Répondez aux questions : les contrôles qu'elles déclenchent s'ajoutent ici, avec leur raison.
-
ARC-MTLS TLS mutuel par certificat entre services (M2M)
Pourquoi : Web/API, hébergée dans le cloud ou intégration privilégiée
NIST 800-53 IA-3 / SC-8 ISO 27001 A.8.24 CIS v8 3.10
-
ARC-TOKEN Jetons machine de courte durée, limités à leur destinataire (identité de charge de travail)
Pourquoi : Web/API, hébergée dans le cloud ou agentique
NIST 800-53 IA-5(2) OWASP ASVS 3.5 ISO 27001 A.8.5
-
ARC-CREDROT Rotation automatisée des identifiants machine et des certificats
Pourquoi : Criticité ≥ 20, accès privilégié ou PCI
NIST 800-53 IA-5(1) CIS v8 5.4 PCI DSS 3.7
-
ARC-APIGW Passerelle API qui applique l'authentification, l'autorisation, les quotas et la validation de schéma
Pourquoi : Web/API exposée ou utilisée par des externes
OWASP API Top 10 2023 NIST 800-53 SC-7 CIS v8 13.10
-
ARC-TENANT Isolation des clients appliquée sur chaque chemin d'accès aux données
Pourquoi : Utilisateurs externes avec des données confidentielles ou personnelles
OWASP API Top 10 API1:2023 NIST 800-53 AC-4 ISO 27001 A.8.22
-
IAM-SSO SSO fédéré via l'IdP central (obligatoire)
Pourquoi : Données confidentielles/personnelles, exposé, privilégié ou multi-utilisateurs
NIST 800-53 IA-2 / IA-8 ISO 27001 A.5.16 CIS v8 6.7
-
IAM-MFA Authentification multifacteur sur tous les accès
Pourquoi : Données confidentielles/personnelles, exposé, privilégié ou criticité ≥ 30
NIST 800-53 IA-2(1) CIS v8 6.3 ISO 27001 A.8.5
-
IAM-RBAC Autorisation par rôles selon le moindre privilège (RBAC)
Pourquoi : Données confidentielles/personnelles, privilégié ou multi-utilisateurs
NIST 800-53 AC-6 CIS v8 6.8 ISO 27001 A.8.2
-
IAM-ABAC Contrôle d'accès fin par attributs (ABAC)
Pourquoi : Données sensibles, IA à haut risque, privilégié et confidentiel ou criticité ≥ 65
NIST 800-53 AC-3(13) ISO 27001 A.8.3 NIST 800-162
-
IAM-PRIV Coffre-fort et rotation des identifiants à privilèges (PAM)
Pourquoi : Accès privilégié à d'autres applications
CIS v8 5.4 NIST 800-53 AC-2(1) ISO 27001 A.8.2
-
IAM-REVIEW Recertification périodique des accès (trimestrielle)
Pourquoi : Données confidentielles/personnelles, privilégié, prestataires ou criticité ≥ 30
NIST 800-53 AC-2(3) CIS v8 5.3 ISO 27001 A.5.18
-
IAM-SESSION Gestion sécurisée des sessions (entropie ≥ 128 bits, expiration)
Pourquoi : Web/API exposé sur Internet
OWASP ASVS 3.x NIST 800-53 AC-12 ISO 27001 A.8.5
-
DAT-CLASS Classification et étiquetage des données
Pourquoi : Données confidentielles ou données personnelles
ISO 27001 A.5.12 NIST 800-53 RA-2 CIS v8 3.7
-
DAT-KMS Gestion des clés via HSM / KMS
Pourquoi : Classification des données ≥ Confidentiel
NIST 800-53 SC-12 ISO 27001 A.8.24 PCI DSS 3.6
-
PRV-DPIA Analyse d'impact relative à la protection des données (DPIA/FRIA)
Pourquoi : Données personnelles sensibles ou IA à haut risque
GDPR Art. 35 EU AI Act Art. 27 ISO 27701 7.2.5
-
PRV-ROPA Registre des activités de traitement (ROPA)
Pourquoi : Données personnelles traitées
GDPR Art. 30 ISO 27701 7.2.8
-
PRV-LAWFUL Base légale et gestion du consentement
Pourquoi : Données personnelles traitées
GDPR Art. 6 / 7 ISO 27701 7.2.2
-
PRV-DSAR Exercice des droits des personnes concernées (DSAR)
Pourquoi : Données personnelles traitées
GDPR Art. 15-22 ISO 27701 7.3
-
PRV-RETENTION Calendrier de conservation avec suppression automatisée
Pourquoi : Données personnelles traitées
GDPR Art. 5(1)(e) ISO 27001 A.5.33 NIST 800-53 SI-12
-
PRV-DPA Contrats de traitement des données avec les sous-traitants (DPA)
Pourquoi : Données personnelles + prestataires externes
GDPR Art. 28 SIG 2026 PR.3 ISO 27701 7.2.6
-
NET-WAF WAF protégeant les points d'accès publics
Pourquoi : Web/API exposé sur Internet
NIST 800-53 SC-7 CIS v8 13.10 ISO 27001 A.8.20
-
NET-DDOS Protection DDoS / limitation de débit en bordure
Pourquoi : Exposé sur Internet avec besoin de haute disponibilité
NIST 800-53 SC-5 CIS v8 13.10 ISO 27001 A.8.20
-
NET-CERT Gestion du cycle de vie des certificats / PKI
Pourquoi : Points d'accès exposés sur Internet
NIST 800-53 SC-17 ISO 27001 A.8.24 CIS v8 3.10
-
LOG-INTEGRITY Conservation inviolable des journaux (≥ 1 an)
Pourquoi : Données confidentielles, PCI ou criticité ≥ 45
NIST 800-53 AU-9 CIS v8 8.3 PCI DSS 10.5.1
-
VUL-SCAN Scans de vulnérabilités authentifiés
Pourquoi : Données confidentielles, exposé ou criticité ≥ 35
NIST 800-53 RA-5 CIS v8 7.5 ISO 27001 A.8.8
-
VUL-PENTEST Test d'intrusion annuel par un tiers qualifié
Pourquoi : Criticité élevée, PCI, ou données confidentielles/sensibles exposées
NIST 800-53 CA-8 CIS v8 18.3 ISO 27001 A.8.29
-
APP-SASTDAST SAST/DAST intégrés à la CI/CD
Pourquoi : Application web/mobile développée, exposée, confidentielle ou criticité ≥ 35
OWASP ASVS 1.x NIST 800-53 SA-11 CIS v8 16.12
-
APP-SCA Analyse de composition logicielle et SBOM
Pourquoi : Dépendances logicielles applicatives ou IA
CIS v8 16.11 NIST 800-53 SA-12 OWASP ASVS 14.2
-
APP-SECRETS Gestion centralisée des secrets (aucun identifiant en dur)
Pourquoi : Application développée sur mesure
CIS v8 16.4 NIST 800-53 IA-5 OWASP ASVS 2.10
-
APP-INPUT Validation des entrées et encodage des sorties
Pourquoi : Application web exposée sur Internet
OWASP ASVS 5.x NIST 800-53 SI-10 PCI DSS 6.2
-
RES-HA Architecture redondante à haute disponibilité
Pourquoi : Disponibilité = Majeure (24/7)
NIST 800-53 CP-7 ISO 27001 A.8.14
-
TPR-SIG Questionnaire SIG collecté et revu annuellement
Pourquoi : Prestataires externes utilisés
SIG 2026 Core ISO 27001 A.5.19 NIST 800-53 SR-6
-
TPR-ATTEST Attestation fournisseur active (SOC 2 / ISO 27001) au dossier
Pourquoi : Prestataires externes utilisés
SIG 2026 CO.2 ISO 27001 A.5.21 SOC 2 Type II
-
TPR-EXIT Plan de sortie / continuité pour les fournisseurs critiques
Pourquoi : Prestataires externes + haute disponibilité
SIG 2026 BC.4 ISO 27001 A.5.30
-
AIG-CLASS Classification des risques et enregistrement du système d'IA
Pourquoi : Capacité d'IA présente
EU AI Act Art. 6-9 ISO 42001 6.1
-
AIG-TRANSP Transparence et information des utilisateurs sur l'usage de l'IA
Pourquoi : Capacité d'IA présente
EU AI Act Art. 13 / 50
-
LLM-INJECT Défense contre l'injection de prompt - validation des entrées et sandboxing
Pourquoi : LLM avec entrées contrôlées par l'utilisateur
OWASP LLM01 MITRE ATLAS AML.T0051 NIST 800-53 SI-10
-
LLM-DOS Déni de service du modèle - limitation de débit et quotas de tokens
Pourquoi : LLM exposé sur Internet
OWASP LLM04 NIST 800-53 SC-5
-
LLM-DISCLOSE Divulgation d'informations sensibles - filtrage des sorties et masquage des données personnelles
Pourquoi : Données sensibles dans les prompts / le contexte
OWASP LLM06 MITRE ATLAS AML.T0024 GDPR Art. 32
-
LLM-REDTEAM Red-teaming ML adversarial avant et après la mise en production
Pourquoi : IA/LLM utilisé
MITRE ATLAS EU AI Act Art. 15 OWASP LLM
-
LLM-GUARDRAILS Garde-fous de contenu et modération à l'exécution
Pourquoi : LLM exposé sur Internet
OWASP LLM MITRE ATLAS AML.T0054