Security by Design (Sécurité dès la Conception)

Définition

Le Security by Design, ou sécurité dès la conception, est une approche méthodologique qui intègre les considérations de sécurité dès les toutes premières phases de conception d'un système, d'une application ou d'une infrastructure, plutôt que de traiter la sécurité comme une couche additionnelle appliquée a posteriori sur une architecture déjà figée, une pratique historiquement dominante mais structurellement plus coûteuse et moins efficace. Concrètement, cette approche implique la réalisation d'une modélisation des menaces (threat modeling) formalisée dès la phase d'architecture, identifiant systématiquement les surfaces d'attaque potentielles et les scénarios de compromission pertinents avant même l'écriture du premier code, l'application par défaut de configurations sécurisées (secure defaults) plutôt que de laisser à l'utilisateur ou l'administrateur le soin d'activer manuellement les protections, le principe du moindre privilège intégré structurellement dans l'architecture des permissions plutôt qu'ajouté en correction, et la minimisation de la surface d'attaque en n'exposant que les fonctionnalités strictement nécessaires. Ce principe est explicitement consacré par le RGPD sous l'appellation privacy by design pour la protection des données personnelles, et constitue un fondement des référentiels ISO 27001 et des standards de développement sécurisé comme l'OWASP ASVS. Il s'articule directement avec la philosophie shift-left security promue dans les pratiques DevSecOps modernes.