Infrastructure as Code Security — IaC (Sécurité de l'infrastructure comme code)

Définition

L'Infrastructure as Code (IaC) consiste à gérer et provisionner les infrastructures informatiques via des fichiers de configuration versionnés, avec des outils comme Terraform, Pulumi, AWS CloudFormation, ou Ansible. La sécurisation de l'IaC (IaC Security) vise à détecter les mauvaises configurations de sécurité avant qu'elles ne soient déployées en production. Des outils d'analyse statique comme tfsec, Checkov, Terrascan ou KICS (Keeping Infrastructure as Code Secure) scannent les templates IaC pour identifier des problèmes courants : groupes de sécurité avec ports 0.0.0.0/0, buckets S3 publics, instances sans chiffrement, rôles IAM trop permissifs, ou absence de MFA sur les comptes sensibles. Ces outils s'intègrent dans les pipelines CI/CD pour bloquer les déploiements non conformes. Les politiques de sécurité peuvent être codifiées avec OPA (Open Policy Agent) / Rego ou Sentinel (HashiCorp) pour des règles organisationnelles personnalisées. Le drift detection (Terraform state vs infrastructure réelle) permet de détecter les modifications manuelles qui contournent les contrôles IaC.