Software Composition Analysis Policies

Définition

Les Software Composition Analysis Policies (politiques SCA) sont les règles et seuils configurés dans les outils d'analyse de composition logicielle (OWASP Dependency-Check, Snyk, Dependabot, Black Duck, Mend) définissant les conditions dans lesquelles un composant open source ou tiers est jugé non acceptable pour utilisation dans les projets de l'organisation. Ces politiques opérationnalisent les décisions de gouvernance open source en contrôles techniques automatisés dans les pipelines CI/CD, transformant des questions comme "cette bibliothèque est-elle sûre à utiliser ?" en verdicts automatiques. Les dimensions des politiques SCA couvrent les aspects de sécurité (CVEs des composants), de licence (compatibilité et obligations légales), et de qualité/risque (composants abandonnés, sans mainteneur actif, avec mauvaise réputation de sécurité). Sur l'axe sécurité, les politiques typiques définissent : bloquer les composants avec CVEs critiques (CVSS >= 9.0) sans fix disponible, mettre en avertissement les composants avec CVEs HIGH (CVSS 7.0-8.9) avec date limite de remédiation, ignorer les CVEs LOW et MEDIUM (sauf dans les environnements haute criticité). Sur l'axe licence, les politiques définissent : bloquer les licences restrictives non approuvées (AGPL v3, LGPL avec exceptions, GPL non compatible avec le modèle de distribution de l'organisation), mettre en avertissement les licences permissives avec obligations d'attribution (MIT, Apache 2.0 — acceptées mais avec obligations documentées). L'implémentation technique des politiques SCA s'appuie sur les fonctionnalités de "policy" ou "governance" des outils : Snyk Policies (fichier .snyk versionné dans le dépôt), Dependabot Configuration (dependabot.yml avec severity_threshold), Black Duck Binary Analysis Policies, et Mend License Compliance policies. Ces configurations sont versionnées, peuvent différer par projet (un projet embarqué peut avoir des seuils différents d'une API web), et sont appliquées automatiquement dans les pipelines CI/CD. La gouvernance des politiques SCA à l'échelle de l'organisation nécessite une instance centrale de référence (InnerSource catalog, portail de gouvernance open source) documentant les décisions de politique, les licences approuvées/refusées, et les exceptions accordées avec leurs justifications et dates d'expiration.