1. Offre de services interne
en qualité logicielle
Marina RETBI
Responsable Expertise Méthodes et Outils
de Développement

2. C lu b Q u a lim é trie – 25/09 /07
- 2 -
S ommaire
I. C o n te x te S I G a z d e F ra n c e
II. P ré s e n ta tio n d e la C e llu le d e Q u a lific a tio n L o g ic ie lle
III. T ra v a u x à v e n ir

3. C lu b Q u a lim é trie – 25/09 /07
- 3 -
Contexte S I Gaz de France
Un S I en mouvement
• Nombreux chantiers lancés dans le cadre de
 L’ouverture des marchés
 La séparation avec EDF
Un contexte applicatif complexe …
• Hétérogénéité des technologies
 Progiciel S AP mais part importante de spécifique (développements ABAP)
 Développements spécifiques
 A p p lic a tio n s w e b : J E E /P H P
 C œ u rs d e c a lc u ls in d u s trie ls : C ++/C #
 A p p lic a tio n s flu x fin a n c ie rs : E x c e l V B A
• Nouvelles orientations technologiques fortes
 Technologies Microsoft
• Hétérogénéité des pratiques
 Existence de plusieurs entités de maîtrise d’œuvre au sein de Gaz de France
 S ous-traitance des développements (projets et maintenance)
… que la Direction du S ystème d’Information Groupe vise à rationaliser
• Mise en place d’une expertise groupe transverse
• Définition de pratiques groupe

4. C lu b Q u a lim é trie – 25/09 /07
- 4 -
Organisation de l’expertise S I Gaz de France
L’expertise technique S I Gaz de France est
• P ilo té e p a r la D ire c tio n d u S y s tè m e d ’In fo rm a tio n G ro u p e
• O rg a n is é e e n d o m a in e s d e s o lu tio n s ; c h a q u e d o m a in e re g ro u p a n t d e s te c h n o lo g ie s e t
p ro d u its d u ré fé re n tie l G a z d e F ra n c e
Le domaine de solutions « Méthodes et Outils de Développement »
• R e g ro u p e l’e x p e rtis e a u to u r:
 D e s n o rm e s e t p ré c o n is a tio n s d e d é v e lo p p e m e n t
 D e s o u tils d e d é v e lo p p e m e n t
• E s t e n c h a rg e d e la m is e e n p la c e d ’u n e d é m a rc h e q u a lité lo g ic ie lle d o n t le s d e u x
p rin c ip a u x c h a n tie rs s o n t:
 L a d é fin itio n e t la c o n s o lid a tio n , p o u r fo u rn itu re a u x in té g ra te u rs , d e s e x ig e n c e s te c h n iq u e s
G a z d e F ra n c e s u r le s a x e s s é c u rité a p p lic a tiv e , q u a lité d e s d é v e lo p p e m e n ts s p é c ifiq u e s ,
p e rfo rm a n c e
 L a m is e e n p la c e d e l’a c tiv ité d e v é rific a tio n a s s o c ié e
DS7 – TélécomsDS3 - Administration de contenu (données & documents)
DS6 – Solutions SAPDS2 - Fourniture de services applicatifs
DS5 - SécuritéDS1 - Méthodes & Outils de Développement
effectif théorique: 10 ETP répartis dans les différentes entités MOE
effectif réel: 5 ETP
DS4 - Informatique personnelle & MobilitéDS0 - Systèmes / Serveurs / Exploitation

5. C lu b Q u a lim é trie – 25/09 /07
- 5 -
S ommaire
I. C o n te x te S I G a z d e F ra n c e
II. P ré s e n ta tio n d e la C e llu le d e Q u a lific a tio n L o g ic ie lle
III. T ra v a u x à v e n ir

6. C lu b Q u a lim é trie – 25/09 /07
- 6 -
La Cellule de Qualification Logicielle et ses offres
L’offre Audit S écurité Applicative est opérationnelle depuis Juillet 2007.
L’offre Contrôle Qualité entrera en phase d’expérimentation fin S eptembre.
La mise en place de l’offre Performance est prévue courant 2008.
Offre
Audit Sécurité
Applicative
•C o n trô le d u re s p e c t d e
l’é ta t d e l’a rt e n te rm e d e
s é c u rité
•C o n trô le d e la n o n -
v u ln é ra b ilité a u x
p rin c ip a le s a tta q u e s
Offre Performance
•C o n trô le d e la
c o n fo rm ité d e s te m p s d e
ré p o n s e a v e c le s
e x ig e n c e s fo rm u lé e s
d a n s le C d C
•É v a lu a tio n d e la
ro b u s te s s e à la c h a rg e
Offre
Contrôle Qualité
•C o n trô le d u re s p e c t d e s
n o rm e s d e
d é v e lo p p e m e n t
•A id e a u p ilo ta g e d e
p re s ta tio n p a r la q u a lité
P é rim è tre v is é
A p p li. In te rn e t/In tra n e t
P é rim è tre v is é
A p p li. In te rn e t/In tra n e t
P é rim è tre v is é
T o u te s le s filiè re s d e
d é v e lo p p e m e n t s p é c ifiq u e
A B A P , J a v a /J E E , P H P , S Q L , C ++,
.N e t
O u tilla g e
A p p S c a n (W a tc h F ire )
O u tilla g e
C a s t (C a s t S o ftW a re )
O u tilla g e
L o a d R u n n e r (H P -M e rc u ry )
Cellule de Qualification Logicielle

7. C lu b Q u a lim é trie – 25/09 /07
- 7 -
L’offre Audit S écurité Applicative (1/2)
Objectif
• Valider avant mise en production que les applications web
développées respectent le niveau minimum de sécurité défini par la
Charte S écurité Applicative Gaz de France
Périmètre
• Toute application web
• Indépendamment de la technologie (Java, PHP, .NET,… )
• Indépendamment de la portée (internet, intranet)
Outillage
• AppS can de l’éditeur WatchFire
Organisation
• Audits réalisés en interne
 Sur les plate-formes de pré-production des projets (audits dynamiques)
 Opérés par les experts Gaz de France

8. C lu b Q u a lim é trie – 25/09 /07
- 8 -
L’offre Audit S écurité Applicative (2/2)
Financement/Coûts
• Les coûts des licences sont à la charge de la CQL (DS IG)
• Les coûts de réalisation sont à la charge des projets
Retour opérationnel
• Démarche sécurité totalement intégrée au processus de gestion des
projets informatiques
 Depuis l’appel d’offre de réalisation…
 La charte sécurité applicative est jointe systématiquement aux appels
d’offre
 Les critères de recevabilité des applications développées sont précisés
lors des consultations
 … jusqu’à la validation des livrables et la mise en production
 La réalisation d’audit sécurité est obligatoire avant passage en
production; des résultats de l’audit dépend le passage en production
• Environ une dizaine d’applications auditées depuis juillet 2007

9. C lu b Q u a lim é trie – 25/09 /07
- 9 -
Objectifs
• Fournir aux différents acteurs de la filière S I une visibilité sur l’état du parc
applicatif et une aide au pilotage des prestations de réalisation et de
maintenance
 D é c lin a is o n d e l’o ffre te c h n iq u e « a u d it d e c o d e » e n u n c a ta lo g u e d e
s e rv ic e s à d e s tin a tio n :
 d e s M O A /R e s p o n s a b le s M O E d e d o m a in e  v is io n m u lti-a p p lic a tio n s
 d e s c h e fs d e p ro je ts  v is io n m o n o -a p p lic a tio n
 S e rv ic e s id e n tifié s :
 S e rv ic e 1 : É v a lu a tio n d ’u n p a rc a p p lic a tif/d ’u n e a p p lic a tio n
 S e rv ic e 2: P ré p a ra tio n d ’u n a p p e l d ’o ffre
 S e rv ic e 3: P ilo ta g e d e p re s ta tio n
 S e rv ic e 4: A u d it te c h n iq u e
Périmètre
• Tout développement spécifique
 J a v a /J E E , P H P , C ++, S Q L , S h e ll e t .N e t (C #, V B .N e t)
 S A P /A B A P
L’offre Contrôle Qualité du Code (1/4)

10. C lu b Q u a lim é trie – 25/09 /07
- 1 0 -
L’offre Contrôle Qualité du Code (2/4)
Outillage
• CAS T
• En complément, pour les technologies qui le permettent, fourniture
aux intégrateurs d’outils open-source d’auto-évaluation devant en
cible s’intégrer au portail projet Gaz de France

11. C lu b Q u a lim é trie – 25/09 /07
- 1 1 -
L’offre Contrôle Qualité du Code (3/4)
Organisation actuelle
• Audits totalement internalisés pour la partie SAP/ABAP
 Plate-forme sur site Gaz de France
 Interprétation effectuée par les experts S AP Gaz de France
• Audits sous-traités pour les autres technologies
 Plate-forme hors site Gaz de France
 Interprétation effectuée par les consultants CAS T avec appui des experts Gaz
de France du domaine concerné
Organisation cible
• Audits totalement internalisés
 Plate-forme sur site Gaz de France
 Interprétation effectuée par les experts Gaz de France du domaine concerné

12. C lu b Q u a lim é trie – 25/09 /07
- 1 2 -
L’offre Contrôle Qualité du Code (4/4)
Financement/Coûts
• Durant la phase d’expérimentation
 La CQL (DS IG) prend à sa charge le coût des licences et des prestations
• En mode nominal
 Les coûts (licences+réalisation des audits) seront à la charge des projets
Retour opérationnel
• La démarche est partiellement intégrée au processus de gestion de projet
 Les normes de développement sont fournies dès l’appel l’offre
 Une clause permet à Gaz de France d’auditer les développements effectués
 Il n’y a cependant pas pour l’instant de contractualisation sur les différents critères
qualité issus de la norme 9126
• La phase d’expérimentation devra permettre de
 Prouver l’intérêt de la démarche et trouver les sponsors de la démarche
 In té g re r le P la n P e rfo rm a n c e S I
 Arriver à une politique de recette qualité du code
 F o n c tio n d u ty p e d e p ro je t/d e te c h n o lo g ie …

13. C lu b Q u a lim é trie – 25/09 /07
- 1 3 -
S ommaire
I. C o n te x te S I G a z d e F ra n c e
II. P ré s e n ta tio n d e la C e llu le d e Q u a lific a tio n L o g ic ie lle
III. T ra v a u x à v e n ir

14. C lu b Q u a lim é trie – 25/09 /07
- 1 4 -
Vision opérationnelle à court terme
O ffre s é c u rité
• C h a rg e c ib le ré c u rre n te : 5 a p p lic a tio n s w e b a u d ité e s p a r m o is
O ffre q u a lité
• C h a rg e p ré v is io n n e lle d ’ic i la fin d e l’a n n é e : 1 0 a u d it
 1 a p p e l d ’o ffre d e T M A m u tu a lis é e (1 0 a p p lic a tio n s )
 8 a u d its a p p lic a tio n s J E E /P H P
 1 a u d it c œ u r d e c a lc u l

15. C lu b Q u a lim é trie – 25/09 /07
- 1 5 -
Chantiers à moyen terme
L’offre performance
• D é fin itio n d e s s e rv ic e s à fo u rn ir
 V a lid a tio n lo rs d e la liv ra is o n d e la c o n fo rm ité d e s te m p s d e ré p o n s e /d e tra ite m e n t
a v e c le s e x ig e n c e s e x p rim é e s d a n s le C a h ie r d e s C h a rg e s
 A u d its p o n c tu e ls
• C h o ix d e s p ro d u its
L’offre qualité
• D é fin itio n d ’u n e p o litiq u e d e re c e tte q u a lité d é fin is s a n t le s c o n te x te s p o u r
le s q u e ls l’a u d it q u a lité d u c o d e e s t o b lig a to ire
• In te rn a lis a tio n d e la p la te -fo rm e d ’a u d it
Extension du périmètre d’activité initial de la cellule
• T e s ts d ’in té g ra tio n d e « b o u t e n b o u t »

16. Merci de votre attention!
Avez-vous des questions?