3 — Tests de sécurité
Section intitulée « Bloc 3 — Tests de sécurité »Les tests de sécurité automatisés sont le cœur du pipeline DevSecOps. SAST, DAST, SCA et fuzzing ont chacun une place précise.
Outils de pipeline — choisissez la plateforme adaptée à votre contexte :
Bloc 4 — Gestion des secrets
Section intitulée « Bloc 4 — Gestion des secrets »Les secrets exposés dans les logs, les dépôts ou les images sont une des causes les plus fréquentes de fuites. La gestion des secrets est un sujet opérationnel, pas théorique.
Bloc 5 — Supply chain et SBOM
Section intitulée « Bloc 5 — Supply chain et SBOM »La sécurité de la supply chain est incontournable depuis les attaques SolarWinds et Log4Shell. SBOM, SLSA et Sigstore sont devenus des standards.
Bloc 6 — GitOps
Section intitulée « Bloc 6 — GitOps »GitOps structure le déploiement continu : Git est la source de vérité, les déploiements sont déclaratifs et auditables.
Bloc 7 — CI/CD : de l’idée à la production
Section intitulée « Bloc 7 — CI/CD : de l’idée à la production »Au-delà des outils, comprendre la philosophie CI/CD, ses formes et ses pièges.
Bloc 8 — Observabilité minimale
Section intitulée « Bloc 8 — Observabilité minimale »Sans observabilité, on déploie à l’aveugle. L’objectif ici est de savoir mesurer ce qui compte.
Bloc 9 — Incidents et runbooks
Section intitulée « Bloc 9 — Incidents et runbooks »La gestion des incidents est une compétence DevSecOps à part entière. Les équipes matures traitent les incidents comme des opportunités d’apprentissage, pas comme des fautes.
Livrable pratique — Projet opérationnel
Section intitulée « Livrable pratique — Projet opérationnel »À retenir
Section intitulée « À retenir »- La sécurité intégrée dans le pipeline ne ralentit pas les livraisons si les gates sont bien calibrées : qualité sur les sévérités critiques, non-blocant sur les informations.
- GitOps simplifie l’audit des déploiements : tout changement est tracé dans Git.
- L’observabilité sans SLO n’est que du bruit. Définissez ce qui compte avant d’installer des dashboards.