Gestion des images de tiers à grande échelle

Les images de conteneurs tiers sont à la base de l'infrastructure cloud moderne. Elles prennent tout en charge, des moteurs d'exécution de base aux dépendances critiques des applications. Elles constituent également l'une des sources de risque opérationnel les plus complexes et les moins bien comprises.

Lors de Chainguard Assemble 2026, j'ai partagé la façon dont nous avons abordé la gestion des images tierces à l'échelle au sein d'Appian et la façon dont ce parcours a remodelé notre sécurité, notre conformité et la productivité des développeurs.

Ce billet reflète cette session. Vous pouvez regarder l'enregistrement complet ci-dessous.

La complexité cachée des images tierces

La plupart des organisations dépendent fortement des images tierces. Cette dépendance s'accroît rapidement à mesure que les plates-formes se développent. À première vue, le modèle semble simple. Il s'agit d'obtenir une image de base, de construire à partir de celle-ci, de rechercher les vulnérabilités et de livrer. À l'échelle, ce modèle s'effondre.

Chaque image introduit son propre ensemble de dépendances, de vulnérabilités et d'exigences de maintenance. Plus le nombre de services augmente, plus le nombre d'images augmente, et plus le nombre de problèmes à traiter et à résoudre augmente. Il en résulte un effet cumulatif. Une seule image de base vulnérable peut avoir un impact sur des dizaines ou des centaines de services en aval. Chacun d'entre eux nécessite des investigations, des correctifs et une validation.

La charge opérationnelle augmente plus rapidement que la plupart des équipes ne le prévoient.

Quand l'échelle rencontre la conformité

Pour les organisations opérant dans des environnements réglementés, le défi devient encore plus prononcé.

Chez Appian, nous aidons les clients de tous les secteurs à respecter des exigences de conformité strictes, y compris FedRAMP et d'autres environnements de haute sécurité. Cela signifie que chaque image doit répondre à des normes strictes en matière de correctifs, de renforcement et de traçabilité. La conformité n'est pas un effort ponctuel. Elle est continue.

Chaque reconstruction, chaque mise à jour des dépendances et chaque nouvelle vulnérabilité divulguée génère un travail supplémentaire. Les équipes doivent prouver non seulement que les systèmes sont sécurisés, mais aussi qu'ils le restent au fil du temps. Sans la bonne approche, cela devient un cycle constant de lutte contre les incendies.

Le coût de la gestion interne

L'une des prises de conscience les plus importantes pour nous a été le coût réel de la gestion interne des images de tiers. Sur le papier, la création et la maintenance d'images renforcées en interne peuvent sembler une approche raisonnable. En pratique, cela nécessite un investissement important et durable.

Chez Appian, nous avons estimé que la mise en place d'un programme interne complet nécessiterait une équipe dédiée de 15 à 20 ingénieurs, avec une maintenance continue comme coût permanent. Même dans ce cas, il serait difficile de suivre les divulgations de vulnérabilités, les cycles de correctifs et les exigences de conformité. Plus important encore, chaque heure consacrée à la maintenance des images est une heure qui n'est pas consacrée à l'élaboration des fonctionnalités du produit.

Comme je l'ai dit au cours de la session, les frais généraux liés à l'application des correctifs et à la maintenance des composants tiers ont un impact direct sur la vitesse d'innovation.

Pourquoi les approches traditionnelles ne sont pas évolutives

L'approche traditionnelle de la gestion des images reflète les anciennes pratiques de gestion des vulnérabilités. Les équipes extraient des images des registres publics, les analysent, trient les résultats, appliquent des correctifs et recommencent. Cette approche suppose que les équipes peuvent suivre le volume des vulnérabilités et le rythme des changements.

Cette hypothèse ne tient pas dans les environnements modernes.

Les images sont reconstruites fréquemment. Les dépendances changent continuellement. De nouvelles vulnérabilités sont révélées quotidiennement. L'analyse statique ne fournit qu'une vue ponctuelle, alors que le risque sous-jacent continue d'évoluer. Par conséquent, les équipes passent plus de temps à réagir qu'à s'améliorer.

Changer de modèle

Pour résoudre ce problème, nous devions changer de modèle plutôt que d'optimiser le modèle existant.

Le changement clé a consisté à abandonner la consommation et la maintenance directes d'images de tiers, pour s'appuyer sur des sources curatées et maintenues en permanence. Cela modifie l'endroit où le travail s'effectue. Au lieu que chaque équipe gère indépendamment les vulnérabilités, cette responsabilité est centralisée et gérée en amont. Les images sont corrigées, renforcées et maintenues tout au long de leur cycle de vie avant d'être consommées.

Pour les équipes d'ingénieurs, l'expérience devient plus simple. Il suffit d'extraire une image, de la vérifier et de la déployer. Pour les équipes de sécurité, la priorité passe du triage constant à la validation des contrôles et à la surveillance des résultats.

Réduire les frictions opérationnelles

L'un des effets les plus immédiats de ce changement est la réduction des frictions opérationnelles. Les développeurs n'ont plus besoin de passer des cycles à évaluer les images de base ou à traiter de manière répétée les mêmes catégories de vulnérabilités. Les équipes de sécurité ne sont plus submergées par des volumes importants de résultats répétitifs.

Cela a un impact direct sur la productivité. Chez Appian, la réduction des frais généraux liés à la gestion des composants tiers a permis aux ingénieurs de se recentrer sur la création de nouvelles fonctionnalités et sur la fourniture de valeur ajoutée aux clients. Ce changement est mesurable. Plus de temps consacré à l'innovation se traduit directement par de meilleurs produits et une livraison plus rapide.

Du fardeau de la sécurité à l'avantage commercial

Il y a également un impact plus large sur la façon dont la sécurité est perçue au sein de l'organisation. Lorsque la gestion des images de tiers devient une source constante de friction, la sécurité est perçue comme un obstacle. Elle ralentit les livraisons et crée des tensions entre les équipes. Lorsque cette charge est réduite, la dynamique change. La sécurité devient un élément facilitateur. Elle fournit une base stable et fiable qui permet aux équipes d'aller plus vite en toute confiance.

Cela a également des implications pour l'entreprise. L'amélioration de la sécurité permet d'accélérer la conformité, de faciliter les audits et d'accéder aux marchés réglementés. Chez Appian, ce changement a permis d'accélérer les délais pour répondre aux exigences strictes en matière d'accréditation et a permis l'expansion sur de nouveaux marchés.

Enseignements tirés

La gestion des images tierces à grande échelle est un défi à la fois technique et organisationnel. Il faut repenser la propriété, déplacer le lieu de travail et aligner les pratiques de sécurité sur la façon dont les systèmes modernes sont construits.

La leçon la plus importante est que l'échelle change tout. Ce qui fonctionne pour un petit nombre de services ne fonctionne pas pour des centaines ou des milliers. La deuxième leçon est qu'essayer de résoudre le problème indépendamment au sein de chaque équipe conduit à la duplication, à l'incohérence et à des coûts inutiles. Troisièmement, la réduction des frictions est tout aussi importante que la réduction des risques. Lorsque le chemin le plus sûr est aussi le plus facile, l'adoption se fait naturellement.

Aller de l'avant

Les images tierces resteront un élément essentiel du développement "cloud native". La question n'est pas de savoir s'il faut les utiliser, mais comment les gérer efficacement. Les entreprises qui considèrent la gestion des images comme une capacité stratégique seront mieux placées pour évoluer en toute sécurité, répondre aux exigences de conformité et maintenir la vélocité des développeurs.

L'objectif n'est pas d'éliminer complètement les risques. Il s'agit de le maîtriser de manière à soutenir l'activité de l'entreprise. Lorsqu'elle est bien faite, la gestion des images de tiers ne consiste plus en une remédiation constante, mais plutôt en la construction d'une base à laquelle les équipes peuvent faire confiance.

Retrouvez toutes les sessions d'Assemble à la demande ici.