La sécurité de la chaîne d’approvisionnement logicielle n’est pas un problème figé. Le paysage des menaces, l’environnement réglementaire et la base technologique sur laquelle reposent les chaînes d’approvisionnement évoluent en permanence, ce qui crée de nouveaux vecteurs d’attaque, de nouvelles obligations de conformité et de nouvelles exigences d’assurance que les programmes conçus pour la situation actuelle devront traiter dans un avenir proche. Le praticien de la sécurité de la chaîne d’approvisionnement qui comprend l’évolution du domaine peut développer des capacités de programme répondant à la fois aux exigences actuelles et émergentes, au lieu de réagir sans cesse à des changements qui étaient prévisibles.
La trajectoire du code généré par IA constitue le risque émergent le plus immédiat pour la chaîne d’approvisionnement. Les équipes de développement utilisent de plus en plus des outils de génération de code par IA (GitHub Copilot, Cursor et autres) pour accélérer le développement logiciel. Le code généré par IA présente des caractéristiques de risque propres à la chaîne d’approvisionnement : il peut contenir des vulnérabilités subtiles difficiles à détecter lors de la revue de code, car le code paraît syntaxiquement correct tout en comportant des erreurs sémantiques ; il peut reproduire des motifs de code protégés par le droit d’auteur issus des données d’entraînement ; et la rigueur de revue appliquée au code généré par IA est souvent inférieure à celle appliquée au code écrit par des humains, précisément parce que le code généré par IA paraît soigné et complet. Pour les praticiens TPRM, interroger les fournisseurs sur leur gouvernance de la génération de code par IA, et en particulier sur le fait que le code généré par IA fait ou non l’objet d’une revue aussi approfondie que le code écrit par des humains, est une question émergente de sécurité de la chaîne d’approvisionnement que la plupart des évaluations actuelles n’abordent pas.
La transition vers la cryptographie post-quantique est le défi de sécurité de la chaîne d’approvisionnement à plus long terme. Les algorithmes actuels de signature de code (RSA, ECDSA) sont potentiellement vulnérables à des attaques par ordinateur quantique susceptibles de briser les fondements mathématiques de la cryptographie à clé publique actuelle. Le NIST a normalisé des algorithmes cryptographiques post-quantiques et engage le calendrier de transition. La chaîne d’approvisionnement logicielle repose largement sur la signature de code pour garantir l’authenticité des artefacts : un échec de la transition post-quantique qui laisserait l’infrastructure de signature sur des algorithmes pré-quantiques ouvrirait une période pendant laquelle la signature dans la chaîne d’approvisionnement n’offrirait aucune assurance cryptographique face à un attaquant disposant de capacités quantiques. Le calendrier est incertain, mais la direction est établie.
Pourquoi c’est important
L’avenir de la sécurité de la chaîne d’approvisionnement compte pour le TPRM, car les investissements réalisés aujourd’hui dans les programmes doivent tenir compte des capacités qui seront requises dans trois à cinq ans, et pas seulement de la situation actuelle. La gouvernance de la génération de code par IA, la transition vers la cryptographie post-quantique et la trajectoire de la conformité réglementaire sont autant d’exigences prévisibles que les programmes actuels peuvent commencer à traiter de manière proactive plutôt que réactive.
- Gouvernance du code généré par IA absente des évaluations actuelles des fournisseurs
- Planification de la transition vers la cryptographie post-quantique hors du périmètre actuel de la sécurité de la chaîne d’approvisionnement
- Trajectoire réglementaire : exigences de conformité CRA, FDA et DORA pas encore au stade de la planification
- Programme conçu pour la situation actuelle, sans planification prospective des capacités
- Vecteurs d’attaque émergents absents des cadres d’évaluation TPRM actuels
À quoi ressemblent les bonnes pratiques
Les programmes prospectifs de sécurité de la chaîne d’approvisionnement commencent dès maintenant à traiter la gouvernance de la génération de code par IA, suivent la normalisation post-quantique du NIST pour connaître les exigences de transition des algorithmes de signature, suivent la trajectoire réglementaire pour anticiper les obligations de conformité à venir, et élaborent des feuilles de route de capacités couvrant des horizons de deux à trois ans en plus des exigences actuelles.
- Questions sur la gouvernance de la génération de code par IA dans l’évaluation des fournisseurs
- Suivi de la cryptographie post-quantique : calendrier d’adoption des normes PQC du NIST
- Suivi de la trajectoire réglementaire : calendriers de mise en œuvre de CRA, FDA et DORA
- Feuille de route des capacités du programme : planification à un horizon de deux à trois ans
- Surveillance des menaces émergentes pour la chaîne d’approvisionnement : nouveaux vecteurs d’attaque dans le renseignement sur les menaces
Outils
Post-quantique : projet Post-Quantum Cryptography du NIST sur csrc.nist.gov ; recommandations de la CISA sur la préparation post-quantique
Le projet de normalisation de la cryptographie post-quantique du NIST a publié des normes définitives pour les algorithmes post-quantiques d’encapsulation de clés et de signature numérique : ML-KEM, ML-DSA et SLH-DSA. Le calendrier de transition de l’infrastructure de signature de code vers ces algorithmes concernera l’ensemble de la chaîne d’approvisionnement logicielle. Pour les praticiens TPRM, suivre le calendrier post-quantique du NIST et interroger les fournisseurs sur leur planification de la migration constitue une question prospective de sécurité de la chaîne d’approvisionnement.
Gouvernance du code par IA : recommandations de l’OpenSSF sur le code assisté par IA ; GitHub Copilot Trust Center pour la gouvernance de la génération de code par IA en entreprise
De nouvelles recommandations de l’OpenSSF et des fournisseurs de cloud traitent de la gouvernance de la génération de code par IA dans le développement logiciel, en particulier des exigences de revue et des obligations de tests de sécurité applicables au code généré par IA. Pour les praticiens TPRM, interroger les fournisseurs sur leurs politiques de génération de code par IA et sur le fait que le code généré par IA fait ou non l’objet de la même revue de sécurité que le code écrit par des humains constitue une question précise sur un risque émergent de la chaîne d’approvisionnement.
Enjeux de gouvernance
La difficulté de gouvernance d’une sécurité de la chaîne d’approvisionnement tournée vers l’avenir tient au problème du moment de l’investissement. Développer des capacités pour des exigences qui ne sont pas encore des obligations réglementaires suppose un investissement prospectif qui entre en concurrence avec les obligations de conformité actuelles. La solution de gouvernance est une feuille de route du programme qui identifie les exigences émergentes selon un calendrier réaliste et lance le développement des capacités au moment où le délai de mise en place correspond à l’échéance de conformité.
- Ajouter dès maintenant la gouvernance de la génération de code par IA à l’évaluation des fournisseurs
- Suivre le calendrier post-quantique du NIST et commencer à planifier la transition
- Suivre les calendriers de mise en œuvre de CRA, FDA et DORA pour les exigences relatives à la chaîne d’approvisionnement
- Élaborer une feuille de route triennale des capacités du programme de sécurité de la chaîne d’approvisionnement
- Inclure des questions prospectives dans les évaluations des fournisseurs pour mesurer leur préparation aux enjeux émergents
Si vous êtes une petite équipe
Ajoutez une question prospective à vos trois prochaines évaluations de fournisseurs de logiciels critiques. Interrogez-les sur la gouvernance de la génération de code par IA : votre équipe de développement utilise-t-elle des outils de génération de code par IA et, si oui, les contributions de code générées par IA font-elles l’objet d’une revue de sécurité aussi approfondie que le code écrit par des humains ? Cette seule question permet de commencer à recueillir des informations sur les pratiques de gouvernance du code par IA des fournisseurs, qui deviendront une dimension standard d’évaluation à mesure que le consensus se formera au sein des communautés réglementaire et de la sécurité.
- Interroger les fournisseurs sur la gouvernance de la génération de code par IA et la profondeur de la revue
- Suivre la normalisation post-quantique du NIST pour ses conséquences sur la transition des signatures
- Suivre les calendriers de conformité de la chaîne d’approvisionnement de CRA, FDA et DORA
- Élaborer une feuille de route triennale des capacités de sécurité de la chaîne d’approvisionnement
Ce qu’il faut exiger
Demandez directement :
« Votre équipe de développement utilise-t-elle des outils de génération de code par IA et, si oui, quelle gouvernance avez-vous mise en place pour la revue, les tests de sécurité et l’assurance qualité du code généré par IA afin que les contributions générées par IA fassent l’objet d’un examen équivalent à celui du code écrit par des humains ? »
Preuves attendues
- Politique de gouvernance de la génération de code par IA
- Exigences de profondeur de revue pour le code généré par IA
- Sensibilisation et planification de la transition vers la cryptographie post-quantique
- Feuille de route de conformité réglementaire pour les exigences de sécurité de la chaîne d’approvisionnement
Il convient d’interroger un fournisseur doté d’un programme actuel de sécurité de la chaîne d’approvisionnement sur sa préparation à l’avenir. La maturité actuelle du programme décrit où il en est aujourd’hui. Les questions prospectives révèlent si le programme anticipe les exigences de demain.
Comment le prouver
- Évaluation de la gouvernance de la génération de code par IA
- Suivi de la transition post-quantique
- Suivi de la trajectoire de la conformité réglementaire
- Feuille de route triennale des capacités de la chaîne d’approvisionnement
À retenir
Programme actuel : adapté à aujourd’hui. Code généré par IA : il entre déjà dans les pipelines des fournisseurs. Post-quantique : inscrit au calendrier. Accélération réglementaire : CRA, FDA et DORA sont déjà là. La sécurité de la chaîne d’approvisionnement n’est pas un problème figé. Le paysage des menaces, la base technologique et l’environnement réglementaire évoluent en permanence. La gouvernance de la génération de code par IA, la transition vers la cryptographie post-quantique et la trajectoire de la conformité réglementaire sont des exigences prévisibles que les programmes actuels peuvent commencer à traiter de manière proactive. Le programme qui ne traite que la situation actuelle réagit toujours à ce qui est devenu nécessaire. Le programme qui se prépare à la situation prévisible développe ses capacités avant l’échéance.