Au cours de la dernière décennie, une grande partie de la sécurité a quitté le calendrier annuel. Le pentest n'a pas disparu, mais le travail quotidien s'est déplacé en amont, dans l'éditeur, la pull request, le pipeline CI, là où un problème est peu coûteux à corriger car la personne qui l'a causé est encore en train de l'examiner. Ne détecter les problèmes qu'à la toute fin a commencé à ressembler à l'option la plus coûteuse.
La plupart des travaux de conformité n'ont pas encore effectué ce déplacement. Pour la plupart des équipes, ils restent ancrés à l'audit : une revue qui a lieu longtemps après les faits, sur une période déjà close, où un contrôle qui a dévié des mois plus tôt apparaît alors, s'il apparaît. Le changement qui a causé la dérive a été intégré dans une pull request que personne n'a lue pour la conformité. heygrc existe pour déplacer cette lecture là où la sécurité est déjà allée, dans le diff.
L'audit est un indicateur retardé
Un audit vous indique ce qui était vrai sur une période déjà écoulée. C'est utile, mais c'est tardif par construction. Au moment où un contrôle défaillant apparaît, le changement qui l'a causé a déjà été fusionné des semaines ou des mois plus tôt, les preuves pour la période intermédiaire manquent déjà, et ce qui aurait pu être un simple commentaire de revue est désormais une exception à documenter et une correction à planifier.
Le coût d'un écart de conformité augmente avec la distance entre le changement qui l'a causé et le moment où quelqu'un le remarque. Un rythme annuel étire cette distance par conception.
La conformité dérive commit après commit
Les contrôles se brisent rarement lors d'un événement unique et visible. Ils s'érodent par des changements individuellement raisonnables : une période de conservation prolongée, une ligne de journal supprimée, une région de stockage modifiée, un paramètre par défaut assoupli pour débloquer un partenaire. Chaque modification est justifiable en soi, et aucune ne s'annonce comme un changement de conformité. Ce qui apparaît plus tard est l'état accumulé, et non le contexte de la revue du changement individuel qui a modifié le contrôle.
Si la dérive se produit commit après commit, le seul endroit pour la détecter à moindre coût est le commit. Partout ailleurs, vous devez reconstruire, à partir des journaux et de la mémoire, quel changement a modifié le contrôle et quand.
Un indicateur avancé dans le diff
Déplacer la conformité en amont signifie lire chaque pull request au moment où elle se produit et identifier le contrôle qu'un changement affecte, avec la clause, alors que la décision est encore peu coûteuse à modifier. C'est le même mouvement que celui de la sécurité : non pas pour remplacer l'audit, mais pour réduire ce que l'audit doit trouver, en détectant les changements pertinents pour les contrôles lors de la revue, au lieu de les laisser s'accumuler en exceptions.
C'est l'objectif plutôt qu'un résultat mesuré, car nous ne nous appuyons pas encore sur la télémétrie de production : un indicateur avancé sur les mêmes obligations que celles mesurées par l'audit, au moment où une découverte coûte un commentaire au lieu d'un trimestre. L'audit annuel a toujours lieu. Il devrait simplement avoir moins de choses à découvrir.