La famille Conception & modélisation des menaces porte la conviction la plus rentable de toute la sécurité applicative : il est moins coûteux de prévenir une faille que de la corriger. Elle déplace l'effort en amont du code, au moment où l'on décide de l'architecture et des fonctionnalités, là où une décision change encore tout sans rien casser.
Cette famille travaille sur l'intention avant l'implémentation. Elle demande d'adopter un référentiel reconnu, de modéliser les menaces des points sensibles, de revoir l'architecture avant les grandes évolutions, et au plus haut niveau de dériver des exigences vérifiables d'un modèle de menace formel. C'est le travail le moins visible du domaine, et souvent le plus déterminant.
Concrètement, ces exigences parent : la faille structurelle introduite par une évolution non revue, les angles morts d'une protection au hasard sans modèle de menace, et l'attaque sur les flux les plus sensibles (authentification, paiement, données personnelles). Quatre exigences, des fondamentales (R1) aux souveraines (R3).
Une faille de conception coûte bien plus cher corrigée tard que prévenue tôt.
Les pièges à éviter
Section intitulée « Les pièges à éviter »Les erreurs les plus fréquentes sur ce périmètre :
Exigences
Section intitulée « Exigences »référentiel de sécurité applicative (OWASP ASVS) adopté et adapté à la criticité.#
Définir « sécurisé » au cas par cas mène à des trous incohérents. Adopter l'OWASP ASVS comme référentiel, adapté à la criticité, donne une liste d'exigences éprouvée et un niveau cible mesurable : on sait ce qu'on doit vérifier et jusqu'où, au lieu d'improviser des critères maison.
- Preuve attendue
- Niveau ASVS cible déclaré par application.
Correspondances & menaces parées 2 standards · 1 menace
Une entrée non validée est interprétée comme du code ou une requête (SQL, commande, XSS, LDAP), permettant l'exécution ou l'accès non autorisé. C'est la classe de failles applicatives la plus répandue (OWASP Top 10 2025, A03) OWASP Top 10 2025 (A03 Injection) OWASP ASVS OWASP CICD-SEC.
modélisation des menaces documentée pour authentification, paiement et données personnelles.#
L'authentification, le paiement et les données personnelles concentrent l'intérêt des attaquants et l'exposition réglementaire. Documenter leur modèle de menace force à expliciter les attaques plausibles et les contre-mesures sur ces flux, là où une faille a les conséquences les plus lourdes.
- Preuve attendue
- Diagrammes de flux et menaces identifiées pour ces fonctions.
Correspondances & menaces parées 3 standards · 2 menaces
Une faille de conception ou de logique métier (contrôles manquants, hypothèses erronées) passe inaperçue faute de modélisation des menaces et de revue de sécurité. Aucun scanner ne la détecte : elle relève de la conception (Microsoft SDL, OWASP SAMM) Microsoft SDL OWASP SAMM OWASP ASVS. Un contrôle d'accès incomplet ou contournable laisse un utilisateur accéder à des données ou actions non autorisées (élévation horizontale ou verticale). C'est la première catégorie du Top 10 OWASP 2025 (A01) OWASP Top 10 2025 (A01) OWASP ASVS.
revue d'architecture de sécurité avant les évolutions majeures.#
Une évolution majeure introduit souvent des failles structurelles qu'aucun scan de code ne verra. Une revue d'architecture de sécurité en amont examine flux et frontières de confiance avant l'implémentation, quand un changement de conception coûte encore une discussion, pas une refonte.
- Preuve attendue
- Compte rendu de revue d'architecture de sécurité.
Correspondances & menaces parées 2 standards · 1 menace
Une faille de conception ou de logique métier (contrôles manquants, hypothèses erronées) passe inaperçue faute de modélisation des menaces et de revue de sécurité. Aucun scanner ne la détecte : elle relève de la conception (Microsoft SDL, OWASP SAMM) Microsoft SDL OWASP SAMM OWASP ASVS.
exigences de sécurité dérivées d'un modèle de menace formel et vérifiées en fin de cycle.#
Au plus haut niveau, la sécurité ne se déclare pas, elle se démontre. Dériver les exigences d'un modèle de menace formel et les vérifier en fin de cycle crée une boucle traçable : chaque menace identifiée a une exigence, chaque exigence une preuve de couverture.
- Preuve attendue
- Traçabilité exigence vers menace vers test.
Correspondances & menaces parées 2 standards · 1 menace
Une faille de conception ou de logique métier (contrôles manquants, hypothèses erronées) passe inaperçue faute de modélisation des menaces et de revue de sécurité. Aucun scanner ne la détecte : elle relève de la conception (Microsoft SDL, OWASP SAMM) Microsoft SDL OWASP SAMM OWASP ASVS.