Selon le rapport 2025 Data Breach Investigations de Verizon, 30 % des compromissions impliquaient un tiers — un doublement par rapport à 15 % l'année précédente, le plus fort basculement en un an de l'histoire du rapport.
Une compromission de la chaîne d'approvisionnement logicielle coûte en moyenne 4,91 millions de dollars et met en moyenne 267 jours à être identifiée et contenue — le délai de détection le plus long de tous les vecteurs d'attaque suivis.
Le SBOM : de bonne pratique à obligation réglementaire
Le Cyber Resilience Act européen impose déjà, depuis septembre 2026, une obligation de notification des vulnérabilités, avec une conformité complète — SBOM, documentation technique, marquage CE — exigée pour décembre 2027.
Le CRA s'applique à toute entreprise qui met un produit numérique sur le marché européen, quel que soit le lieu de son siège social.
Signature et provenance : garantir l'intégrité du code déployé
Chaque artefact produit par le pipeline CI/CD devrait être signé cryptographiquement, avec une attestation de provenance documentant comment il a été construit.
Aucun artefact non signé ou à la provenance non vérifiée ne devrait pouvoir atteindre un environnement de production.
Ce qu'il faut retenir
- Disposer d'un SBOM à jour pour chaque application critique
- Exécuter l'analyse de composition logicielle (SCA) automatiquement à chaque build
- Signer chaque artefact déployé et vérifier sa signature avant exécution
- Automatiser les mises à jour de sécurité des dépendances
- Savoir si l'organisation entre dans le périmètre du Cyber Resilience Act
