Nous n’avons jamais livré du logiciel aussi vite.
Mais nous n’avons jamais exposé autant de risques non plus.
Déploiements rapides, cycles courts, amélioration continue… l’agilité a transformé la manière dont les organisations développent leurs produits numériques.
Mais une question reste souvent dans l’angle mort :
livrons-nous plus vite… ou livrons-nous les incidents plus vite ?
Lors d’une mission récente, j’ai travaillé avec une équipe ayant adopté LeSS. Un coach Agile leur avait vendu une vision simple : moins de structure, moins de rôles, plus d’autonomie. Dans cette logique, certains profils jugés « non essentiels » ont disparu du projet. Dont les profils sécurité, et architecture.
Quand j’ai demandé comment la sécurité était gérée, la réponse a été immédiate :
« On fait attention aux vulnérabilités dans le code. »
Réponse honnête… mais révélatrice. Car aujourd’hui la sécurité ne se limite plus au code. Elle concerne aussi la gestion des accès, la protection des données, la résilience, la gestion des fournisseurs et la capacité à démontrer la maîtrise des risques.
Et dans le même temps, les exigences explosent : GDPR, NIS2, DORA, AI Act, CRA, ....
Si vous avez déjà travaillé avec ISO 27001, vous savez qu’un SMSI implique au minimum 93 contrôles couvrant l’ensemble de l’organisation : la sécurité devient un sujet de gouvernance et de responsabilité collective.
Certaines organisations privilégient des approches plus structurées à grande échelle, comme SAFe, qui facilitent l’intégration de la gouvernance et de la gestion des risques.

Car au fond, la question n’est pas de choisir un framework agile.
La question est : comment livrer vite… sans perdre le contrôle.
Aller vite est une force. Mais pour aller plus loin, l’agilité a besoin de la sécurité.