Les termes de compliance, définis pour les ingénieurs.

Le chiffrement en transit protège les données lorsqu'elles circulent sur un réseau, généralement avec TLS, afin qu'elles ne puissent pas être lues ou modifiées entre les systèmes. Il est distinct du chiffrement au repos, qui protège les données stockées.

Décaler la conformité à gauche signifie déplacer la vérification de conformité plus tôt dans le cycle de vie du développement, au moment où un changement est effectué, plutôt que de découvrir les problèmes plus tard lors d'un audit. Le terme s'inspire du décalage à gauche en sécurité et en test : plus un problème est détecté tôt, moins il coûte cher à corriger.

La conformité en tant que code est la pratique consistant à exprimer et vérifier les obligations de conformité là où le système réside réellement, dans le dépôt et le pipeline, plutôt que uniquement dans un document de politique examiné une fois par an. Elle s'inspire de l'approche qui a fonctionné pour les tests et l'infrastructure : transformer une tâche manuelle et périodique en quelque chose de défini et continu.

La conservation des données désigne la durée pendant laquelle les données sont conservées avant d'être supprimées. Selon le principe de limitation du stockage du RGPD (Art. 5(1)(e)), les données personnelles ne doivent pas être conservées sous une forme identifiable plus longtemps que nécessaire pour la finalité visée. Ainsi, la plupart des stocks de données personnelles nécessitent une période de conservation définie (avec des exceptions étroites, comme l'archivage ou la recherche, sous réserve de garanties).

Un contrôle est une mesure spécifique qu'un cadre de référence attend de vous pour gérer un risque, par exemple restreindre l'accès aux utilisateurs autorisés, chiffrer les données en transit ou journaliser les événements de sécurité. Les cadres de référence sont essentiellement des listes structurées de contrôles, accompagnées des preuves de leur fonctionnement.

Le contrôle d'accès logique consiste à restreindre qui et quoi peut accéder à un système ou à des données, uniquement aux entités autorisées, l'équivalent numérique des serrures et des clés. Il est central dans les critères d'accès logique de SOC 2, en particulier CC6.1, et apparaît dans tous les cadres de sécurité.

Les Critères des Services de Confiance sont l'ensemble des critères selon lesquels un audit SOC 2 est évalué, définis par l'AICPA. Ils couvrent la sécurité (les critères communs, CC), et éventuellement la disponibilité, l'intégrité du traitement, la confidentialité et la protection des données personnelles.

Les données personnelles sont toute information concernant une personne physique identifiée ou identifiable, selon le RGPD. Cela correspond approximativement à ce qu'on appelle en anglais 'personally identifiable information' (PII), bien que le terme RGPD soit plus large : un nom ou une adresse e-mail, mais aussi une adresse IP, un identifiant d'appareil, ou tout élément pouvant être relié à un individu.

La gestion des secrets consiste à gérer les identifiants, les clés API et les clés privées d'une application : où ils sont stockés, comment ils sont accessibles et comment ils sont renouvelés. L'objectif est qu'un secret ne soit jamais stocké dans le code source, un journal ou tout autre endroit où il pourrait fuir.

La journalisation d'audit consiste à enregistrer les événements pertinents pour la sécurité, tels que les connexions, les modifications de privilèges et les accès aux données sensibles, afin qu'ils puissent être surveillés et investigués ultérieurement. On ne peut pas détecter ou reconstituer ce qui n'a jamais été enregistré, c'est pourquoi les cadres de référence considèrent la journalisation comme un contrôle fondamental.

La minimisation des données, principe du RGPD (Art. 5(1)(c)), est la règle selon laquelle vous ne devez collecter, utiliser ou traiter les données personnelles que dans la mesure strictement nécessaire à la finalité visée, et pas davantage. Capturer des données supplémentaires 'au cas où' est précisément ce que ce principe interdit.

Les preuves d'audit sont la démonstration qu'un contrôle a effectivement fonctionné : la revue d'accès qui a été effectuée, le journal qui a enregistré un événement, l'approbation d'une modification. Un auditeur ne se fie pas à votre parole pour confirmer qu'un contrôle fonctionne ; il échantillonne des preuves attestant de son application sur une période.

Le principe du moindre privilège stipule qu'un utilisateur, un rôle ou un processus ne doit avoir que les accès strictement nécessaires à l'exécution de ses tâches, et rien de plus. Des accès restreints limitent les dégâts en cas d'erreur ou de compromission, et c'est ce qu'un auditeur vérifie lorsqu'il échantillonne vos contrôles d'accès.

La surveillance humaine, exigence de l'EU AI Act (Art. 14) pour les systèmes d'IA à haut risque, désigne l'attente qu'une personne puisse superviser efficacement le système, y compris le surveiller, interpréter ses résultats et pouvoir ignorer, remplacer ou inverser ces résultats ou arrêter le système, de manière proportionnée au risque et au contexte.