Technical Debt Security

Définition

La Technical Debt Security (dette technique de sécurité) désigne l'accumulation de vulnérabilités, de configurations de sécurité sous-optimales, de pratiques de développement non sécurisées, et de composants non maintenus qui se constituent progressivement dans un système, représentant un coût de sécurité différé. Comme la dette technique classique (code legacy, architecture couplée, absence de tests), la dette technique de sécurité s'accumule quand des raccourcis de développement sont pris au détriment des bonnes pratiques de sécurité, avec l'intention (souvent non tenue) de les corriger "plus tard". Les composantes typiques de la dette technique de sécurité incluent : les dépendances vulnérables connues non mises à jour (CVEs ouvertes depuis des mois sur des composants tiers), les avertissements SAST ignorés ("on verra plus tard"), les configurations de sécurité par défaut non renforcées (TLS 1.0 encore actif "pour compatibilité"), les secrets rotés jamais migrés vers un secrets manager ("l'API key est dans le code depuis 3 ans, ça marche"), les politiques d'accès trop permissives jamais resserrées après un accès temporaire, et l'absence de mécanismes de détection pour des classes entières de vulnérabilités. La mesure de la dette technique de sécurité est un prérequis à sa gestion. Des métriques concrètes incluent : le nombre de CVEs critiques/hautes ouvertes avec leur âge (nombre de jours depuis la découverte), le score SAST de sévérité moyenne des alertes ouvertes, le pourcentage de composants en fin de vie (EOL) dans la stack, le nombre de secrets en dehors d'un secrets manager (détectés par des scans d'inventaire), et le score de conformité aux benchmarks CIS pour les configurations d'infrastructure. La gestion de la dette technique de sécurité dans un contexte DevSecOps implique : sa visualisation dans un Security Debt Dashboard (pour la rendre visible aux dirigeants et product managers), son intégration dans la planification des sprints (quota de "Security Sprint" dédiés à la réduction de la dette), et des politiques de "debt ceiling" (ne pas créer de nouvelle vulnérabilité critique sans en corriger une existante).