CNAPP — posture, garde-fous et priorités

Trois familles complémentaires à examiner : observation, prévention et risque logiciel.

CNAPP — posture, garde-fous et priorités Trois familles complémentaires à examiner : observation, prévention et risque logiciel. Configuration · CSPM · écarts de configuration · Posture observée en continu · correction par IaC Configuration · CSPM écarts de configuration correction par IaC Droits effectifs (CIEM) · chemins d'escalade de privilèges · Posture observée en continu · droits jamais utilisés Droits effectifs (CIEM) chemins d'escalade de privilèges droits jamais utilisés Exécution · CWPP · détection et protection des charges · Posture observée en continu · isolation immédiate Exécution · CWPP détection et protection des charges isolation immédiate Données / applications · DSPM et ASPM : risques et exposition · Posture observée en continu · priorisée par le risque Données / applications DSPM et ASPM : risques et exposition priorisée par le risque Politique comme code · versionnée, testée, appliquée · Garde-fous exécutables · contrôle préventif Politique comme code versionnée, testée, appliquée contrôle préventif Zones d'atterrissage · conforme dès la naissance · Garde-fous exécutables · garde-fous préventifs Zones d'atterrissage conforme dès la naissance garde-fous préventifs Registre des exceptions · propriétaire et date d'expiration · Garde-fous exécutables · aucune dérogation ouverte Registre des exceptions propriétaire et date d'expiration aucune dérogation ouverte Sécurité des API · inventaire, quotas, validation · Garde-fous exécutables · OWASP API Sécurité des API inventaire, quotas, validation OWASP API SBOM, CBOM et AIBOM · inventaire des composants et modèles · Matière première logicielle · ISO A.8.28 SBOM, CBOM et AIBOM inventaire des composants et modèles ISO A.8.28 Dépendances et mainteneurs · risque du projet porté par un seul · Matière première logicielle · open source Dépendances et mainteneurs risque du projet porté par un seul open source Priorité de remédiation · exploitation, exposition, criticité · Matière première logicielle · KEV et EPSS Priorité de remédiation exploitation, exposition, criticité KEV et EPSS Concentration et réversibilité · dépendances uniques et sortie testée · Matière première logicielle · DORA et NIS2 Concentration et réversibilité dépendances uniques et sortie testée DORA et NIS2 Posture observée en continu Garde-fous exécutables Matière première logicielle Légende Service / application Données / preuves Cloud / réseau Contrôle de sécurité Acteur / contexte