La maturité de la sécurité de la chaîne d’approvisionnement logicielle n’est pas une dimension unique : elle couvre plusieurs domaines de capacités distincts dont les niveaux de maturité peuvent varier fortement au sein d’un même programme. Une entreprise dotée d’un programme SBOM mature, d’une mise en œuvre SCA solide et d’une surveillance active des vulnérabilités peut, dans le même temps, ignorer tout de SLSA, n’avoir aucune capacité d’évaluation de la sécurité de son pipeline de compilation et aucune procédure de réponse aux incidents de la chaîne d’approvisionnement. Évaluer la maturité de la sécurité de la chaîne d’approvisionnement exige une évaluation par domaine, qui note chaque domaine de capacités séparément au lieu de produire un score global unique faisant la moyenne entre des domaines solides et des domaines absents.
Les domaines de maturité de la sécurité de la chaîne d'approvisionnement pertinents pour les programmes de TPRM couvrent six champs : la gestion des dépendances (analyse SCA, collecte des SBOM, surveillance des vulnérabilités, traitement des VEX), la sécurité des builds (connaissance de SLSA, évaluation des pipelines de build, vérification de la provenance), la sécurité des artefacts (vérification des signatures, sécurité des registres, immuabilité), la sécurité de la distribution (évaluation des mécanismes de mise à jour, vérification de la provenance), la surveillance et la détection (surveillance de la chaîne d'approvisionnement, gestion de la posture de sécurité CI/CD) et la réponse aux incidents (playbook IR pour la chaîne d'approvisionnement, identification des versions concernées, notification des clients). Chaque domaine peut être noté indépendamment, du niveau 0 (méconnu ou absent) au niveau 4 (proactif, automatisé, en amélioration continue).
L'exactitude de l'autoévaluation est le défi propre aux modèles de maturité. Les autoévaluations de la maturité de la sécurité de la chaîne d'approvisionnement ont tendance à se concentrer sur les domaines où des investissements ont été réalisés : elles attribuent de bonnes notes au SBOM et à l'SCA parce que ce sont les domaines sur lesquels le programme s'est concentré, sans reconnaître les domaines qui n'ont pas été traités. L'évaluation externe du consultant, dans le scénario d'ouverture, a montré que l'autoévaluation de l'entreprise au niveau 3 reflétait ses investissements dans le SBOM et l'SCA sans tenir compte des domaines de niveau 1 et de niveau 0 que ces investissements n'avaient pas couverts.
Pourquoi c’est important
L'évaluation de la maturité de la sécurité de la chaîne d'approvisionnement est importante pour la TPRM, car elle donne, domaine par domaine, une image des investissements réalisés en sécurité de la chaîne d'approvisionnement et des lacunes, ce qui éclaire directement à la fois la priorisation des améliorations du programme interne et les questions que les équipes de TPRM devraient poser aux fournisseurs sur les domaines où les lacunes sont les plus probables.
- Score de maturité global unique masquant les écarts entre domaines
- Domaines à fort investissement bien notés, domaines absents non reconnus
- Aucun cadre de maturité par domaine pour la sécurité de la chaîne d'approvisionnement
- Investissements en SBOM/SCA confondus avec une maturité complète de la sécurité de la chaîne d'approvisionnement
- Évaluation de la maturité non utilisée pour prioriser les investissements du programme
À quoi ressemblent les bonnes pratiques
Les évaluations matures de la maturité de la sécurité de la chaîne d’approvisionnement notent six domaines séparément (gestion des dépendances, sécurité de la compilation, sécurité des artefacts, sécurité de la distribution, surveillance et réponse aux incidents), présentent des notes par domaine plutôt que des scores globaux, et utilisent ces notes pour concentrer les investissements sur les domaines les moins matures.
- Évaluation de la maturité de la chaîne d'approvisionnement sur six domaines
- Notes indépendantes par domaine, et non un score global
- Priorisation des investissements sur les domaines les moins matures
- Réévaluation annuelle de la maturité pour suivre les progrès
- Validation indépendante : évaluation externe pour étalonner les auto-évaluations
Outils
Référence de maturité : OpenSSF Scorecard pour la notation de la sécurité des dépendances open source ; modèle de maturité C-SCRM de la CISA pour la maturité des programmes de chaîne d’approvisionnement
OpenSSF Scorecard fournit une évaluation automatisée de la sécurité de la chaîne d’approvisionnement selon plusieurs dimensions pour les projets open source, notamment la protection des branches, l’épinglage des dépendances, la revue de code, la sécurité CI et la gestion des vulnérabilités. Le modèle de maturité C-SCRM de la CISA fournit le cadre de maturité de la sécurité de la chaîne d’approvisionnement à l’échelle de l’entreprise. Tous deux offrent une évaluation structurée par domaine qui complète l’auto-évaluation par un signal externe.
Enjeux de gouvernance
La difficulté de gouvernance de l’évaluation de la maturité de la sécurité de la chaîne d’approvisionnement tient au problème des inconnues inconnues. Les domaines dont un programme n’a pas conscience ne peuvent pas faire l’objet d’une auto-évaluation exacte : l’entreprise qui n’a jamais entendu parler de SLSA ne peut noter sa maturité SLSA qu’au niveau 0. La solution de gouvernance consiste à utiliser des cadres de maturité externes (annexe E du NIST 800-161, OpenSSF Scorecard, C-SCRM de la CISA) comme inventaire des domaines, afin que tous les domaines soient au moins évalués, même s’ils sont actuellement au niveau 0.
- Utiliser un inventaire externe des domaines (NIST 800-161, OpenSSF, CISA) pour obtenir la liste complète des domaines
- Noter tous les domaines, y compris les domaines absents : le niveau 0 est une note valable et importante
- Évaluation externe indépendante pour calibrer les autoévaluations
- Hiérarchisation des investissements fondée sur les lacunes par domaine
- Réévaluation annuelle selon un cadre de domaines constant
Si vous êtes une petite équipe
Notez votre programme de sécurité de la chaîne d'approvisionnement sur une échelle de 0 à 4 pour les six domaines clés : gestion des dépendances (SCA, SBOM, VEX), sécurité des builds (SLSA, évaluation des pipelines), sécurité des artefacts (signature, registre), sécurité de la distribution (mécanisme de mise à jour), surveillance (surveillance de la chaîne d'approvisionnement) et réponse aux incidents (playbook IR pour la chaîne d'approvisionnement). Notez honnêtement : un niveau 0 pour les domaines que vous n'avez pas traités est une information plus utile qu'un score global gonflé. Les notes les plus basses désignent vos domaines d'investissement les plus prioritaires.
- Noter six domaines de sécurité de la chaîne d'approvisionnement sur une échelle de 0 à 4
- Noter les domaines absents au niveau 0, et non « sans objet »
- Concentrer les investissements sur les domaines les moins bien notés
- Valider les auto-évaluations par une évaluation externe
Ce qu’il faut exiger
Demandez directement :
« Pouvez-vous fournir une auto-évaluation de la maturité de la sécurité de votre chaîne d’approvisionnement par domaine, couvrant la gestion des dépendances, la sécurité de la compilation, la sécurité des artefacts, la sécurité de la distribution, la surveillance et la réponse aux incidents, avec une note indépendante pour chaque domaine plutôt qu’un score global ? »
Preuves attendues
- Notes de maturité par domaine pour six domaines de sécurité de la chaîne d'approvisionnement
- Reconnaissance du niveau 0 pour les domaines absents plutôt que « sans objet »
- Feuille de route d’investissement pour les domaines les moins matures
- Validation externe des notes d'autoévaluation
Il convient de demander des notes par domaine à un fournisseur qui affirme la maturité de son programme de sécurité de la chaîne d’approvisionnement. La maturité globale décrit la moyenne de tous les domaines. Les notes par domaine révèlent où le programme est solide et où se trouvent les lacunes que la moyenne dissimule.
Comment le prouver
- Registres d'évaluation de la maturité par domaine
- Identification des domaines de niveau 0 et feuille de route de remédiation
- Hiérarchisation des investissements fondée sur les écarts de maturité
- Réévaluation annuelle de la maturité
À retenir
SBOM : niveau 3. SCA : niveau 3. SLSA : niveau 0, inconnu. Sécurité du pipeline de compilation : niveau 1. Surveillance de la chaîne d’approvisionnement : niveau 0. Auto-évaluation : niveau 3 sur la base de SBOM et de SCA. Évaluation externe : niveau 2, avec des pratiques de niveau 3 dans deux domaines sur six. Le score global masquait les écarts. L’évaluation par domaine a révélé la situation complète : solide là où l’entreprise avait investi, absente ailleurs. Un niveau 0 pour la surveillance de la chaîne d’approvisionnement et pour SLSA est un constat plus exploitable qu’un niveau 3 global. Hiérarchiser les investissements en fonction des domaines les moins matures produit de meilleurs résultats en matière de sécurité de la chaîne d’approvisionnement qu’investir dans des domaines déjà matures.