Innersource Security

Définition

L'Innersource Security est l'application des pratiques de sécurité des projets open source à l'intérieur d'une organisation privée, dans le cadre du mouvement Innersource plus large qui consiste à appliquer la culture open source au développement interne d'entreprise. Elle combine les avantages de transparence et de contribution communautaire de l'open source avec la propriété et la confidentialité requises pour le code propriétaire. Le mouvement Innersource (popularisé par Tim O'Reilly et adopté par PayPal, SAP, Microsoft) consiste à ouvrir les dépôts de code internes à l'ensemble de l'organisation, permettant à n'importe quel développeur de contribuer aux projets d'autres équipes via des pull requests, de lire le code pour comprendre le fonctionnement de services internes, et de réutiliser des composants sans passer par des processus d'intégration lourds. L'Innersource Security étend ces principes au domaine de la sécurité. La transparence des politiques de sécurité : les règles SAST, les configurations d'outils de sécurité, et les playbooks de réponse aux incidents sont partagés en interne pour que toutes les équipes puissent apprendre et contribuer. La contribution aux outils de sécurité : les développeurs de n'importe quelle équipe peuvent contribuer aux règles Semgrep, aux politiques OPA, ou aux templates Nuclei internes. La revue de sécurité ouverte : les Security Champions de différentes équipes peuvent peer-reviewer les Security User Stories et le code d'authentification de projets auxquels ils ne contribuent pas. Les bénéfices de l'Innersource Security incluent la réduction des silos entre équipes sécurité et développement, la diffusion plus rapide des bonnes pratiques, la détection de vulnérabilités communes entre projets par des équipes qui ne communiqueraient pas autrement, et l'émergence de bibliothèques de sécurité partagées bien maintenues (modules d'authentification, de chiffrement, de validation des entrées) plutôt que de multiples implémentations disparates.