Le DevSecOps dans le secteur de la santé : comment GitLab renforce la sécurité, la conformité et la cyberrésilience

La transformation numérique du secteur de la santé s'accélère, et avec elle les exigences en matière de sécurité informatique, de conformité et de traçabilité. Les caisses d'assurance maladie, les centres hospitaliers universitaires (CHU) et leurs prestataires informatiques doivent développer des services numériques toujours plus rapidement, tout en protégeant des données sensibles et en respectant les obligations réglementaires.

Avec le règlement sur la cyberrésilience (Cyber Resilience Act), cet enjeu prend une dimension encore plus actuelle. À compter du 11 septembre 2026, de nouvelles obligations de notification s'appliqueront aux fabricants de produits comportant des éléments numériques. Il devient donc impératif de détecter les vulnérabilités en amont et de garantir la transparence et la traçabilité des processus de sécurité.

C'est précisément là qu'intervient le DevSecOps : la sécurité et la conformité sont intégrées dès le début du cycle de vie logiciel. Une plateforme comme GitLab peut contribuer à réduire la fragmentation des chaînes d'outils, à automatiser les contrôles de sécurité et à offrir une visibilité complète sur les processus de développement et de sécurité.

Découvrez les défis posés par l'évolution des exigences en matière de sécurité et de conformité dans le secteur de la santé et la façon dont GitLab peut y répondre grâce à une approche DevSecOps intégrée.

Règlement sur la cyberrésilience : l'année 2026 marque un tournant

Le règlement sur la cyberrésilience (Cyber Resilience Act) établit des exigences de cybersécurité harmonisées pour les produits comportant des éléments numériques au sein de l'Union européenne. Les fabricants concernés sont tenus de signaler les vulnérabilités activement exploitées et les incidents de sécurité graves dans des délais définis : une première alerte en principe dans les 24 heures, puis des informations complémentaires dans les 72 heures.

En cas d'incident, les informations clés doivent être disponibles rapidement :

• Où la vulnérabilité est-elle apparue ?
• Quels composants sont affectés ?
• Quand a-t-elle été détectée et quelles mesures ont été prises ?

Lorsque le développement, la sécurité, les tests et la journalisation sont répartis entre différents outils, il faut souvent réunir ces données au prix d'un effort considérable.

Pour le secteur de la santé, le règlement sur la cyberrésilience revêt une importance particulière pour les réglementations existantes telles que la directive SRI 2 (NIS2) et le règlement général sur la protection des données (RGPD). Au-delà des caisses d'assurance maladie, des CHU et des organismes de santé, les prestataires informatiques et les éditeurs de logiciels sont également concernés par ce cadre réglementaire.

Une question centrale s'impose dès lors : comment intégrer la sécurité et la conformité directement dans le SDLC, plutôt que de les vérifier a posteriori ?

Des systèmes informatiques fragmentés créent des lacunes

Les silos entre les équipes de développement, de sécurité et d'opérations nuisent à la visibilité du cycle de vie logiciel. Dans un environnement d'outils fragmentés, le code, les scans de sécurité, les releases et les logs sont répartis entre différents systèmes et sources de données, ce qui entraîne un effort d'intégration considérable et des lacunes potentielles en matière de transparence et de traçabilité.

La situation devient particulièrement critique lorsque les contrôles de sécurité sont facultatifs ou déclenchés manuellement. Il est alors difficile de s'assurer que les vérifications prévues sont systématiquement effectuées et que les vulnérabilités sont détectées en amont.

Pour les organisations évoluant dans des environnements réglementés, il est donc essentiel de briser ces silos et de connecter développement, sécurité et opérations dans un workflow continu. Une plateforme centralisée offre une base de données commune pour les modifications, les scans de sécurité et les validations, tout en réduisant les interfaces et les lacunes.

DevSecOps : intégrer la conformité dans le processus de développement

Le DevSecOps relie développement, sécurité et opérations, et intègre les exigences de sécurité directement dans le cycle de vie logiciel. Plutôt que de vérifier la sécurité et la conformité en fin de projet, les contrôles correspondants font désormais partie intégrante du quotidien des équipes de développement.

Les scans de sécurité peuvent par exemple être exécutés automatiquement dans les pipelines CI/CD et intégrés aux workflows. En parallèle, les modifications, validations et audits peuvent être documentés de façon centralisée afin de créer des processus traçables et des pistes d'audit automatisées qui facilitent également les audits réglementaires.

L'avantage est clair : la sécurité passe du statut de vérification a posteriori à celui d'élément continu du développement logiciel. Les risques peuvent être identifiés plus tôt et les exigences de conformité mises en œuvre de manière plus rigoureuse sans ralentir inutilement les processus de développement.

Comment GitLab prend concrètement en charge la sécurité et la conformité

GitLab réunit développement logiciel, sécurité et opérations au sein d'une seule plateforme DevSecOps. Vous pouvez ainsi intégrer directement les exigences de sécurité et de conformité dans les processus de développement existants et les piloter de façon centralisée.

Une plateforme unique au lieu d'une chaîne d'outils fragmentée

Planification, code, sécurité et opérations : les processus clés s'exécutent sur une plateforme commune. GitLab remplace en moyenne huit outils différents, ce qui se traduit par moins d'interfaces, moins d'efforts d'intégration et une visibilité complète sur le cycle de vie logiciel.

Automatiser les scans de sécurité

Les scanners intégrés pour le test statique de sécurité des applications (SAST), le test dynamique de sécurité des applications (DAST), l'analyse des dépendances et la détection des secrets permettent d'intégrer les contrôles de sécurité de manière automatisée dans le workflow des pipelines. Les vulnérabilités peuvent ainsi être détectées en amont, sans attendre la fin du développement pour procéder aux vérifications de sécurité.

Assurer transparence et traçabilité

Des tableaux de bord centralisés, la journalisation automatisée des pistes d'audit et des contrôles d'accès basés sur les rôles offrent une visibilité sur les projets et les processus. Les modifications, validations et scans de sécurité sont traçables et documentés pour les audits réglementaires.

Maintenir la souveraineté des données, même dans des environnements isolés

GitLab peut être déployée sur votre propre infrastructure, y compris dans des environnements air-gapped. Les organisations traitant des données particulièrement sensibles et soumises à de strictes exigences de sécurité peuvent ainsi conserver le contrôle de leur infrastructure.

Intégrer l'IA en toute sécurité dans le cycle de vie logiciel

GitLab Duo Agent Platform permet d'exploiter des fonctionnalités d'IA tout au long du cycle de développement logiciel, notamment pour les revues de code et la correction de bogues. Grâce aux options d'auto-hébergement, ces fonctionnalités peuvent également être utilisées dans des environnements particulièrement protégés ou air-gapped.

Quand chaque heure compte : un incident de sécurité en pratique

Une vulnérabilité critique est découverte, et soudain, chaque heure compte. Quelles applications et quels composants sont touchés ? Quelle version est en production ? La vulnérabilité avait-elle déjà été détectée ? Qui a effectué ou validé quelles modifications ?

Dans un environnement informatique fragmenté, il faut souvent collecter ces informations depuis différents outils, logs et équipes, ce qui prend du temps et complique une évaluation rapide de la situation.

Dans un processus DevSecOps intégré, en revanche, les scans de sécurité, les modifications de code, les validations et les informations d'audit sont disponibles de façon centralisée. Les équipes peuvent reconstituer plus rapidement ce qui s'est passé, coordonner les mesures nécessaires et documenter leur réponse à l'incident.

Lorsque des délais stricts de réaction et de notification s'appliquent aux incidents de sécurité, cette transparence devient un avantage décisif.

Conclusion : la cyberrésilience commence avant l'incident

La cyberrésilience ne se mesure pas seulement à la rapidité avec laquelle une organisation réagit à un incident de sécurité. Ce qui compte avant tout, c'est la qualité de l'intégration de la sécurité dans les processus de développement en amont : les vulnérabilités sont-elles détectées en continu ? Les contrôles sont-ils appliqués ? Les modifications et les validations sont-elles traçables ?

Une approche DevSecOps intégrée constitue le socle de cette résilience. Avec GitLab, il est possible de regrouper développement, sécurité et opérations sur une plateforme unique, d'automatiser les contrôles de sécurité et de documenter les activités pertinentes.

En combinant sécurité, conformité et développement logiciel rapide, les organisations disposent des bases nécessaires pour agir plus rapidement et assurer la traçabilité en cas d'incident.

Modernisez vos processus DevSecOps avec GitLab

Commencer un essai gratuit

À propos de l'auteur : Ignas Lazauskas est Strategic Account Executive - Public Sector, Health & Education chez GitLab.

Questions fréquentes sur le DevSecOps dans le secteur de la santé

Que signifie le DevSecOps dans le secteur de la santé ?

Le DevSecOps intègre la sécurité directement dans le processus de développement logiciel, plutôt qu'a posteriori. Pour les organisations du secteur de la santé, cette approche permet de prendre en compte les exigences de sécurité en continu et de contribuer à la traçabilité des processus de développement.

Comment GitLab soutient-elle la sécurité et la conformité ?

GitLab regroupe développement, sécurité et opérations au sein d'une plateforme unique. Les scans de sécurité intégrés, les contrôles d'accès basés sur les rôles, les tableaux de bord centralisés et la journalisation automatisée des pistes d'audit permettent d'automatiser les contrôles de sécurité et de documenter les activités pertinentes.

Quelles scans de sécurité GitLab propose-t-elle ?

GitLab intègre des fonctionnalités de sécurité telles que le SAST, le DAST, l'analyse des dépendances et la détection des secrets. Celles-ci peuvent être intégrées de manière automatisée dans les pipelines CI/CD, afin que les vulnérabilités soient détectées le plus tôt possible dans le processus de développement.

GitLab peut-elle fonctionner dans des environnements air-gapped ?

Oui. GitLab peut également être déployée dans des environnements air-gapped. Cette option est particulièrement adaptée aux organisations qui exploitent des systèmes ou des données sensibles dans une infrastructure contrôlée et sont soumises à des exigences strictes en matière de souveraineté des données.

Quel est le rôle du règlement sur la cyberrésilience pour le DevSecOps ?

Le règlement sur la cyberrésilience renforce les exigences de cybersécurité applicables aux produits comportant des éléments numériques tout au long de leur cycle de vie. Une approche DevSecOps contribue à intégrer en amont dans les processus de développement les contrôles de sécurité, la gestion des vulnérabilités et la traçabilité, et élimine le besoin de réagir dans l'urgence lors d'un incident.