Security User Story

Définition

Une Security User Story est une extension du format de User Story agile qui formalise les exigences de sécurité d'une fonctionnalité du point de vue d'un attaquant ou d'un défenseur. Elle complète les User Stories fonctionnelles classiques en intégrant les contraintes de sécurité directement dans le backlog produit, rendant la sécurité visible et priorisable au même titre que les autres exigences. Le format classique d'une Security User Story suit la structure : "En tant qu'[acteur/attaquant], je veux [action malveillante ou besoin de protection] afin de [objectif/impact]." Par exemple : "En tant qu'attaquant, je veux exploiter une injection SQL dans le formulaire de connexion afin d'extraire la base de données utilisateurs." Les critères d'acceptation définissent alors les contrôles techniques qui doivent être implémentés pour mitiger ce risque. Les Security User Stories peuvent être de deux types. Les "negative user stories" ou "abuse cases" décrivent des scénarios d'attaque à neutraliser, issues typiquement du threat modeling (STRIDE, PASTA, Attack Trees). Les "positive security stories" décrivent des fonctionnalités de sécurité à implémenter (authentification MFA, chiffrement des données, audit logging). Les deux types se retrouvent dans le product backlog et font l'objet d'estimations et de priorisation par le Product Owner, idéalement guidé par les Security Champions. L'intégration des Security User Stories dans le processus agile permet plusieurs bénéfices : visibilité de la sécurité dans la planification, responsabilisation des équipes de développement sur la sécurité, traçabilité des exigences de sécurité vers les implémentations et tests, et réduction du Security Debt en traitant les problèmes au bon moment. Les critères d'acceptation des Security User Stories doivent être testables et automatisables dans la mesure du possible. Des frameworks comme BDD (Behavior-Driven Development) avec Gherkin permettent d'écrire des scénarios de sécurité qui s'exécutent directement dans les pipelines CI/CD.