Cybersécurité des services informatiques (partie SLAM)

Intégrer la sécurité dans un projet de développement dès l'expression du besoin : écrire des exigences de sécurité vérifiables, modéliser les menaces d'une application avec STRIDE, appliquer les principes de conception sûre, protéger les données dès la conception, sécuriser la chaîne de développement et vérifier la conformité d'une application à un référentiel (OWASP Top 10, OWASP ASVS).

Reconnaître les vulnérabilités les plus courantes d'une application web (injections, script intersite, falsification de requête, contrôle d'accès défaillant, téléversement de fichiers, fuites d'informations, composants vulnérables, mauvaises configurations, désérialisation et falsification de requête côté serveur), expliquer leur mécanisme, corriger le code PHP et prouver par des tests que la correction fonctionne.

Programmer une authentification sûre dans une application web et une API : stocker les mots de passe avec une fonction lente et salée, appliquer une politique de mots de passe, gérer les sessions et leurs cookies, limiter les essais répétés, intégrer un second facteur et une réinitialisation sûre, authentifier les échanges entre applications par jetons (JWT, OAuth 2.0, OpenID Connect) et vérifier les habilitations à chaque requête côté serveur.

Vérifier la sécurité d'une application tout au long de sa vie : écrire et automatiser des tests de sécurité, faire analyser le code et les composants, encadrer un test d'intrusion, isoler les environnements, journaliser les événements de sécurité, analyser les connexions, alerter et traiter un incident applicatif jusqu'au retour d'expérience.