Registre des contrôles
Chaque contrôle porte un responsable, une fréquence et une date de dernière revue. « Planifié » ne signifie pas « conforme » : aucun contrôle n'est présenté comme acquis avant d'être effectivement déployé et vérifiable.
GOV-01
En placeLe produit, l'opérateur technique, la boutique cliente et le responsable de traitement sont identifiés séparément.
GOV-02
En placeLes contrôles publics portent un statut, une fréquence, un responsable et une date de dernière revue.
GOV-03
PlanifiéUn test d'intrusion indépendant doit couvrir l'application, l'API, les RLS, le cloisonnement et les téléchargements.
IAM-01
En placeLes comptes utilisent un lien ou un code à usage unique adressé à l'email professionnel invité.
IAM-02
En placeLes comptes opérateurs et administrateurs de boutique doivent atteindre un niveau d'assurance AAL2 avant toute action sensible.
IAM-03
En placeUne session web inactive est interrompue après deux heures ; le contrôle reste actif pendant la durée de vie de la session.
IAM-04
En placeLes droits sont appliqués au niveau PostgreSQL par RLS, y compris pour les sous-dossiers et les fichiers publiés.
IAM-05
En placeUne dataroom peut imposer une version précise de son accord de confidentialité ; l'acceptation est horodatée et liée à l'utilisateur.
DAT-01
En placeLes documents sont conservés dans un bucket privé ; les membres ne disposent pas d'une lecture directe du stockage.
DAT-02
En placeTLS est obligatoire, HSTS est activé et les cookies de session sont marqués Secure en production.
DAT-03
PartielLe périmètre de chiffrement au repos du stockage, de la base et des sauvegardes doit être tenu à jour à partir des engagements fournisseurs.
DAT-04
En placeLes formats pris en charge sont filigranés à la volée avec l'identité, l'heure et un identifiant de téléchargement.
DAT-05
En placeLes emails transactionnels contiennent des liens et informations minimales, jamais les documents de l'opération.
APP-01
En placeLa CSP utilise un nonce par requête, interdit l'encadrement et borne les origines contactées par le navigateur.
APP-02
En placeLes nouveaux dossiers et documents restent internes jusqu'à une publication explicite vers les destinataires autorisés.
APP-03
En placeLes liens externes, déverrouillages, téléchargements et formulaires sensibles appliquent des limites côté serveur.
APP-04
En placeConnexions, consultations, téléchargements, changements d'accès, clôtures et acceptations sont enregistrés avec leur contexte utile.
OPS-01
En placeChaque boutique utilise son propre déploiement et son propre projet de données, avec un manifeste d'administrateurs contrôlé à la mise en service.
OPS-02
En placeSur une instance cliente, l'opérateur est neutre par défaut ; tout accès exceptionnel est nominatif, limité et journalisé.
OPS-03
En placeUne page publique et un endpoint JSON exposent un verdict synthétique sur l'application et ses dépendances principales.
OPS-04
En placeUn canal dédié et une politique de divulgation responsable permettent de signaler une faiblesse sans publier de détail exploitable.
INC-01
En placeL'accès à une dataroom peut être suspendu immédiatement sans transférer sa propriété ni effacer les preuves.
INC-02
En placeLes niveaux de priorité, canaux, responsabilités et étapes de traitement sont documentés.
INC-03
PlanifiéLe scénario, les preuves attendues et le compte rendu sont préparés ; aucun RPO ou RTO public n'est annoncé avant un test réel.
PRI-01
En placeLes prestataires, leurs finalités, les données concernées et la localisation connue sont publiés.
PRI-02
En placeLes données traitées sont bornées aux comptes, droits, journaux, échanges et documents nécessaires au service.
REV-01
En placeLa sortie du service prévoit l'export des documents et journaux utiles, puis une suppression contrôlée selon le contrat.