Security by Design

Définition

Le Security by Design (sécurité dès la conception) est une approche méthodologique intégrant les exigences et principes de sécurité dès les toutes premières phases de conception d'un système, d'une application ou d'une architecture, plutôt que de traiter la sécurité comme une préoccupation périphérique ajoutée après le développement fonctionnel, approche réactive historiquement dominante mais reconnue comme structurellement inefficace et nettement plus coûteuse à corriger a posteriori. Cette philosophie s'appuie sur des principes fondateurs formalisés dès les années 1970 par Saltzer et Schroeder — moindre privilège, défense en profondeur, séparation des privilèges, échec sécurisé (fail-safe defaults refusant l'accès par défaut) — appliqués concrètement dès la modélisation des menaces (threat modeling) réalisée en phase de conception d'architecture, avant toute ligne de code écrite, identifiant proactivement les surfaces d'attaque et scénarios de compromission potentiels selon des méthodologies structurées comme STRIDE. L'approche se prolonge tout au long du cycle de développement via des pratiques comme le SAST intégré dès les premiers commits, les revues de code orientées sécurité et les tests d'intrusion réalisés avant mise en production plutôt qu'après incident. Le RGPD formalise juridiquement ce principe sous le terme de Privacy by Design, imposant la prise en compte de la protection des données dès la conception de tout traitement, illustrant la reconnaissance réglementaire de cette approche comme standard attendu.