Cyber Shelf

// Comparaison

Building Secure and Reliable Systems vs Security Chaos Engineering : lequel lire ?

Deux livres de cybersécurité sur Security Architecture, comparés honnêtement : à qui s'adresse chacun, ce que chacun fait de mieux, et lequel lire en premier.

Avancé
5/52020
Building Secure and Reliable Systems

Best Practices for Designing, Implementing, and Maintaining Systems

Heather Adkins, Betsy Beyer, Paul Blankinship, Piotr Lewandowski, Ana Oprea, Adam Stubblefield

Les équipes Sécurité et SRE de Google posent par écrit ce qu'il faut vraiment pour construire des systèmes à la fois sûrs et fiables : modélisation des menaces, design reviews, culture du rollback, gestion de crise.

Avancé
5/52023
Security Chaos Engineering

Sustaining Resilience in Software and Systems

Kelly Shortridge, Aaron Rinehart

Kelly Shortridge et Aaron Rinehart traitent la sécurité comme une propriété de systèmes adaptatifs complexes : au lieu de prévenir la défaillance, on la simule en continu et on conçoit l'organisation pour apprendre de chaque résultat.

À lire si

Ingénieurs staff et plus, SRE et leads sécurité qui doivent défendre fiabilité et sécurité dans la même réunion. Le livre traite la sûreté de fonctionnement et la sécurité comme une seule discipline d'ingénierie — c'est le bon modèle, et presque personne d'autre ne le publie.
Architectes sécurité, SRE et ingénieurs plateforme prêts à abandonner le cadre prévention-d'abord. Particulièrement fort pour les organisations qui pratiquent déjà le chaos engineering pour la fiabilité et veulent étendre la discipline à la sécurité ; le livre est le pont.

À éviter si

Lecteurs qui veulent un tutoriel d'outils ou des checklists agnostiques. Les études de cas ont la forme Google et les patterns supposent que vous avez la discipline (postmortems, code review, paved roads) pour les exécuter. Si votre organisation ne peut pas arrêter un déploiement, la moitié du livre paraîtra aspirationnelle.
Praticiens en environnements fortement régulés où les fautes intentionnelles en production ne sont pas légales, ou organisations plus petites sans la maturité opérationnelle pour mener des game days en sécurité. Mauvais premier livre de sécurité aussi : il suppose que vous savez ce que sont threat models, blast radius et boucles de rétroaction.

Points clés

  • Fiabilité et sécurité partagent un substrat commun : concevoir pour des modes de défaillance imprévisibles, et entretenir cette capacité par l'usage.
  • La récupération, pas la prévention, est la compétence centrale des organisations de sécurité matures ; les chapitres rollback, response et recovery sont le cœur du livre.
  • L'essentiel des gains de sécurité vient d'infrastructure ennuyeuse (paved roads, libs sûres par défaut, code review, sandboxing) plutôt que de magie de détection.
  • Sécurité et fiabilité partagent le même problème d'ingénierie racine : maintenir des systèmes complexes dans des bornes tolérables quand la surface de défaillance est non bornée.
  • Decision trees et analyse effort-vs-impact sont des artefacts opérationnalisables, pas du contenu de blog ; le livre apprend à vraiment s'en servir.
  • L'expérimentation continue est plus honnête que les exercices sur table : la production dit ce qui est vrai, les runbooks disent ce que quelqu'un aurait souhaité.

Comment ils se comparent

Building Secure and Reliable Systems et Security Chaos Engineering sont tous deux notés 5/5 dans notre catalogue. Choisissez selon vos préférences thématiques et de style, plutôt que sur la note.

Les deux livres ciblent un public de niveau avancé : le choix se fait sur la thématique, pas la difficulté.

Building Secure and Reliable Systems et Security Chaos Engineering couvrent tous les deux Security Architecture, Defensive, DevSecOps : les lire dans l'ordre renforce les mêmes notions sous des angles différents.

Continuer la lecture

Building Secure and Reliable Systems

→ Alternatives à Building Secure and Reliable Systems→ Que lire après Building Secure and Reliable Systems

Security Chaos Engineering

→ Alternatives à Security Chaos Engineering→ Que lire après Security Chaos Engineering

Thématiques liées

Security ArchitectureDefensiveDevSecOps