{"id":481104,"date":"2022-09-30T14:55:41","date_gmt":"2022-09-30T12:55:41","guid":{"rendered":"https:\/\/www.devoteam.com\/success-story\/lapproche-devoteam-secure-devops-chez-carrefour\/"},"modified":"2025-07-04T10:46:19","modified_gmt":"2025-07-04T08:46:19","slug":"lapproche-devoteam-secure-devops-chez-carrefour","status":"publish","type":"success-story","link":"https:\/\/devoteam.info\/fr\/success-story\/lapproche-devoteam-secure-devops-chez-carrefour\/","title":{"rendered":"L\u2019approche Devoteam Secure DevOps chez Carrefour"},"content":{"rendered":"\n
\"\"<\/figure>\n\n\n\n

Face \u00e0 l’acc\u00e9l\u00e9ration de la fr\u00e9quence de livraison pour les \u00e9quipes de d\u00e9veloppement et \u00e0 l’augmentation des menaces de s\u00e9curit\u00e9, Carrefour a fait appel \u00e0 Devoteam pour la mise en place d’une approche de Security by design. Celle-ci consiste \u00e0 int\u00e9grer la s\u00e9curit\u00e9 d\u00e8s la conception des applications.<\/p>\n\n\n\n

Le contexte<\/h2>\n\n\n\n

Le groupe Carrefour est un groupe fran\u00e7ais de la grande distribution fond\u00e9 en 1959 qui n\u2019a cess\u00e9 de s’\u00e9tendre depuis. Le principal m\u00e9tier du groupe est la distribution alimentaire et non alimentaire. Pour cela, Carrefour compte plus de 12 000 magasins \u00e0 travers le monde. Le groupe est aujourd\u2019hui pr\u00e9sent dans plus de 30 pays et compte plus de 321 000 collaborateurs, dont 105 000 en France uniquement, ce qui fait de lui le plus grand employeur priv\u00e9 de France.
\u00c9tant l\u2019un des acteurs majeurs de l\u2019industrie et de la grande distribution, banque et assurance, Carrefour d\u00e9veloppe ses propres applications en interne et s\u00e9curise le cycle de vie de ses projets IT gr\u00e2ce \u00e0 l\u2019accompagnement de Devoteam.<\/p>\n\n\n\n

Le challenge<\/h2>\n\n\n\n

La fr\u00e9quence de livraison s’acc\u00e9l\u00e8re pour les \u00e9quipes de d\u00e9veloppement et les \u00e9quipes de s\u00e9curit\u00e9 doivent faire face \u00e0 des menaces de plus en plus sophistiqu\u00e9es et de plus en plus r\u00e9guli\u00e8res.
Dans ce contexte, l’implication de la s\u00e9curit\u00e9 d\u00e8s la conception des applications devient une n\u00e9cessit\u00e9.
Nous nous trouvons donc dans un paradigme de d\u00e9veloppement agile et de d\u00e9ploiement continu. Appliquer la s\u00e9curit\u00e9 uniquement \u00e0 la fin du d\u00e9veloppement, par un audit de s\u00e9curit\u00e9, n\u2019est plus suffisant.
Par ailleurs, corriger une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 co\u00fbte bien plus cher, en temps et en argent, quand cela est r\u00e9alis\u00e9 en prod ou pr\u00e9-prod plut\u00f4t qu\u2019aux \u00e9tapes de conception et de d\u00e9veloppement.
Au sein d\u2019un grand groupe comme Carrefour de nombreuses technologies sont utilis\u00e9es, ce qui complexifie la gestion de la s\u00e9curit\u00e9 applicative. Cependant, qu\u2019importe la technologie : Web, API, Low-Code, Client lourd, Mobile, Infrastructure As Code\u2026 Les d\u00e9veloppements doivent aujourd\u2019hui suivre la culture du \u201cSecurity by design\u201d.<\/p>\n\n\n\n

La solution<\/h2>\n\n\n\n

Afin d\u2019accompagner Carrefour France \u00e0 am\u00e9liorer le niveau de s\u00e9curit\u00e9 des applications, Devoteam a propos\u00e9 une \u00e9quipe compos\u00e9e de trois Devoteamers dont un Application Security Manager et deux auditeurs en cybers\u00e9curit\u00e9 applicative qui interviennent au sein de la cellule s\u00e9curit\u00e9 applicative chez Carrefour.
Pour relever ce d\u00e9fi, Devoteam a sugg\u00e9r\u00e9 une strat\u00e9gie en 3 \u00e9tapes :<\/p>\n\n\n\n

    \n
  1. Convaincre les d\u00e9veloppeurs de prendre en charge une partie de la s\u00e9curit\u00e9 de leur application en les sensibilisant et en les formant au d\u00e9veloppement s\u00e9curis\u00e9. Il est en effet n\u00e9cessaire de leur faire comprendre l\u2019importance de la prise en compte de la s\u00e9curit\u00e9 le plus t\u00f4t possible dans leur projet avant de les aider \u00e0 le faire. Cette \u00e9tape se traduit par de nombreuses sessions de formations sur le d\u00e9veloppement s\u00e9curis\u00e9 et notamment sur le TOP 10 OWASP dans diff\u00e9rents langages de programmation (Java, PHP, NodeJS, .NET, Pyhton).
    <\/li>\n\n\n\n
  2. Int\u00e9grer la s\u00e9curit\u00e9 \u00e0 toutes les \u00e9tapes du DevOps et de la cha\u00eene CI\/CD et les accompagner au quotidien dans la r\u00e9alisation de ces nouvelles t\u00e2ches.
    <\/li>\n\n\n\n
  3. Piloter l\u2019ensemble des vuln\u00e9rabilit\u00e9s pour planifier les rem\u00e9diations de mani\u00e8re agile et d\u00e9ployer l\u2019exp\u00e9rience sur l\u2019ensemble des \u00e9quipes de d\u00e9veloppement. De plus, cela permet de montrer des indicateurs de performance lors des comit\u00e9s de s\u00e9curit\u00e9 mensuels.<\/li>\n<\/ol>\n\n\n\n

    Le projet<\/h2>\n\n\n\n

    Depuis mars 2021, Devoteam accompagne Carrefour \u00e0 am\u00e9liorer la s\u00e9curit\u00e9 de ses applications en s\u2019appuyant sur plusieurs piliers. Le premier volet de cet accompagnement s’appuie sur la partie sensibilisation des acteurs d\u2019un projet, notamment les d\u00e9veloppeurs, PO, PM, architectes et chefs de projet \u00e0 la s\u00e9curit\u00e9 applicative. Cela se traduit notamment par des formations au d\u00e9veloppement s\u00e9curis\u00e9 dans certains langages comme le .NET, JavaScript ou bien Kotlin et un accompagnement quotidien des d\u00e9veloppeurs \u00e0 la rem\u00e9diation des diff\u00e9rentes vuln\u00e9rabilit\u00e9s identifi\u00e9es lors des audits de code source. L’audit de code consiste \u00e0 parcourir le code source d’un logiciel afin de s’assurer du respect de r\u00e8gles de s\u00e9curit\u00e9.<\/p>\n\n\n\n

    Le second volet consiste \u00e0 r\u00e9aliser des audits de code source sur les applications de Carrefour France de mani\u00e8re manuelle et automatis\u00e9e avec un outil de type SAST (Static application security testing). A ce jour, l\u2019\u00e9quipe Devoteam assure la s\u00e9curit\u00e9 de l’ensemble des applications sur le p\u00e9rim\u00e8tre France.
    En parall\u00e8le des audits de code, Devoteam propose une revue compl\u00e8te du processus et de la d\u00e9marche SecDevOps. Celle-ci porte maintenant pleinement ses fruits, avec notamment un travail important sur l’int\u00e9gration dans l’Agile Fabric (plateforme Devops Carrefour), sur la qualification des vuln\u00e9rabilit\u00e9s et la r\u00e9duction drastique du nombre de faux positifs. Cela fait gagner beaucoup de temps aux \u00e9quipes et permet d\u2019obtenir des indicateurs de performance bien plus fiables pour le pilotage des vuln\u00e9rabilit\u00e9s.
    De plus, cette d\u00e9marche s\u2019int\u00e8gre parfaitement dans la trajectoire du Groupe Carrefour qui a pour objectif d\u2019acc\u00e9l\u00e9rer sa transition vers le Cloud.<\/p>\n\n\n\n

    Quels sont les principaux b\u00e9n\u00e9fices pour le client ?<\/h2>\n\n\n\n