Sécuriser une application métier en 10 contrôles

La sécurité applicative n'exige pas un audit à six chiffres pour progresser. Dix contrôles couvrent la grande majorité des incidents que nous constatons sur des applications métier.

• —Authentification centralisée, avec MFA pour les comptes à privilèges.
• —Autorisation vérifiée côté serveur sur chaque accès aux données — jamais dans l'interface seule.
• —Rôles stockés hors de la table utilisateur, pour empêcher l'élévation de privilèges.
• —Validation stricte des entrées (schéma typé) sur toutes les API.
• —Secrets hors du code, rotation documentée.
• —Chiffrement en transit et au repos, y compris pour les sauvegardes.
• —Journalisation des actions sensibles, conservée 12 mois minimum.
• —Mises à jour de dépendances automatisées, avec revue des alertes critiques sous 72 h.
• —Sauvegardes testées par une restauration réelle, au moins deux fois par an.
• —Procédure d'incident écrite : qui décide, qui communique, en combien de temps.

Le contrôle le plus souvent manqué

L'autorisation par ligne de données. Une API qui renvoie « la commande n° 4312 » sans vérifier que l'utilisateur a le droit de la voir est la faille la plus fréquente et la plus coûteuse. Testez-la explicitement, avec deux comptes de test, à chaque livraison.