Google a-t-il une offre qualifiable de « plate-forme DevSecOps » ?

Gartner considère que oui. Il l’a d’ailleurs classé dans le Magic Quadrant consacré à ce segment de marché. C’en est la quatrième édition… mais la première à intégrer la composante sécurité dans son intitulé – auparavant, le cabinet américain s’en tenait au DevOps – et dans la liste des critères obligatoires. Il fallait, en l’occurrence, pouvoir orchestrer des fonctionnalités telles que l’analyse de code, la modélisation des menaces et la protection des API.

Google avait figuré dans la première édition (2023). Il avait ensuite disparu des tablettes, faute de proposer une offre relevant de la plate-forme. Gartner estime que les choses ont changé. Pas radicalement, néanmoins : on est plutôt sur une « collection d’outils »* pas spécifiquement conçus pour le DevSecOps et combinés sans stratégie produit globale.

Dans ce contexte, Google se positionne parmi les « acteurs de niche ». Il côtoie, dans cette zone du Magic Quadrant, Buildkite, CircleCI, CloudBees, JetBrains et Octopus, qui y étaient déjà tous l’an dernier. Ainsi qu’OpenText, qui fait quant à lui partie des nouveaux entrants. Comme IBM et HCLSoftware, classés pour leur part chez les « visionnaires ».

Plates-forme DevSecOps : 13 fournisseurs, 4 « leaders »

Selon la terminologie du Magic Quadrant, sont « visionnaires » les fournisseurs qui se trouvent dans la partie basse sur l’axe dit « exécution »… et dans la partie haute sur celui dit « vision ». Le premier traduit la capacité à répondre à la demande (expérience client, tarification, qualité des produits/services…). Le second reflète les stratégies (ventes, innovation, déploiement sectoriel et géographique…). Les offreurs au positionnement inverse sont dits « challengers ». Ceux suffisamment bien placés sur les deux axes sont « leaders ». À l’opposé, il y a les « acteurs de niche ».

La situation sur l’axe « exécution » :

Sur l’axe « vision » :

Les quatre « leaders » de l’an dernier le restent :

• Atlassian (progresse en exécution, recule en vision)
• GitLab (progresse en exécution, stable en vision)
• Harness (progresse sur les deux axes)
• Microsoft (progresse sur les deux axes)

Atlassian a acté la fin de l’option on-prem

Gartner apprécie les SLA et le niveau de sécurité de l’offre SaaS d’Atlassian, ainsi que les options de résidence des données. Il salue le niveau d’unification de la plate-forme, tout comme la diffusion de l’IA en son sein et sa capacité à répondre aux besoins des différentes parties prenantes du SDLC.

Quoique techniquement unifiée, la plate-forme ne l’est pas sur le plan commercial – pas de SKU unique – sauf pour les plus gros clients. Atlassian propose par ailleurs moins de briques de sécurité natives que les autres « leaders ». Il est aussi le seul à ne pas avoir d’option viable pour qui a besoin d’une solution sur site, affirme Gartner. En toile de fond, l’annonce, l’an dernier, de la fin de la gamme Datacenter pour 2029, sauf Align et Bitbucket.

Chez GitLab, une restructuration qui laisse des traces

Chez GitLab, SaaS et on-prem sont à parité fonctionnelle, y compris pour les composantes IA. Ses SLA ont été renforcés, égalant voire dépassant ceux de la concurrence. Il propose globalement, en natif, la plupart des capacités qu’on peut attendre d’une plate-forme DevSecOps, d’après Gartner.

Au contraire d’Atlassian, GitLab manque d’une empreinte d’ensemble sur le SDLC, au-delà des métiers de l’ingénierie logicielle. Son business indirect délivre des résultats limités sur la plaque Asie-Pacifique et la restructuration récemment engagée au nom de l’IA ne suscite pas l’adhésion de tous ses employés.

Harness, pas au niveau de la concurrence sur les SLA

Harness parvient à intégrer efficacement les solutions open source, mais aussi les entreprises qu’il acquiert. Gartner salue sa proposition de valeur sur la sécurité, le MLOps et l’IA agentique. Il apprécie aussi l’approche de vente modulaire de la plate-forme.

En fonctions des géographiques, les services et le support que fournissent les partenaires s’avère inégal. Les SLA n’atteignent pas ceux de la concurrence, que ce soit sur la disponibilité ou le temps de réponse. Le marketing de Harness demeure par ailleurs assez éloigné de la population des cadres dirigeants (C-suite).

Sur GitHub, Microsoft priorise l’IA au cœur fonctionnel

Au-delà de sa présence mondiale (ventes, support, R&D, datacenters…) et plus généralement de la viabilité de son activité, Microsoft a su constituer un vaste écosystème autour de son offre. Gartner la juge fonctionnellement riche, tout en notant les passerelles établies avec d’autres solutions DevSecOps. Il salue aussi la manière dont l’IA s’y diffuse.

Ce focus sur l’IA a tendance à ralentir la cadence d’innovation sur le cœur fonctionnel de GitHub. En parallèle, la transition du modèle au siège vers la facturation à l’usage complique la gestion des coûts. Et l’offre Azure DevOps reste au catalogue, imposant d’évaluer la complémentarité et/ou les chevauchements avec GitHub.

* Cloud Build, Cloud Deploy, Artifact Registry, Gemini Code Assist, Gemini Cloud Assist, Security Command Center, Secret Manager, Google Cloud Observability, Gemini Enterprise

Illustration © ArtemisDiana – Adobe Stock

The post DevSecOps : la « plate-forme », une notion relative appeared first on Silicon.fr.

En matière de DevSecOps, la recherche académique et industrielle a une influence limitée.

Ainsi en juge l’ANSSI. La plupart des papiers qu’elle a analysés se concentrent sur des aspects techniques isolés : enrichissement des SBOM, analyse de la supply chain logicielle, automatisation CI/CD… Les modèles holistiques sont rarement explorés.

Malgré la pression réglementaire, le domaine repose encore sur des approches descriptives, avec peu de tests en conditions réelles, poursuit l’agence. Cela conduit à des éclairages fragmentés plutôt qu’à un cadre S-SDLC unifié.

On aura noté que l’analyse n’est pas exhaustive : elle a englobé 8 publications. Dont certaines non évaluées par les pairs. L’ANSSI le reconnaît et l’impute aux « contraintes temporelles de l’étude ». Sa sélection « demeure sujette à caution et ne reflète que partiellement l’état de l’art en DevSecOps », ajoute-t-elle.

L’IA ne l’a pas encore emporté sur les faux positifs

Au-delà de l’état de la recherche, l’ANSSI a sondé l’état du marché, selon une classification en 12 catégories de solutions AppSec.

Trois de ces catégories (SCA/SBOM, ASMP et gestion/scan de secrets) ont fait l’objet d’une étude approfondie. D’une part, à travers des entretiens avec 13 fournisseurs (dont 6 européens). De l’autre, en interrogeant 9 organisations avec un questionnaire basé sur le référentiel de maturité OWASP DevSecOps.

S’il en ressort une tendance à la « plateformisation » (10 fournisseurs sur 13 ont pris le pli), certaines intégrations demeurent partielles. Par exemple entre gestion des SBOM et détection des vulnérabilités : les workflows, les sources de données et les parcours utilisateurs restent souvent distincts.

Comme sur quantité d’autres marchés, l’IA se diffuse, mais la maturité varie considérablement. L’ANSSI l’estime insuffisante pour réduire significativement les faux positifs – fréquents notamment avec le SAST – ou améliorer la priorisation après analyse. Les organisations développent certes des solutions internes, mais qui progressent lentement et produisent des résultats limités. Elles attendent par ailleurs que les fournisseurs basculent des LLM généralistes vers des modèles spécialisés.

La remédiation aussi s’avère complexe. Surtout avec les scanners de secrets et les résultats des analyses SCA (impliquant parfois une restructuration importante du code).

À ces éléments s’ajoutent des cadres réglementaires « formulés à haut niveau ». Les orientations opérationnelles sont limitées : il est difficile de traduire les exigences en pratiques concrètes.

Illustration générée par IA

The post Recherche, IA, intégrations… Les angles morts du DevSecOps appeared first on Silicon.fr.