Qu'est-ce que la gouvernance par code ?

La gouvernance du code est passée d'un ensemble de processus manuels à une pratique automatisée fondée sur des règles. Cela s'explique en grande partie par le fait que les bases de code volumineuses et complexes nécessitent des cadres de gouvernance capables d'évoluer tant en taille qu'en sophistication.

La révolution DevOps des années 2010 a remis en question les modèles de gouvernance reposant sur des approbations manuelles et un contrôle centralisé. Aujourd'hui, les systèmes automatisés appliquent les processus et le concept de « shift left » a permis de déplacer les activités de sécurité et de conformité plus tôt dans le cycle de vie du développement logiciel (SDLC).

L’émergence de l’IA générative a introduit une toute nouvelle couche de gouvernance. Les développeurs peuvent désormais générer d’importantes quantités de code en utilisant des outils machine learning propulsés par de grands modèles de langage (LLM), augmentant considérablement la vitesse de développement. Cependant, la gouvernance du code a dû évoluer afin de prendre en compte la qualité du code des résultats générés par l'IA, ainsi que les risques de sécurité associés, les questions de propriété intellectuelle, les politiques d'utilisation des modèles, etc.

Les entreprises mettent désormais en œuvre des politiques de gouvernance qui précisent quand le code généré par IA peut être utilisé, comment il doit être examiné et quelles étapes de validation sont nécessaires avant le déploiement.

Vous trouverez ci-dessous certains des éléments les plus courants de la gouvernance du code.

Un code de mauvaise qualité contribue à la dette technique, ce qui nuit à l'évolutivité de la pile technologique. Les normes de codage définissent la manière dont les développeurs doivent écrire et organiser leur code afin d'éviter cela. Ces normes portent sur des domaines tels que les conventions de nommage, la mise en forme, la documentation, la structure des fichiers et les bonnes pratiques propres à chaque langage ; autant de petits problèmes qui, au fil du temps, finissent par avoir un impact considérable dans une base de code volumineuse.

Lorsque tous les développeurs suivent les mêmes normes, le code est plus facile à manipuler. Les ingénieurs passent moins de temps à déchiffrer les travaux des autres et plus de temps à créer de nouvelles choses.

Les systèmes de contrôle de versions définissent la manière dont les équipes gèrent les modifications du code source. Ces politiques définissent des workflows pour créer des branches, fusionner le code et écrire des messages de commit. Les systèmes de contrôle de versions peuvent générer des traces d’audit qui aident à prévenir les réécritures accidentelles, garantissant ainsi un historique clair des modifications. Les équipes savent désormais qui a effectué des modifications spécifiques et pourquoi.

Les processus de révision du code nécessitent que les modifications logicielles soient examinées par d'autres développeurs avant de les intégrer à la base de code. Les évaluations ont de multiples objectifs, notamment pour identifier les bugs, valider les décisions de conception et partager les connaissances au sein de l'équipe. Des avis bien exécutés permettent d’améliorer la qualité des logiciels.

La gouvernance de la sécurité garantit que les logiciels sont développés et maintenus conformément aux exigences de sécurité établies et aux règles de conformité, afin que son développement respecte une stratégie de gestion des risques plus large. Cela inclut des pratiques telles que l’analyse des vulnérabilités de sécurité, les contrôles d’accès, la gestion des dépendances, la détection des secrets, les directives de codage sécurisé et des révisions régulières. La gouvernance de la sécurité intègre des mesures de protection tout au long du cycle de développement, et pas seulement à la fin.

La gouvernance des tests permet de garantir que le logiciel respecte toutes les normes établies avant son déploiement. Mais les tests ont également « shift left ». En intégrant les exigences de test dans les pipelines CI/CD, les équipes peuvent détecter les défauts plus tôt et réduire le risque d'introduire des régressions dans les environnements de production.

La conformité et l’auditabilité visent à garantir que les logiciels et leur processus de développement respectent les exigences réglementaires. Les approbations documentées, les historiques de modification et les enregistrements de test comptent parmi les mesures de conformité les plus courantes liées au code.

Les contrôles d’intégration continue et de livraison continue (CI/CD) régissent les processus automatisés utilisés pour déployer les logiciels. Ces contrôles définissent les vérifications automatisées qui doivent être validées avant que le code puisse être transféré d'un environnement à un autre. La gouvernance CI/CD permet de garantir que les logiciels mis en production respectent les normes prédéfinies, tout en favorisant la réduction des risques lors des déploiements.

La « gouvernance en tant que code » (GaC) et la « politique en tant que code » (PaC) sont des approches qui intègrent directement la gouvernance et l’application des politiques dans les workflows, en traduisant les politiques, les règles et les normes en code lisible par machine. L’objectif est que chaque déploiement, chaque modification de l’infrastructure ou chaque demande d’accès aux données réponde à des critères prédéfinis avant d’être effectué. Cette approche proactive de mise en œuvre s’appuie sur des technologies telles que les moteurs de politiques, l’infrastructure cloud et, désormais, les agents IA.

La mise en œuvre des politiques s'est affinée grâce à des technologies telles qu'Open Policy Agent (OPA), qui permettent aux organisations de définir et d'appliquer des politiques de gouvernance de manière programmatique. Plutôt que de s'appuyer sur de la documentation et des validations manuelles, les exigences de gouvernance sont intégrées au code afin de pouvoir être appliquées automatiquement tout au long du cycle de vie du développement logiciel (SDLC).

De même, l’infrastructure en tant que code (IaC) et des outils comme Terraform automatisent le provisionnement et la gestion de l’infrastructure informatique en utilisant une approche de langage déclaratif, dans laquelle les développeurs définissent l'état final souhaité plutôt que les étapes nécessaires pour y parvenir. Les définitions d’infrastructure sont généralement exprimées à l’aide de formats tels que YAML et JSON, ce qui facilite leur automatisation et leur validation.

Les environnements de codage alimentés par l'IA peuvent exécuter des fonctions GAc, PaC et Iac. IBM Bob, par exemple, peut être utilisé pour intégrer de tels processus dans le SDLC.