Security Debt

Définition

La Security Debt (dette de sécurité) est une métaphore issue du concept de Technical Debt, appliquée spécifiquement aux risques de sécurité accumulés dans un système logiciel. Elle représente l'ensemble des vulnérabilités connues, des contrôles de sécurité manquants, des pratiques de sécurité non conformes aux standards et des risques acceptés temporairement mais jamais résolus, qui s'accumulent au fil du temps dans une application ou une infrastructure. Comme la dette financière, la Security Debt a un coût d'intérêt : plus une vulnérabilité reste ouverte longtemps, plus le risque d'exploitation augmente, plus les nouvelles fonctionnalités construites sur une architecture non sécurisée amplifient la surface d'attaque, et plus le coût de remédiation croît (corriger des fondations architecturales problématiques est bien plus coûteux que de corriger une fonction isolée). La Security Debt non adressée peut atteindre un niveau critique rendant une remédiation complète économiquement impossible. Les sources de Security Debt sont multiples. Les choix délibérés (accepter temporairement un risque pour livrer plus vite, avec l'intention de revenir plus tard — intention rarement concrétisée). Les choix inconscients (vulnerabilités introduites sans connaissance des risques, révélées plus tard par des audits ou CVEs). L'obsolescence (bibliothèques ou composants qui étaient sécurisés lors de leur adoption mais qui présentent maintenant des vulnérabilités). Les changements de contexte (une API interne initialement non exposée à Internet qui est maintenant accessible publiquement, sans revue de sécurité correspondante). La gestion de la Security Debt dans un programme DevSecOps nécessite sa visibilité et sa quantification. Des plateformes ASPM (Application Security Posture Management) comme Snyk, Swimlane, Seemplicity, ou Brinqa agrègent les vulnérabilités issues de multiples outils (SAST, DAST, SCA, infrastructure) et calculent des scores de dette de sécurité par application ou par équipe. Ces scores permettent de prioriser les investissements de remédiation selon le risque réel. Une approche de gestion de la Security Debt distingue la "fixing debt" (corriger les vulnérabilités existantes, traité comme backlog de sécurité) de la "preventing new debt" (empêcher l'introduction de nouvelles vulnérabilités via Shift-Left, Security Gates, formation). Les deux axes doivent être actifs simultanément pour réduire la dette nette.