Sécuriser les API d’un service d’identité numérique

Le défi

Un service d’identité numérique à haut niveau de garantie repose sur une vingtaine d’API en microservices. Il fallait y intégrer des pratiques de sécurité avancées sans dégrader leur disponibilité ni leur performance, faire adopter les standards OWASP par des équipes de maturités différentes, et garantir la traçabilité des données sensibles dans les enquêtes de fraude, dans le respect du RGPD.

Ce que nous avons fait

• Sécurisation d’une vingtaine d’API (authentification, protection contre les vulnérabilités courantes, contrôle des entrées et des sorties), selon les standards OWASP.
• Avec le RSSI : conception d’un composant « dossier de preuve » qui centralise et restitue les données des utilisateurs pour les enquêtes de fraude.
• Audits DevSecOps : évaluation de la maturité du système d’information, écarts et recommandations.
• Contrôles automatisés dans les chaînes d’intégration et de déploiement continus : analyse statique du code, analyse des images et des dépendances, suivi des vulnérabilités, nomenclature logicielle (SBOM).

Ce qui a changé

• Moins de vulnérabilités critiques sur les API exposées et une meilleure conformité aux standards OWASP.
• Des enquêtes de fraude facilitées par le dossier de preuve.
• Une vision structurée de la maturité DevSecOps, et des vulnérabilités détectées plus tôt dans les chaînes de livraison.

C’est l’activité Intégrer de Trusted Integration : intégrer la sécurité dans le système d’information et les projets, preuves de fonctionnement à l’appui.