Le groupe industriel allemand Körber, issu de nombreuses acquisitions, a harmonisé la sécurité de ses logiciels en commençant par recenser leurs composants. Avec la plateforme de JFrog, il automatise désormais le tri des vulnérabilités. Ses responsables sécurité ont présenté cette démarche lors de la conférence swampUP 2026 de JFrog, organisée du 20 au 22 octobre à Barcelone.
Le chantier est complexe. Chaque entité rachetée a conservé ses propres équipes, outils et environnements de développement. Plutôt que d’imposer une transformation venue d’en haut, Körber a choisi de partir d’un élément commun à toutes ses activités : les logiciels livrés aux clients.
Cette diversité découle de l’histoire du groupe. Dans la division chaîne d’approvisionnement, certaines applications reposent sur des systèmes conçus il y a une vingtaine d’années, qui associent C++, Java et d’autres langages. Dans ce contexte, un modèle unique avait peu de chances de s’imposer. « Quand vous avez plus de 40 entreprises, chacune convaincue de travailler de la bonne manière, et que vous leur demandez d’abandonner leurs outils, elles ne sont pas très convaincues », explique Andreas Gaetje, directeur de la cybersécurité du groupe Körber. Les directeurs techniques invoquaient aussi le manque de temps et de budget, ainsi que d’autres priorités.
Le SBOM, point de départ
Le groupe a donc opté pour une démarche progressive, en commençant par le SBOM (Software Bill of Materials). Cette nomenclature recense l’ensemble des composants d’un logiciel, à la manière d’une liste d’ingrédients. « Nos directeurs techniques ont estimé que cela représentait un effort limité, sans investissement majeur ni risque de perturber leurs autres projets », indique Andreas Gaetje. Les développeurs ont eux aussi adhéré, d’autant qu’ils conservaient le choix de leurs outils.
L’objectif allait cependant au-delà de l’inventaire. Körber voulait connaître précisément le contenu des logiciels livrés afin d’évaluer leur exposition aux vulnérabilités. « Il n’y a qu’un seul dénominateur commun : le binaire. Chaque entreprise, pour chaque produit, doit livrer un binaire à ses clients », souligne Ilian Pashov, directeur de la cybersécurité de la division Supply Chain. Les contrôles portent donc sur la version exécutable du logiciel, celle qui est effectivement remise au client. La division a retenu la solution de JFrog, qui prend en charge plusieurs formats de paquets, analyse la composition d’artefacts comme les images Docker ou les fichiers JAR, s’intègre aux chaînes CI/CD grâce à des API et enrichit les alertes grâce à la threat intelligence.
Du volume brut à une liste restreinte
Le déploiement s’est effectué en plusieurs étapes. Les projets ont d’abord été intégrés à la plateforme pour obtenir une visibilité sur leurs composants. Une quality gate, c’est-à-dire un point de contrôle qui bloque la livraison tant que certaines exigences de sécurité ne sont pas remplies, a ensuite été mise en place. Elle détermine si un logiciel peut être livré en l’état ou s’il doit être corrigé. « Elles ont compris qu’il était préférable de corriger les problèmes pendant le développement plutôt que d’attendre qu’un contrôle bloque la livraison », observe Ilian Pashov.
Le volume d’informations a constitué le principal obstacle. Sur la plateforme la plus complexe de la division, l’analyse a identifié quelque 16 000 composants tiers et, dans un premier temps, près de 5 000 vulnérabilités, tous niveaux de gravité confondus. « Sans automatisation, il n’y a aucun moyen de déterminer ce qui compte et ce qui ne compte pas », reconnaît Ilian Pashov. Un premier filtre, limité aux niveaux critique et élevé, laissait encore trop de vulnérabilités pour un traitement manuel. L’analyse de contexte et la threat intelligence ont alors permis de ramener la liste à zéro vulnérabilité critique et 24 vulnérabilités élevées. « Cette liste doit encore être traitée par des experts, mais elle est désormais exploitable », précise-t-il.
Des délais de réponse réduits
Trois plateformes sont aujourd’hui intégrées à la solution. Certaines analyses et décisions, qui demandaient plusieurs heures, se font désormais en une heure environ. Pour le produit le plus complexe, l’obtention d’un premier MVP a nécessité près de six mois, et la configuration est maintenant utilisée au quotidien.
Le bénéfice touche aussi la relation client. Lors d’un audit de cybersécurité, un client disposant d’une base installée depuis plus de 50 ans et d’une dizaine de systèmes dans des versions différentes a demandé l’état de sécurité des logiciels déployés sur son site. « C’est une question très simple, mais à laquelle il est très difficile de répondre », souligne Ilian Pashov. Sans automatisation, la collecte des informations aurait mobilisé les équipes pendant environ trois semaines.
Körber insiste néanmoins sur le fait que le projet ne se réduit pas au déploiement d’un outil. Il a fallu dégager des budgets, mobiliser des experts pour épauler les entités dans l’intégration de la plateforme et obtenir l’adhésion des équipes.
Product offers are temporarily unavailable.
