Quelle mesure prouve chaque exigence de sécurité du marché ?

Texte acheteur

Conservez la demande avec son rôle et son périmètre

Commencez par les pièces en vigueur. La question de sécurité doit rester reliée aux définitions, aux instructions de réponse, au règlement de consultation, aux critères, au calendrier de déploiement, aux annexes et au projet de contrat. Une mesure peut être exigée au dépôt, vérifiée avant la mise en service ou attendue pendant toute l’exécution. La date d’effet change la preuve et le verbe utilisables.

Figez ensuite la solution proposée. Nommez l’entité candidate, le lot, l’édition du service, l’hébergement, les environnements, les régions, les données, les interfaces, les composants optionnels, les accès d’administration, la reprise et les sous-traitants. Une mesure appliquée au réseau bureautique ne démontre pas la sécurité d’une plateforme proposée au client.

Gardez les paramètres ajoutés par l’acheteur. Il peut citer ISO/IEC 27002 tout en imposant sa propre fréquence de contrôle, un délai de correction ou une preuve indépendante. La référence ne neutralise aucune de ces précisions. Si deux pièces divergent, la cartographie attend la résolution documentaire au lieu de choisir le texte le plus simple à satisfaire.

Décomposition

Transformez chaque exigence composée en tests indépendants

Formulez une proposition courte pour chaque résultat. Elle indique qui agit, sur quel actif ou quelle donnée, selon quelle condition, à quelle fréquence, dans quel délai, pour quelle population et avec quel résultat observable. Reprenez seulement les paramètres présents dans les pièces. Une valeur manquante reste indéterminée tant qu’une source autorisée ne la précise pas.

Les conjonctions, alternatives et quantificateurs ont un effet direct. « Inventorier et analyser chaque semaine » contient deux actions. « Toutes les dépendances logicielles » impose un test de population. « Après toute évolution majeure » ajoute un déclencheur distinct de l’évaluation annuelle. Une alternative n’existe que si le texte de la consultation l’autorise. La qualité d’une mesure ne compense pas l’absence d’une autre proposition obligatoire.

Séparez la mesure de la preuve demandée. Le service peut corriger les vulnérabilités selon le délai exigé sans disposer du rapport indépendant au format demandé. À l’inverse, un rapport externe peut exister alors qu’une nouvelle version n’entre plus dans son périmètre. Deux lignes permettent d’identifier la nature exacte du manque.

Niveaux de preuve

Descendez du référentiel jusqu’à la mise en œuvre

Un résultat de cadre, une mesure interne et un mécanisme ne sont pas le même objet. Le NIST CSF formule des résultats de haut niveau et ne prescrit pas une liste unique d’actions. Le catalogue NIST SP 800-53 fournit des contrôles adaptables. L’organisation définit ensuite sa mesure, sa population, sa fréquence et ses responsables. Enfin, les outils et procédures du service réalisent cette mesure.

Conservez l’identifiant, la version et la justification de chaque correspondance externe. Le NIST rappelle que les tables de correspondance ne sont pas toujours individuelles et que leur analyse comporte une part de jugement. Les références informatives du CSF offrent un point de départ et non une liste obligatoire. Une similarité de vocabulaire peut donc orienter vers une mesure sans conclure qu’elle satisfait l’acheteur.

Le même principe vaut pour les référentiels sectoriels. Le Cyber Assessment Framework britannique évalue des résultats contributifs et s’appuie sur le jugement compétent. Le SecNumCloud 3.2 de l’ANSSI porte sur les services qualifiés selon son propre référentiel. Une qualification ou un statut obtenu dans un périmètre précis ne devient pas une preuve générale pour tout service, toute configuration et toute exigence.

Cartographie

Représentez les contributions multiples et leurs responsables

Créez une ligne par relation entre une proposition et une mesure. La couverture complète signifie que la mesure, sa mise en œuvre et ses preuves couvrent toute la proposition. La couverture partielle nomme la condition, la population ou la période manquante. Une contribution conjointe fournit un élément nécessaire d’un résultat collectif. Une dépendance alimente la mesure principale sans satisfaire directement l’exigence. Référence seule, périmètre incompatible et absence de support complètent les résultats utiles.

Cette représentation évite deux erreurs opposées. La première consiste à attribuer tout un paragraphe de sécurité à une seule mesure générique. La seconde additionne plusieurs mesures faibles et en déduit un résultat complet. Chaque proposition conserve son propre test. Une exigence globale n’est étayée que lorsque toutes ses branches obligatoires le sont.

Attribuez aussi chaque action. Dans un service cloud, le fournisseur d’infrastructure, le candidat et l’acheteur peuvent participer au même objectif. Le prestataire protège certains équipements, le candidat configure et surveille son application, et l’acheteur administre ses utilisateurs. Le guide BSI d’analyse des rapports C5 distingue d’ailleurs les mesures du fournisseur cloud et les contrôles que l’utilisateur doit mettre en place. Une réponse doit conserver ces frontières.

Examen des preuves

Associez à chaque lien une preuve de la bonne nature

La conception décrit ce que la mesure doit faire. Le déploiement montre que le mécanisme est présent. Les traces d’exploitation montrent qu’une action a été réalisée pendant une période. L’évaluation précise comment la mesure a été examinée ou testée et quel résultat a été observé. Une assurance indépendante ajoute un avis externe limité par le système, les critères, les dates et les exceptions de son rapport.

Consignez l’objet exact, la version, la source, la population, la méthode, l’échantillon, la période, le résultat, les écarts et la date d’examen. NIST SP 800-53A propose des procédures d’évaluation adaptables. La spécification d’évaluation CIS distingue également la présence d’une mesure et la qualité de son effet. Une capture de configuration peut établir la première. Elle ne mesure pas nécessairement la seconde.

L’échantillonnage doit rester visible. Un examen de vingt tickets de correction montre ce qui s’est passé pour ces tickets selon la méthode choisie. Pour conclure sur tous les constats critiques, rapprochez l’échantillon de la population complète et expliquez les exclusions. Une exception non résolue ne disparaît pas parce que le taux global paraît élevé.

Cas pratique

Cartographiez la gestion des vulnérabilités d’une plateforme universitaire

Une université publique fictive achète une plateforme destinée à des projets de recherche. L’appel d’offres exige un inventaire de tous les composants et dépendances, une analyse hebdomadaire, la correction des vulnérabilités critiques sous quatorze jours, un contrôle de sécurité avant chaque mise en production et un test d’intrusion indépendant annuel ainsi qu’après toute évolution majeure. L’offre comprend le service principal et un nouveau connecteur vers un dépôt de données de recherche.

La cartographie crée des propositions distinctes pour l’exhaustivité de l’inventaire, la fréquence des analyses, la qualification des résultats, le délai de correction, le contrôle avant livraison et les deux déclencheurs du test indépendant. AST-03 tient l’inventaire logiciel. VUL-04 réalise les analyses et rattache les constats aux actifs. REM-06 mesure les délais et gouverne les exceptions. REL-05 bloque une livraison sans contrôle de sécurité. ASS-02 organise l’évaluation externe et le suivi des constats.

Les preuves internes montrent que le connecteur figure dans l’inventaire, entre dans l’analyse hebdomadaire et passe la vérification de livraison. Le registre de remédiation couvre la dernière période et distingue les exceptions approuvées. En revanche, le rapport d’intrusion annuel a été achevé avant l’ajout du connecteur. Son périmètre couvre le service principal, pas toute la version proposée. La référence à une mesure d’évaluation indépendante est pertinente, mais la preuve disponible ne satisfait pas la population de l’offre.

La proposition relative au test indépendant reste donc partielle. Les cinq autres résultats ne la rendent pas complète. La réponse est retenue pour revue avec le composant exclu, la date de changement, le rapport existant et le texte exact de l’acheteur. La cartographie ne décide ni la réalisation d’un nouveau test ni l’acceptation d’une réserve par l’acheteur.

Réponse

Rédigez avec le niveau de certitude démontré

La réponse finale indique le service et la population couverts, décrit le résultat en termes compréhensibles et renvoie vers la preuve que l’acheteur peut consulter. Un identifiant de mesure interne facilite le contrôle, mais ne doit pas remplacer la substance. Lorsque plusieurs mesures contribuent, expliquez leur combinaison sans présenter chacune comme suffisante seule.

Choisissez les verbes selon les faits. « La politique prévoit » porte sur la conception. « La configuration impose » demande une preuve de déploiement. « La revue a été exécutée chaque mois pendant la période » s’appuie sur des traces d’exploitation. « L’évaluateur a constaté » reste limité par l’objet, la méthode et la date du rapport. Le mot « conforme » ne doit pas transformer cette cartographie ciblée en conclusion générale.

Réduisez l’exposition des informations sensibles. Une extraction contrôlée, une attestation précise ou un accès protégé peut être préférable aux journaux bruts, aux noms de comptes, aux détails de topologie ou aux constats ouverts. Le propriétaire de la preuve valide la forme communicable. Cette précaution ne change pas le fond: la proposition doit rester étayée.

• Identifiez le service, la version et la population couverte.
• Décrivez le résultat de la mesure dans le vocabulaire de l’acheteur.
• Indiquez la nature et la période de la preuve pertinente.
• Conservez toute limite qui modifie matériellement la réponse.
• Ne validez pas une affirmation positive tant qu’un lien obligatoire reste incomplet.

Réexamen

Maintenez la cartographie au niveau du dossier concerné

La cartographie correspond à une offre et à une date d’examen. Rouvrez les liens touchés par un additif, une nouvelle définition, un changement de version, de composant, d’environnement, de région, de rôle d’administration, de sous-traitant, de responsabilité, de mesure, de constat ou de validité documentaire. Conservez l’état remplacé et la raison de sa révision.

Des états simples rendent le résultat lisible: exigence saisie, lien en examen, couverture complète, couverture partielle, responsabilité non résolue, périmètre incompatible, preuve périmée, absence de support, revue sécurité requise, réponse approuvée et remplacée. Ils décrivent l’état de la proposition. Ils ne valent ni acceptation globale du risque ni conclusion juridique.

Rattachez la cartographie à la consultation. Une question ultérieure peut reprendre un lien vérifié seulement si son texte, son périmètre, sa population, sa date et sa demande de preuve concordent. La réutilisation porte sur le raisonnement et les pièces contrôlées, pas sur une ancienne case oui.