Lors de la conférence swampUP 2026 de JFrog, organisée du 20 au 22 octobre à Barcelone, les responsables sécurité de Körber ont présenté la démarche engagée pour harmoniser la sécurité des logiciels du groupe. Un chantier complexe pour cet industriel allemand construit au fil de nombreuses acquisitions, dont chaque entité a conservé ses propres équipes, outils et environnements de développement. Plutôt que d’imposer une transformation d’en haut, Körber a choisi de partir d’un élément commun à toutes ses activités : les logiciels livrés aux clients.

Cette diversité est le fruit de l’histoire du groupe. Les filiales rachetées ont gardé leurs plateformes, leurs processus et, parfois, des technologies anciennes. Dans la division chaîne d’approvisionnement, certaines applications reposent ainsi sur des systèmes conçus il y a une vingtaine d’années, qui associent C++, Java et d’autres langages. Dans ce contexte, un modèle unique n’avait guère de chances de s’imposer. « Quand vous avez plus de 40 entreprises, chacune convaincue de travailler de la bonne manière, et que vous leur demandez d’abandonner leurs outils, elles ne sont pas très convaincues », explique Andreas Gaetje, directeur de la cybersécurité du groupe Körber. Les directeurs techniques mettaient en outre en avant le manque de temps et de budget, ainsi que d’autres priorités.

Le SBOM comme point de départ

Le groupe a donc opté pour une démarche progressive, en commençant par le SBOM (Software Bill of Materials). Cette nomenclature recense l’ensemble des composants d’un logiciel, à la manière d’une liste d’ingrédients. « Nos directeurs techniques ont estimé que cela représentait un effort limité, sans investissement majeur ni risque de perturber leurs autres projets », indique Andreas Gaetje. Les développeurs ont également adhéré à la démarche, d’autant qu’ils conservaient le choix de leurs outils. La production de SBOM est ainsi devenue le socle de l’harmonisation.

L’objectif allait toutefois au-delà de l’inventaire. Körber souhaitait connaître précisément le contenu des logiciels livrés afin d’évaluer leur exposition aux vulnérabilités. Or, dans un environnement aussi hétérogène, un seul élément est commun à toutes les entités. « Il n’y a qu’un seul dénominateur commun : le binaire. Chaque entreprise, pour chaque produit, doit livrer un binaire à ses clients », souligne Ilian Pashov, directeur de la cybersécurité de la division Supply Chain chez Körber. Les contrôles portent donc sur la version exécutable du logiciel, celle qui est effectivement remise au client. La division a recherché une plateforme capable de prendre en charge de multiples formats de paquets, d’analyser la composition d’artefacts comme les images Docker ou les fichiers JAR, de s’intégrer aux chaînes CI/CD au moyen d’API et d’enrichir les alertes grâce à la threat intelligence. Elle a retenu la solution de JFrog.

De 5 000 vulnérabilités à 24 alertes prioritaires

Le déploiement s’est déroulé en plusieurs étapes. Les projets ont d’abord été intégrés à la plateforme afin d’obtenir une visibilité sur leurs composants. Une quality gate, un point de contrôle qui bloque la livraison tant que certaines exigences de sécurité ne sont pas remplies, a ensuite été mise en place pour déterminer si un logiciel peut être livré en l’état ou si des corrections sont nécessaires. Ce dispositif a modifié les pratiques des équipes. « Elles ont compris qu’il était préférable de corriger les problèmes pendant le développement plutôt que d’attendre qu’un contrôle bloque la livraison », observe Ilian Pashov.

Le volume d’informations constituait le principal obstacle. Sur la plateforme la plus complexe de la division, l’analyse a identifié quelque 16 000 composants tiers et, dans un premier temps, près de 5 000 vulnérabilités, tous niveaux de gravité confondus. « Sans automatisation, il n’y a aucun moyen de déterminer ce qui compte et ce qui ne compte pas », reconnaît Ilian Pashov. Un premier filtre, limité aux niveaux critique et élevé, laissait encore un volume trop important pour un traitement manuel. Le recours à l’analyse de contexte et à la threat intelligence a ensuite permis de ramener la liste à zéro vulnérabilité critique et 24 vulnérabilités élevées. « Cette liste doit encore être traitée par des experts, mais elle est désormais exploitable », précise-t-il.

Des délais de réponse fortement réduits

Trois plateformes sont aujourd’hui intégrées à la solution. Certaines analyses et prises de décision, qui demandaient plusieurs heures, sont désormais réalisées en une heure environ. Pour le produit le plus complexe, l’obtention d’un premier MVP a nécessité près de six mois, et la configuration est maintenant utilisée au quotidien. Le bénéfice concerne également la relation client. Lors d’un audit de cybersécurité, un client disposant d’une base installée depuis plus de 50 ans et d’une dizaine de systèmes dans des versions différentes a demandé l’état de sécurité des logiciels déployés sur son site. « C’est une question très simple, mais à laquelle il est très difficile de répondre », souligne Ilian Pashov. Sans automatisation, la collecte des informations aurait mobilisé les équipes pendant environ trois semaines. Pour un fournisseur de logiciels industriels dont les produits restent en service pendant des décennies, cette capacité de réponse devient un enjeu opérationnel.

Körber insiste cependant sur le fait que le projet ne se réduit pas au déploiement d’un outil. Il a fallu dégager des budgets, mobiliser des experts pour épauler les entités dans l’intégration de la plateforme et obtenir l’adhésion des équipes.