Sécurité des logiciels - Fanilo Harivelo

Valeur des informations & solidité de l’argumentation

La vidéo apporte une valeur pédagogique certaine en vulgarisant des concepts complexes de sécurité logicielle. L’argumentation est solide, s’appuyant sur des référentiels reconnus et des exemples concrets. La démonstration des outils est pertinente et illustre bien les bonnes pratiques. Cependant, certaines affirmations chiffrées manquent de sources précises, ce qui affaiblit légèrement la rigueur scientifique.

Rigueur scientifique, qualité des sources, adéquation du titre

La rigueur scientifique est globalement bonne : l’orateur cite des référentiels officiels (OWASP, CWE, CVSS, EPSS, KEV) et utilise des outils open source reconnus. La qualité des sources est correcte, mais les statistiques avancées ne sont pas référencées. L’adéquation titre/contenu est parfaite. Aucun commentaire n’étant fourni, il n’est pas possible d’analyser les tendances du public.

Le titre correspond parfaitement au contenu : il s'agit d'une présentation générale de la sécurité des logiciels, couvrant les enjeux, les référentiels et les outils.

8/10

Exposé structuré et pédagogique, s'appuyant sur des référentiels reconnus (OWASP Top 10, CWE, CVSS, EPSS, KEV) et des démonstrations pratiques d'outils (Semgrep, Snyk, GitLeaks). Les propos sont cohérents avec l'état de l'art en sécurité logicielle, bien que certaines données chiffrées (ex. 48000 vulnérabilités en 2025) ne soient pas sourcées dans la vidéo.

Repères établis par PSI à partir de la transcription : le créateur n'a pas défini de chapitres.

• 00:00Introduction et présentation du sujet : la sécurité des logiciels.
• 01:00Chiffres clés : 48 000 vulnérabilités en 2025, un tiers exploitées.
• 03:00Présentation du modèle SAM et des niveaux de maturité.
• 05:00Sources de vulnérabilités : code existant, code écrit, dépendances.
• 07:00Référentiels OWASP Top 10 et CWE.
• 09:00Métriques CVSS, EPSS et KEV pour la priorisation.
• 11:00Démonstration de Semgrep (analyse statique).
• 13:00Démonstration de Snyk (scan de dépendances).
• 15:00Démonstration de GitLeaks (détection de secrets).
• 17:00Conclusion et importance de la sécurité dès la conception.

• OWASP Top 10 — Cité comme référentiel des vulnérabilités les plus courantes dans les applications web.
• CWE - Common Weakness Enumeration — Cité comme catalogue de faiblesses logicielles maintenu par MITRE.
• CVSS - Common Vulnerability Scoring System — Cité comme métrique de sévérité des vulnérabilités.
• EPSS - Exploit Prediction Scoring System — Cité comme métrique de probabilité d'exploitation.
• KEV - Known Exploited Vulnerabilities — Cité comme catalogue des vulnérabilités effectivement exploitées.
• Semgrep — Outil d'analyse statique de code présenté en démonstration.
• Snyk — Outil de scan de dépendances présenté en démonstration.
• GitLeaks — Outil de détection de secrets présenté en démonstration.

• OWASP Top 10 — Les vulnérabilités citées (contrôle d'accès, configuration, injections) correspondent aux catégories du Top 10.
• CWE - Common Weakness Enumeration — Les exemples de faiblesses (XSS, injection SQL, CSRF) sont répertoriés dans le CWE.
• CVSS - Common Vulnerability Scoring System — Le score CVSS est largement utilisé pour évaluer la sévérité des vulnérabilités.
• EPSS - Exploit Prediction Scoring System — L'EPSS est un modèle reconnu pour estimer la probabilité d'exploitation.
• CISA KEV Catalog — Le KEV est une référence pour les vulnérabilités exploitées activement.