Körber réduit ses vulnérabilités de 5000 à 24 grâce au SBOM et JFrog

Face à la multiplication des cyberattaques et aux exigences croissantes des clients en matière de sécurité, les groupes industriels doivent repenser leur approche de la protection logicielle. Pour Körber, conglomérat allemand aux multiples acquisitions, le défi était de taille : harmoniser la sécurité sans bouleverser les habitudes de développement de chaque entité. Une stratégie pragmatique qui porte aujourd’hui ses fruits.

Un conglomérat face au casse-tête de l’harmonisation

Le groupe industriel allemand Körber s’est construit au fil des années par acquisitions successives. Résultat : chaque division conserve ses propres outils de développement et ses environnements techniques spécifiques.

De vieux systèmes côtoient des technologies plus modernes comme C++ et Java. Cette mosaïque technologique aurait pu décourager toute tentative d’unification de la sécurité informatique.

Plutôt que d’imposer une révolution technique, l’entreprise a opté pour une approche réaliste : identifier un point commun à toutes les divisions. Ce dénominateur, ce sont les logiciels livrés aux clients.

Le SBOM comme point de départ stratégique

Andreas Gaetje, Directeur de la cybersécurité de Körber, a misé sur la création d’un Software Bill of Materials (SBOM). Cet inventaire détaillé des composants logiciels permet de cartographier précisément ce qui est distribué.

L’initiative a rencontré l’adhésion des directeurs techniques et des équipes de développement. Comme le souligne Andreas Gaetje, « cela représentait un effort limité », sans nécessiter d’investissements massifs.

Cette nomenclature vise à détecter les vulnérabilités présentes dans les solutions déployées chez les clients, une préoccupation majeure dans un contexte réglementaire de plus en plus strict.

JFrog : la plateforme au cœur du dispositif

Pour analyser et gérer cette masse d’informations, Körber s’est tourné vers la plateforme JFrog. Son atout ? La capacité à scanner différents formats de paquets et à s’intégrer naturellement aux chaînes CI/CD existantes.

L’outil enrichit les alertes grâce à la threat intelligence, offrant ainsi une vision contextualisée des menaces réelles. Une quality gate a été installée pour bloquer toute livraison logicielle présentant des risques de sécurité.

Des chiffres qui donnent le vertige

Le premier inventaire a révélé une réalité impressionnante : environ 16 000 composants tiers et pas moins de 5 000 vulnérabilités identifiées initialement.

Face à ce volume, l’automatisation s’imposait comme une nécessité absolue. Ilian Pashov le confirme : « Sans automatisation, il n’y a aucun moyen de déterminer ce qui compte et ce qui ne compte pas ».

Des résultats spectaculaires grâce à l’intelligence artificielle

L’analyse contextuelle couplée à la threat intelligence a permis de hiérarchiser efficacement les risques. Les algorithmes ont filtré les fausses alertes et identifié les menaces réellement exploitables.

Le résultat dépasse les espérances : la liste des vulnérabilités critiques a été ramenée à zéro. Les failles de niveau élevé ont été réduites à seulement 24.

La réactivité de l’entreprise lors des audits clients s’est considérablement améliorée. Des analyses qui nécessitaient auparavant plusieurs jours se bouclent désormais en une heure.

Un déploiement progressif mais efficace

Le déploiement complet pour le produit le plus complexe a demandé environ six mois. Cette période inclut l’intégration aux processus opérationnels habituels des équipes.

Le projet a nécessité des ressources budgétaires et l’intervention d’experts pour accompagner chaque entité dans l’adoption de la plateforme.

Aujourd’hui, le dispositif est pleinement opérationnel et s’est intégré naturellement aux opérations quotidiennes de développement.

Un avantage concurrentiel bien réel

Au-delà de l’amélioration de la sécurité, cette initiative procure à Körber un atout commercial significatif. Les clients, particulièrement ceux utilisant des systèmes anciens, apprécient cette transparence.

La capacité à documenter précisément les composants logiciels et à démontrer la maîtrise des vulnérabilités renforce la confiance client dans un secteur où la sécurité est devenue un critère de choix déterminant.