Six services, et ce qui vous reste quand je pars.

Pour votre plateforme : des pipelines golden path, une gouvernance des déploiements et un chemin zero-touch sur CloudBees CI et CD/RO ou Jenkins. Chez SWIFT, j’ai fait passer plus de 40 apps Java en orchestration de releases zero-touch, et mon équipe a atteint plus de 80 % de l’objectif fixé par l’entreprise (KPI) : faire passer 100 % des applications en zero-touch. Vous repartez avec un pipeline que les équipes suivent parce qu’il coûte moins cher que de le contourner, avec des contrôles rattachés à SLSA et SSDF (NIST SP 800-218).

Des preuves qu’un auditeur peut lire sans réunion : SBOM en CycloneDX ou SPDX, signature et provenance, policy as code, rattachées à DORA et, là où ils s’appliquent, à NIS2, au Cyber Resilience Act, à l’AI Act européen, à ISO 27001, SOC 2 et PCI DSS.

Pour vos équipes : des tâches cadrées, des règles de revue et des gates qui traitent le code des agents comme du code ; l’AI DevSecOps Framework en pose les contrôles. Mon propre travail avec des agents de code chez SWIFT suit le même chemin : agent-first avec Claude Code, OpenAI Codex et Devin, avec une revue humaine et les mêmes gates de sécurité que le code écrit par des humains.

Deux semaines, périmètre fixe, sur le DevSecOps Maturity Model ouvert : cinq niveaux sur huit domaines, une position notée par domaine et une feuille de route priorisée.

Des formats de deux jours pour les équipes plateforme et livraison, avec les exercices de techstream-learn ; chez SWIFT, j’accompagne plus de 5 squads jusqu’à ce que le standard tienne. Le but est une équipe qui fait tourner le pipeline sans moi.

Java 21 et Spring sur une plateforme réglementée : une migration de 2,5 milliards d’enregistrements vers Oracle chez Swissquote. Vert.x et Kafka à grande échelle : un backend CQRS chez Eleven Sports qui a tenu des centaines de milliers d’interactions simultanées.