Passer en production

Mettre un changement en production ne devrait pas faire peur. Ni laisser la sécurité de côté.

Votre système dans le cloud, sur vos propres serveurs ou les deux, avec des mises en production réversibles, la sécurité vérifiée à chaque changement, des coûts compréhensibles et une trace de tout. Pour des activités qui ne peuvent pas s'arrêter.

Parlons de votre cas

Vous préférez l'e-mail ? Écrivez-nous à hola@habil.mx

Ils nous font confiance : des organisations où la continuité et la sécurité ne se négocient pas

  • BanCoppel
  • Zurich
  • Allianz
  • GNP Seguros
  • MetLife
  • Costco
  • Seguros Multiva
  • Aserta
  • Bx+
  • Veolia
  • Truper
  • Argos

Le problème est rarement le cloud : c'est la façon de mettre en production

Les systèmes critiques ne tombent pas faute de serveurs : ils tombent le jour de la mise en production, à cause d'un changement que personne n'a testé comme en production ou d'une configuration modifiée à la main. Et quand la sécurité est une revue en fin de parcours, il se passe l'une de deux choses : soit elle freine tout, soit on la contourne. La solution est la même pour les deux : un chemin automatisé où les tests et la sécurité se font d'eux-mêmes, à chaque changement, et n'arrêtent que ce qui présente un vrai risque.

Illustration d’exemple : un déploiement qui franchit ses portes de contrôle.

Des symptômes que votre activité connaît déjà

  • « Les mises en production se font en pleine nuit, avec tout le monde connecté. »

    Technologiechaque changement est un événement à risque ; on les regroupe donc, et ils deviennent plus gros et plus risqués.

  • « Personne ne sait exactement ce qui tourne en production. »

    Des configurations faites à la main et des environnements qui ne se ressemblent pas.

    Opérationsce qui a fonctionné en test échoue en production.

  • « L'auditeur demande des preuves et il nous faut des semaines. »

    Conformitédes observations qui reviennent chaque année.

  • « Des mots de passe sont écrits dans des fichiers de configuration. »

    Technologieune sauvegarde ou un dépôt ayant fuité suffit à les exposer.

  • « Nous utilisons des bibliothèques que personne ne vérifie. »

    Technologieune vulnérabilité publique dans une dépendance arrive en production sans que personne ne le sache.

  • « La facture du cloud augmente et personne ne sait pourquoi. »

    Financeun coût qui augmente sans que l'activité augmente.

  • « La sécurité et le développement se gênent. »

    Direction généraledes mises en production bloquées par des revues manuelles.

  • « Si notre spécialiste part, l'exploitation est mise en danger. »

    Direction généraledépendance critique envers une personne clé.

  • « Nous apprenons la panne par le client. »

    Direction du digitalaucune alerte avant que l'utilisateur ne s'en aperçoive.

Pourquoi maintenant ?

Chaque nouveau canal numérique multiplie les mises en production. Si aujourd'hui vous mettez en production une fois par mois avec la peur au ventre, avec deux fois plus de canaux vous ne le ferez pas deux fois plus : vous le ferez avec deux fois plus de peur, et avec deux fois plus de portes pour un risque de sécurité.

Ce que nous proposons

  • Un chemin de mise en production mis en place de zéro.

    Chaque changement passe par le même chemin automatisé, avec des tests et une analyse de sécurité avant d'arriver en production, et avec un retour arrière convenu ; avec l'outil que votre équipe utilise déjà : GitHub Actions, GitLab CI, Jenkins, Azure DevOps ou les services d'AWS (CodePipeline, CodeBuild).

  • Une revue de sécurité automatique à chaque changement :

    qualité du code, vulnérabilités du code propre, des dépendances et des images de conteneurs, avant d'arriver en production.

  • Des règles qui n'arrêtent que le grave :

    le critique ne passe pas ; le mineur est enregistré et traité sans freiner.

  • Mots de passe et clés sous clé :

    hors du code et des fichiers, avec un accès par rôle et une rotation.

  • Des environnements qui se ressemblent :

    test, préproduction et production décrits sous forme de code —Terraform pour l'infrastructure et Ansible pour la configuration des serveurs— : ce qui a été testé est ce qui part en production.

  • Dans le cloud, sur vos serveurs ou les deux.

    Des solutions natives sur AWS, Azure et Google Cloud —serverless, 100 % en tant que service ou sur Kubernetes—, ou dans votre centre de données ; nous concevons en tenant compte de vos obligations réglementaires, de vos politiques et de vos coûts ; nous ne vous vendons pas un cloud. Ce travail est réalisé par des architectes formés au cloud AWS, qui l'ont exploité dans la banque et l'assurance.

  • Votre système là où il tourne déjà, sans déménagement forcé.

    Nous l'intégrons, nous le mettons en production et, si vous en avez besoin, nous l'exploitons là où il est —WebLogic, WebSphere, JBoss ou Tomcat, sous Red Hat Enterprise Linux ou Ubuntu—, sans vous imposer une migration risquée pour commencer.

  • Résilience et portabilité :

    votre système empaqueté pour fonctionner de la même façon dans n'importe quel environnement et se rétablir seul des pannes courantes (conteneurs et orchestration).

  • Voir avant le client :

    une télémétrie —métriques, journaux, traces et alertes— pour détecter et traiter les signes d'une panne avant qu'elle touche davantage d'utilisateurs.

  • Protection des points d'entrée :

    certificats, pare-feu applicatifs et durcissement des serveurs et des conteneurs.

  • Des coûts qui s'expliquent :

    ce que consomme chaque service et combien, pour décider chiffres à l'appui.

  • Transfert de connaissances :

    documentation et montée en compétence pour que votre équipe exploite ce que nous construisons sans dépendre de nous.

Pour votre équipe technologique : Kubernetes (y compris sur vos serveurs, avec Rancher), conteneurs, Terraform et Ansible, messagerie par événements, télémétrie, analyse statique du code et des dépendances, analyse des images, gestion des secrets ; sur AWS, Azure, Google Cloud ou votre centre de données. Notre équipe a exploité la sécurité périmétrique avec F5 BIG-IP et Imperva.

Pour aller plus loin

Ce que reçoit votre service Conformité

Chaque mise en production enregistre qui l'a approuvée, ce qui a été vérifié et ce qui est parti ; les accès sont attribués par rôle et journalisés ; les vulnérabilités trouvées, avec la décision prise. Des preuves consultables, sans avoir à les chercher dans des courriels.

Notre façon de travailler

D'abord, nous mesurons comment vous mettez en production aujourd'hui : combien de temps cela prend, combien de fois cela échoue, ce qui se fait à la main et ce que vérifie votre processus de sécurité. Ensuite, nous automatisons un système à la fois, en commençant par celui qui pose le plus de problèmes, sans arrêter l'activité et avec un retour arrière convenu.

Ce que nous avons déjà réalisé

  • Un assureur mondial, sur Kubernetes dans sa propre infrastructure

    avec une sécurité intégrée, dans un secteur réglementé.

  • Un chemin unique de mise en production pour toute une plateforme :

    plus de trente services passent par le même processus, avec qualité du code, analyse des vulnérabilités et des secrets dans chaque image (dépendances comprises) et tests avant chaque mise en production ; le critique ne passe pas.

  • L'ouverture numérique de comptes d'une banque

    avec des fonctions dans le cloud exposées comme API, des bases de données gérées et des liens privés avec son centre de données.

  • L'environnement de test d'un commerce en ligne, reproduit à l'identique

    pour que ce qui fonctionne en test fonctionne de la même façon en production.

  • Audit informatique pour la certification d'une banque :

    vérification de son système central et de son dispositif de lutte contre le blanchiment d'argent.

Depuis 2019, nous mettons en place des circuits de livraison d'entreprise, avec tests et traçabilité, sur l'infrastructure du client.

Le diagnostic

  1. Livrable d'entrée — Carte du chemin vers la production :

    goulots d'étranglement et risques de votre passage en production, ce que vérifie votre processus de sécurité et par où commencer. Votre responsable technologique et la personne qui met en production aujourd'hui y participent.

  2. Diagnostic approfondi, au périmètre convenu :

    cartographie des environnements, des risques de mise en production et de sécurité, des preuves manquantes, du coût et une feuille de route par étapes.

Questions fréquentes

Nous obligez-vous à passer au cloud ?
Non. Nous concevons dans le cloud, sur vos serveurs ou les deux, selon votre réglementation et vos coûts.
Faut-il arrêter l'activité ?
Non. Par étapes et avec un retour arrière convenu.
Cela va-t-il freiner mon équipe ?
Non : la revue est automatique et n'arrête que le grave.
Est-ce utile pour l'audit ?
Chaque mise en production laisse des preuves consultables qui facilitent la revue de votre service Conformité et de votre auditeur.
Faut-il changer nos outils ?
Pas forcément : nous commençons par ceux que vous utilisez déjà.
Qui l'exploite ensuite ?
Votre équipe, avec la documentation ; ou nous, si vous en convenez ainsi.

Commencez par savoir ce qui se passe le jour de la mise en production

Choisissons ensemble un système prioritaire : lors du premier échange, sans frais, nous examinons comment vous mettez en production aujourd'hui et vous repartez avec la cartographie de vos risques, de vos contrôles et de votre prochaine décision.

Parlons de votre cas

Vous préférez l'e-mail ? Écrivez-nous à hola@habil.mx

Si ce que vous devez lancer est un produit ou un tarif, nul besoin d'un autre chemin vers la production : Retícula est livrée opérée par Hábil.

Découvrir Retícula