ENCV (anglais)M'écrire

Omar El Hachimi / Projets / HIBOU

Projet 04 · LCL · groupe Crédit Agricole · déc. 2023 – aujourd'hui

HIBOU : une seule vue des vulnérabilités d'une banque sur plus de 700 applications

Omar El Hachimi a proposé, conçu et construit HIBOU, le centre de pilotage de la sécurité de LCL : il rassemble les résultats de tous les scanners de sécurité, les classe selon le risque réel et suit la correction équipe par équipe. Il est devenu le standard de sécurité de la banque.

Rôle Mon initiative ; conçu, construit et piloté

HIBOU, fonctionnement : 1 Collecte, 2 Nettoyage, 3 Classement, 4 Action, 5 Preuve. 700+ applications couvertes; 100+ équipes suivies; Standard de sécurité de toute la banque.
HIBOU : fonctionnement et chiffres clés.
700+applications couvertes
100+équipes suivies
Standardde sécurité de toute la banque

Contexte

Plusieurs scanners remontaient chacun leurs propres résultats, sur le code, les dépendances, les conteneurs et les artefacts. Personne ne pouvait dire quelles vulnérabilités comptaient le plus, qui devait les corriger, ni à quelle vitesse elles l'étaient.

Le régulateur demandait des preuves de correction.

Fonctionnement

  1. CollecteLes résultats arrivent de chaque scanner.
  2. NettoyageIls sont fusionnés et dédoublonnés.
  3. ClassementChaque vulnérabilité reçoit un score de risque.
  4. ActionLes équipes voient leur liste ; les responsables, toute la banque.
  5. PreuveL'historique des corrections sert de preuve.

Ce que j'ai construit

  • Connecteurs et pipelines. Des connecteurs vers chaque scanner de la banque et des pipelines ETL qui consolident, normalisent et dédoublonnent leurs résultats dans un seul modèle, par application et par équipe.
  • Priorisation par le risque. Chaque vulnérabilité est notée selon sa gravité multipliée par la criticité de l'application : les équipes corrigent d'abord ce qui compte.
  • Situation en temps réel. Les équipes voient leur propre liste priorisée ; les responsables sécurité voient toute la banque, par équipe et par application.
  • Une course à la correction. Un mode ludique et des classements sur la vitesse de correction ont fait de la remédiation une compétition entre équipes.
  • Des preuves. L'historique des corrections est conservé, ce qui donne à la banque des preuves de remédiation auditables au titre de DORA.

Choix de conception

Classer par le risque réel

La même faille compte davantage dans une application exposée aux clients que dans un petit outil interne. Noter la gravité multipliée par la criticité de l'application place le bon travail en haut de chaque liste.

Rendre visible le bon comportement

Les classements sur la vitesse de correction font de la remédiation quelque chose que les équipes voient et comparent, plutôt qu'un backlog que personne ne regarde.

Technologies

Connecteurs de scanners (code, dépendances, conteneurs, artefacts) · Pipelines ETL · Score de risque · Tableaux de bord par équipe et par application · Gestion des vulnérabilités · DORA

Questions

Comment prioriser les vulnérabilités sur des centaines d'applications ?

Réunir les résultats de tous les scanners dans un seul modèle, noter chaque vulnérabilité selon sa gravité multipliée par la criticité de l'application, et montrer à chaque équipe sa propre liste priorisée. HIBOU, construit par Omar El Hachimi chez LCL, le fait pour plus de 700 applications.