Neuf frameworks, Apache-2.0, publiés sous Techstream.
Écrits en faisant le travail, un dépôt chacun.
- 01
DevSecOps Framework
Où placer la sécurité dans un pipeline de livraison et quel contrôle va à chaque phase. À l’intérieur : l’architecture, une référence d’outils par phase du pipeline, un guide de mise en œuvre et une feuille de route.
github.com/sotille/devsecops-framework
- 02
Secure CI/CD Reference Architecture
Un pipeline a cinq endroits à attaquer : le code source, l’environnement de build, les secrets, les artefacts et le déploiement. Les menaces de chacun sont modélisées et le contrôle correspondant fixé, avec des guides de mise en œuvre pour GitHub Actions, GitLab CI et Jenkins, et un modèle de maturité pour finir.
github.com/sotille/secure-ci-cd-reference-architecture
- 03
Release Orchestration Framework
Gouvernance des releases, promotion entre environnements, workflows d’approbation, orchestration, rollback et reprise, écrits pour des paysages à nombreuses équipes et nombreux environnements. À lire si vous êtes le release manager ou le responsable de programme qui doit dire quand quelque chose peut partir en production.
github.com/sotille/release-orchestration-framework
- 04
Software Supply Chain Security Framework
De la source à la distribution : dépendances, systèmes de build, artefacts et environnements de déploiement, avec le cycle de vie du SBOM et la provenance comme base de la confiance. Il s’appuie sur SLSA, le SSDF du NIST, l’Executive Order 14028 et le Cyber Resilience Act européen, et il est écrit pour le programme qu’une équipe lance après SolarWinds, Log4Shell et XZ Utils.
github.com/sotille/software-supply-chain-security-framework
- 05
DevSecOps Maturity Model
Cinq niveaux sur huit domaines, un questionnaire de notation et une analyse d’écarts. La filiation, c’est CMMI, OWASP SAMM et BSIMM, étendus au cloud-native et à la livraison continue ; le diagnostic de deux semaines de la page Services tourne sur ce modèle.
github.com/sotille/devsecops-maturity-model
- 06
Compliance Automation Framework
Les contrôles deviennent de la policy as code, les preuves sont collectées par le pipeline plutôt qu’à la main, et la surveillance les tient à jour, sur le cloud, Kubernetes et le CI/CD. La correspondance des contrôles couvre SOC 2, ISO 27001 et PCI DSS, entre autres, pour remplacer la conformité ponctuelle par des preuves continues.
github.com/sotille/compliance-automation-framework
- 07
DevSecOps Methodology
Une transformation en quatre phases, évaluer, concevoir, mettre en œuvre, optimiser, sur la culture, les processus, l’outillage et la gouvernance. À l’intérieur : des cadres d’évaluation et des guides d’entretien, des modèles d’état cible, des playbooks à 90 jours et à 18 mois, des matrices RACI et un programme de security champions. Pour le CISO ou le responsable plateforme qui parraine ou mène le programme.
github.com/sotille/devsecops-methodology
- 08
AI DevSecOps Framework
Ce qui change dans le pipeline quand l’IA écrit du code et que des agents tournent dans le CI/CD : modèles de menaces, contrôles et gouvernance pour le développement assisté par IA, la défense contre l’injection de prompt, la supply chain des modèles et l’autorisation des agents. Il suppose une base DevSecOps mature et l’étend à la surface IA, avec des exemples GitHub Actions, GitLab CI et RBAC Kubernetes.
github.com/sotille/ai-devsecops-framework
- 09
Forensics & Incident Response Framework
Une infrastructure immuable et éphémère détruit les preuves, à moins que la préservation ne soit conçue d’avance. Ce dépôt est cette conception : quoi journaliser, où le conserver inaltéré, comment corréler entre domaines, et des playbooks d’investigation pour les incidents CI/CD, cloud, supply chain, identité et agents IA.
github.com/sotille/forensics-and-incident-response-framework
Les normes auxquelles les frameworks se rattachent
DORA, NIS2, le Cyber Resilience Act et l’AI Act européen ; SLSA, SSDF (NIST SP 800-218), ISO 27001, SOC 2, PCI DSS ; CycloneDX et SPDX, Sigstore, OPA.