Bloc 4 Expert DevOps - Integrer la securite et la conformite dans le cycle de vie applicatif SSDLC (RNCP42520BC04)

Bloc de 180 h, 100 % a distance en e-learning tutore sur le LMS EF2C, entree permanente (demarrage a tout moment). Ratio theorie/pratique 30/70, avec un projet fil rouge : securiser de bout en bout la chaine de production d'une plateforme SaaS sur Kubernetes, du threat model a la gouvernance.

MODULE 1 - Threat modeling et gouvernance de la securite applicative (30 h)

Methode STRIDE et arbres d'attaque ; cartographie des surfaces d'exposition ; classification des donnees ; OWASP SAMM et mesure de maturite ; OWASP ASVS et Top 10 ; construction d'une politique de securite applicative.

MODULE 2 - Shift-left et outillage dans les pipelines (40 h)

SAST (Semgrep, SonarQube) ; DAST (ZAP) ; SCA et gestion des dependances ; scan d'images (Trivy, Grype) ; detection de secrets (gitleaks) ; definition de seuils de blocage et de politiques d'exception ; remediation et suivi de la dette de securite.

MODULE 3 - Chaine d'approvisionnement logicielle (35 h)

SBOM CycloneDX et SPDX : generation, stockage, exploitation ; cadre SLSA et niveaux de maturite ; attestations de provenance (in-toto) ; signature d'artefacts avec Sigstore et cosign ; verification a l'admission (policy controller) ; gestion des vulnerabilites (VEX).

MODULE 4 - Zero Trust et gestion des secrets (40 h)

Principes Zero Trust ; identites de charge de travail avec SPIFFE/SPIRE ; mTLS et politiques reseau avec Cilium ; micro-segmentation ; HashiCorp Vault (moteurs de secrets, baux dynamiques) ; External Secrets Operator ; rotation et revocation ; chiffrement au repos et gestion des cles.

MODULE 5 - Compliance as code et cadres reglementaires (35 h)

OPA et langage Rego ; Kyverno et politiques d'admission Kubernetes ; controles automatises et preuves d'audit ; directive NIS2 ; reglement DORA ; ISO/IEC 27001 et declaration d'applicabilite ; RGPD et privacy by design ; preparation d'un audit.

MODALITES PEDAGOGIQUES : e-learning tutore (environ 60 % asynchrone, 40 % synchrone), classes virtuelles, laboratoires pratiques et exercices d'attaque-defense, sandbox Kubernetes fournie, coaching individuel, formateur referent dedie, assistant IA disponible 24/7.

Obtention du bloc de competences RNCP42520BC04 - Integrer la securite et la conformite dans le cycle de vie applicatif (SSDLC), rattache au titre Expert DevOps (RNCP 42520, niveau 7 - Bac+5) delivre par CODA.

MODALITES D'EVALUATION : evaluation par livrables professionnels issus du projet fil rouge (dossier de threat modeling, pipeline securise avec SAST/DAST/SCA et seuils de blocage, SBOM et attestations SLSA, architecture Zero Trust documentee, jeu de politiques OPA/Kyverno et matrice de conformite NIS2 ou ISO 27001), complétée par une mise en situation technique et une soutenance orale devant jury. Deux sessions de certification par an (juin et decembre).

RECONNAISSANCE : le bloc valide donne lieu a un certificat de bloc de competences signe numeriquement par le certificateur. Il est capitalisable pendant 5 ans et peut etre complete par les blocs BC01, BC02, BC03 et BC05 pour obtenir le titre complet Expert DevOps. La VAE est ouverte bloc par bloc.

DEBOUCHES : Ingenieur DevSecOps, Security Engineer, Cloud Security Engineer, Consultant securite applicative, Referent conformite technique.

POURSUITE DE PARCOURS : autres blocs du titre Expert DevOps, ou certifications de securite (CKS, CISSP, OSCP, ISO 27001 Lead Implementer).

Bloc capitalisable 5 ans du titre Expert DevOps (RNCP 42520, niveau 7). 180 h, 100 % a distance, entree permanente. DevSecOps, SBOM, SLSA, Zero Trust, NIS2. 70 % de pratique.