Sécurité par l'ingénierie du chaos

La sécurité par l’ingénierie du chaos, ou SCE (Security Chaos Engineering en anglais), est une discipline basée sur l’ingénierie du chaos. La SCE réalise des tests de sécurité proactifs sur un système distribué pour accroître la confiance dans la capacité du système à faire face à des conditions instables et malveillantes. Les ingénieurs en sécurité du chaos utilisent, en boucle, des méthodes scientifiques pour y parvenir, comme la définition de l’état d’équilibre (steady-state), d’hypothèses, l’amélioration continue, l’apprentissage et la mise en œuvre de mesures d’atténuation.

Problème auquel cela répond

La principale priorité des ingénieurs en fiabilité des sites et des ingénieurs en cybersécurité est de rétablir le service le plus rapidement possible dans le but d’avoir un temps d’indisponibilité nul et de minimiser l’impact client. Les ingénieurs en fiabilité des sites et en cybersécurité gèrent à la fois les incidents avant et après la défaillance. La plupart des problèmes de sécurité sont difficiles à découvrir et à corriger rapidement, ce qui affecte les fonctionnalités de l’application ou du système. De plus, les incidents de sécurité sont généralement difficiles à détecter pendant la phase de développement.

Quelle en est l’utilité

La sécurité par l’ingénierie du chaos est construite autour des pratiques d’observabilité et de cyber-résilience. Elle vise à découvrir les “inconnues inconnues” et à renforcer la confiance dans le système, augmentant ainsi la cyber-résilience et améliorant l’observabilité.

Les équipes d’ingénierie amélioreront progressivement la compréhension des problèmes de sécurité au sein d’infrastructures complexes, de plates-formes et de systèmes distribués. La SCE améliore la cyber-résilience de l’ensemble du produit, révèle des problèmes de sécurité cachés, expose les angles morts classiques et prépare les équipes aux cas critiques. Cette approche aide les ingénieurs SREs, DevOps et DevSecOps à créer de la confiance dans le système, à augmenter la cyber-résilience et à améliorer l’observabilité.