Resilience Testing

Définition

Le Resilience Testing (test de résilience) est une discipline de test qui évalue la capacité d'un système ou d'une organisation à maintenir ses fonctions critiques, à absorber les chocs et les perturbations, et à se rétablir rapidement après des incidents. Dans le contexte DevSecOps, le Resilience Testing intègre une dimension de sécurité : la résilience face aux attaques, aux compromissions partielles, et aux défaillances des contrôles de sécurité. Le Resilience Testing diffère du simple testing de performance ou de disponibilité par son focus sur les scénarios adversariaux : au lieu de tester "le système supporte-t-il 10 000 utilisateurs simultanés ?", il teste "le système maintient-il ses fonctions critiques si un attaquant compromet un composant non-critique ?" ou "le système se rétablit-il correctement après une compromission contenue ?". Cette approche adversariale est directement inspirée des exercices de Red Team et des frameworks de résilience cybersécurité (TIBER-EU pour la finance, CBEST pour la Banque d'Angleterre). Les dimensions du Resilience Testing en DevSecOps incluent : la résilience des composants de sécurité (que se passe-t-il si le WAF est compromis ? Si le SIEM perd sa connexion réseau ? Si la PKI interne tombe ?), la résilience des pipelines CI/CD (le système de build peut-il être restauré après une compromission en moins de 4 heures ?), la résilience des processus de réponse aux incidents (les runbooks sont-ils accessibles si les systèmes documentaires sont indisponibles ? Les équipes peuvent-elles communiquer si Slack est down ?), et la résilience de la chaîne de confiance (un artefact produit pendant une panne partielle du système de signature est-il correctement rejeté à l'entrée en production ?). Les frameworks comme DORA (Digital Operational Resilience Act pour la finance) et les NIST SP 800-160 vol. 2 (Developing Cyber Resilient Systems) fournissent des cadres méthodologiques pour la planification et l'évaluation du Resilience Testing.