hmeneuvrier
commented
3 months ago Ce qu'on pourrait faire de plus :
- utiliser Snyk pour recevoir des alertes sur les vulnérabilités des dépendances https://snyk.io/fr/
- utiliser OWASP Dependency-Check pour identifier les dépendances vulnérables https://owasp.org/www-project-dependency-check/
- utiliser Clair pour analyser les images Docker et identifier les vulnérabilités https://github.com/quay/clair
- utiliser Nessus pour effectuer des scans de sécurité réguliers sur l'infrastructure https://fr.tenable.com/products/nessus
L’ensemble des composants du SI (matériels, système d'exploitation, logiciels, applicatifs, etc) doit faire l'objet d'une veille sur les vulnérabilités le concernant et être tenu à jour des correctifs de sécurité publiés.
Le SI doit faire l'objet d'un service de supervision (de type healthcheck) sur l'ensemble de ses interfaces d'utilisation, en cohérence avec ses besoins de disponibilité (notamment la durée d'indisponibilité admissible).