Une équipe de dix personnes confrontée à son premier SOC 2 ou ISO 27001 ne peut pas gérer la conformité comme le ferait une entreprise de cent personnes, et ne devrait pas essayer. L'avantage à petite échelle réside dans des habitudes peu coûteuses à maintenir mais coûteuses à intégrer a posteriori. Quelques-unes d'entre elles, mises en place tôt, supportent l'essentiel du travail.
Choisissez les cadres, puis oubliez le classeur
Déterminez quels cadres s'appliquent réellement à vous (une SaaS B2B vendant dans l'UE se concentre généralement sur SOC 2 ou ISO 27001, plus le RGPD, parfois DORA ou NIS 2 selon le client) et notez-le une fois. Résistez ensuite à l'envie de vivre dans un tableau géant de contrôles. À votre échelle, ce tableau devient obsolète plus vite que le système ne change.
Ce dont vous avez besoin, c'est que les quelques contrôles liés au code soient vérifiés là où vous travaillez déjà : la pull request.
Les habitudes qui s'amplifient
Trois habitudes font l'essentiel du travail. Journalisez les événements pertinents pour la sécurité (authentification, changements de privilèges, accès aux données sensibles) dès le premier jour, car intégrer une piste d'audit a posteriori est douloureux. Maintenez le principe du moindre privilège par défaut, car réduire des autorisations trop larges plus tard est pire. Et ne journalisez jamais de secrets ou de données personnelles, car nettoyer un stockage de logs après coup est la pire version de ce travail.
Aucune de ces habitudes ne nécessite un outil GRC. Elles doivent simplement être repérées lors de la revue de code, ce qui est exactement là où une petite équipe examine déjà chaque modification.
Où l'automatisation aide le plus une petite équipe
Ce qui manque à une petite équipe, ce n'est pas la diligence, mais la connaissance des cadres pour reconnaître qu'une diff particulière touche un contrôle particulier. C'est là que heygrc intervient : il lit la modification par rapport à vos cadres sélectionnés et identifie le contrôle, afin qu'une petite équipe bénéficie de la connaissance des cadres d'une équipe beaucoup plus grande, sans avoir à embaucher pour cela.