{"id":1218,"date":"2025-12-31T00:33:44","date_gmt":"2025-12-30T23:33:44","guid":{"rendered":"https:\/\/regulated-devsecops.com\/uncategorized\/ci-cd-security-audit-compliance-mapping-iso-27001-soc-2-dora-2\/"},"modified":"2026-07-07T10:50:55","modified_gmt":"2026-07-07T09:50:55","slug":"ci-cd-security-audit-compliance-mapping-iso-27001-soc-2-dora","status":"publish","type":"post","link":"https:\/\/regulated-devsecops.com\/fr\/ci-cd-governance\/ci-cd-security-audit-compliance-mapping-iso-27001-soc-2-dora\/","title":{"rendered":"Audit de s\u00e9curit\u00e9 CI\/CD \u2014 Cartographie de conformit\u00e9 ISO 27001, SOC 2, DORA, NIS2 & PCI DSS"},"content":{"rendered":"\n

Cette cartographie d’audit orient\u00e9e conformit\u00e9 relie les contr\u00f4les fondamentaux de s\u00e9curit\u00e9 CI\/CD<\/a> aux r\u00e9f\u00e9rentiels r\u00e9glementaires et d’assurance qui r\u00e9gissent le plus souvent les pipelines de livraison r\u00e9glement\u00e9s : ISO 27001, SOC 2, DORA, la directive NIS2 et PCI DSS.
Elle vise \u00e0 soutenir les audits internes, les \u00e9valuations externes et la pr\u00e9paration r\u00e9glementaire dans les environnements d’entreprise \u2014 de la certification de s\u00e9curit\u00e9 de l’information \u00e0 la gestion du risque TIC, en passant par les obligations li\u00e9es aux infrastructures critiques et la s\u00e9curit\u00e9 des paiements.<\/p>\n\n\n\n

Plut\u00f4t que de traiter chaque r\u00e9f\u00e9rentiel isol\u00e9ment, la cartographie regroupe les m\u00eames contr\u00f4les de pipeline sous-jacents \u2014 identit\u00e9 et acc\u00e8s, gestion des secrets, int\u00e9grit\u00e9 des artefacts, int\u00e9grations tierces, journalisation et gouvernance des changements \u2014 et montre o\u00f9 chacun satisfait les exigences d’un r\u00e9f\u00e9rentiel donn\u00e9. Un contr\u00f4le unique bien men\u00e9 r\u00e9pond fr\u00e9quemment \u00e0 plusieurs r\u00e9f\u00e9rentiels \u00e0 la fois, ce qui constitue la base pratique d’une approche unifi\u00e9e de la conformit\u00e9<\/a> o\u00f9 les preuves sont recueillies une fois puis r\u00e9utilis\u00e9es d’une \u00e9valuation \u00e0 l’autre.<\/p>\n\n\n\n

\n\n\n\n

ISO 27001<\/h2>\n\n\n\n

ISO\/IEC 27001:2022 \u00e9value si les contr\u00f4les CI\/CD fonctionnent au sein d’un syst\u00e8me de management de la s\u00e9curit\u00e9 de l’information (SMSI) op\u00e9rationnel, et pas seulement si un param\u00e8tre d’outil existe. Les auditeurs attendent une responsabilit\u00e9 des contr\u00f4les document\u00e9e, une d\u00e9claration d’applicabilit\u00e9 exacte et des preuves que les contr\u00f4les sont surveill\u00e9s et am\u00e9lior\u00e9s dans le temps. Pour les pipelines, les r\u00e9f\u00e9rences les plus pertinentes de l’annexe A rel\u00e8vent du contr\u00f4le d’acc\u00e8s, du d\u00e9veloppement s\u00e9curis\u00e9 et des relations avec les fournisseurs. Attentes en mati\u00e8re de preuves :<\/strong> la d\u00e9claration d’applicabilit\u00e9, les enregistrements de revue des acc\u00e8s, les proc\u00e9dures de d\u00e9veloppement s\u00e9curis\u00e9 et les journaux montrant que chaque contr\u00f4le s’est ex\u00e9cut\u00e9 comme d\u00e9crit.<\/p>\n\n\n\n

Domaine<\/strong><\/th>Contr\u00f4le<\/strong><\/th>ISO 27001 (annexe A)<\/strong><\/th>Oui<\/strong><\/th>Non<\/strong><\/th><\/tr><\/thead>
IAM<\/td>Moindre privil\u00e8ge appliqu\u00e9 aux comptes de service CI\/CD<\/td>A.8.2 \/ A.5.15<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>S\u00e9paration entre identit\u00e9s humaines et identit\u00e9s de pipeline<\/td>A.6.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>Acc\u00e8s bas\u00e9 sur les r\u00f4les pour la configuration du pipeline<\/td>A.5.18<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>MFA appliqu\u00e9e aux administrateurs CI\/CD<\/td>A.5.17<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>Approbation requise pour les actions privil\u00e9gi\u00e9es du pipeline<\/td>A.5.19<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Secrets non stock\u00e9s dans la gestion de code source<\/td>A.8.12<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Injection des secrets \u00e0 l’ex\u00e9cution<\/td>A.8.24<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Secrets limit\u00e9s \u00e0 leur environnement<\/td>A.5.15<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Rotation r\u00e9guli\u00e8re des secrets<\/td>A.8.15<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Valeurs des secrets exclues des journaux<\/td>A.8.16<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Environnements de build CI\/CD durcis<\/td>A.8.20<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Signature des artefacts appliqu\u00e9e<\/td>A.8.23<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Provenance reliant code, pipeline et artefact<\/td>A.8.9<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Les d\u00e9p\u00f4ts d’artefacts imposent l’immuabilit\u00e9<\/td>A.8.10<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Promotion limit\u00e9e aux artefacts de confiance<\/td>A.8.21<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>Plugins CI\/CD tiers formellement approuv\u00e9s<\/td>A.5.22<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>Int\u00e9grations \u00e9pingl\u00e9es \u00e0 des versions pr\u00e9cises<\/td>A.8.8<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>V\u00e9rification de l’int\u00e9grit\u00e9 des actions externes<\/td>A.8.23<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>Restriction des plugins maintenus par la communaut\u00e9<\/td>A.5.23<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>Surveillance de l’usage des int\u00e9grations<\/td>A.8.16<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Activit\u00e9 du pipeline CI\/CD int\u00e9gralement journalis\u00e9e<\/td>A.8.15<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Les journaux incluent les approbations et les contr\u00f4les de s\u00e9curit\u00e9<\/td>A.8.14<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Collecte centralis\u00e9e des journaux<\/td>A.8.16<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Conservation des journaux conforme \u00e0 la politique<\/td>A.5.34<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Les preuves soutiennent l’audit et les investigations<\/td>A.5.31<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>Changements revus et approuv\u00e9s via le pipeline<\/td>A.8.32<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>S\u00e9paration entre les r\u00f4les de build et de d\u00e9ploiement<\/td>A.6.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>Application des politiques via des portes automatis\u00e9es<\/td>A.5.19<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>Exceptions formellement approuv\u00e9es et journalis\u00e9es<\/td>A.5.31<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>Gouvernance CI\/CD revue p\u00e9riodiquement<\/td>A.5.36<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
\n\n\n\n

SOC 2<\/h2>\n\n\n\n

SOC 2 \u00e9value les contr\u00f4les CI\/CD au regard des crit\u00e8res des services de confiance (Trust Services Criteria), principalement les crit\u00e8res communs (la s\u00e9rie CC) pour la s\u00e9curit\u00e9. Parce que SOC 2 est une attestation portant sur une p\u00e9riode, les auditeurs attendent la preuve que chaque contr\u00f4le a fonctionn\u00e9 de mani\u00e8re coh\u00e9rente sur toute la fen\u00eatre de revue, et non une simple capture d’\u00e9cran ponctuelle. L’\u00e9chantillonnage est la norme : un \u00e9valuateur peut s\u00e9lectionner plusieurs mises en production et retracer, pour chacune, les approbations, les analyses et les enregistrements de d\u00e9ploiement. Attentes en mati\u00e8re de preuves :<\/strong> les tickets de gestion des changements, les journaux d’approbation, les enregistrements d’exceptions et les sorties de surveillance couvrant toute la p\u00e9riode d’audit.<\/p>\n\n\n\n

Domaine<\/strong><\/th>Contr\u00f4le<\/strong><\/th>SOC 2 (crit\u00e8res communs)<\/strong><\/th>Oui<\/strong><\/th>Non<\/strong><\/th><\/tr><\/thead>
IAM<\/td>Moindre privil\u00e8ge appliqu\u00e9 aux comptes de service CI\/CD<\/td>CC6.1<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>S\u00e9paration entre identit\u00e9s humaines et identit\u00e9s de pipeline<\/td>CC6.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>Acc\u00e8s bas\u00e9 sur les r\u00f4les pour la configuration du pipeline<\/td>CC6.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>MFA appliqu\u00e9e aux administrateurs CI\/CD<\/td>CC6.1<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>Approbation requise pour les actions privil\u00e9gi\u00e9es du pipeline<\/td>CC7.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Secrets non stock\u00e9s dans la gestion de code source<\/td>CC6.1<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Injection des secrets \u00e0 l’ex\u00e9cution<\/td>CC6.7<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Secrets limit\u00e9s \u00e0 leur environnement<\/td>CC6.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Rotation r\u00e9guli\u00e8re des secrets<\/td>CC6.1<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Valeurs des secrets exclues des journaux<\/td>CC7.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Environnements de build CI\/CD durcis<\/td>CC6.6<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Signature des artefacts appliqu\u00e9e<\/td>CC7.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Provenance reliant code, pipeline et artefact<\/td>CC7.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Les d\u00e9p\u00f4ts d’artefacts imposent l’immuabilit\u00e9<\/td>CC6.5<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Promotion limit\u00e9e aux artefacts de confiance<\/td>CC6.6<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>Plugins CI\/CD tiers formellement approuv\u00e9s<\/td>CC6.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>Int\u00e9grations \u00e9pingl\u00e9es \u00e0 des versions pr\u00e9cises<\/td>CC7.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>V\u00e9rification de l’int\u00e9grit\u00e9 des actions externes<\/td>CC7.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>Restriction des plugins maintenus par la communaut\u00e9<\/td>CC6.6<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>Surveillance de l’usage des int\u00e9grations<\/td>CC7.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Activit\u00e9 du pipeline CI\/CD int\u00e9gralement journalis\u00e9e<\/td>CC7.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Les journaux incluent les approbations et les contr\u00f4les de s\u00e9curit\u00e9<\/td>CC7.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Collecte centralis\u00e9e des journaux<\/td>CC7.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Conservation des journaux conforme \u00e0 la politique<\/td>CC7.4<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Les preuves soutiennent l’audit et les investigations<\/td>CC2.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>Changements revus et approuv\u00e9s via le pipeline<\/td>CC8.1<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>S\u00e9paration entre les r\u00f4les de build et de d\u00e9ploiement<\/td>CC6.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>Application des politiques via des portes automatis\u00e9es<\/td>CC7.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>Exceptions formellement approuv\u00e9es et journalis\u00e9es<\/td>CC2.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>Gouvernance CI\/CD revue p\u00e9riodiquement<\/td>CC1.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
\n\n\n\n

DORA<\/h2>\n\n\n\n

Le r\u00e8glement sur la r\u00e9silience op\u00e9rationnelle num\u00e9rique (DORA) inscrit le CI\/CD dans les obligations de gestion du risque TIC et de risque li\u00e9 aux tiers d’une entit\u00e9 financi\u00e8re relevant de son p\u00e9rim\u00e8tre. Son accent porte sur la r\u00e9silience, la tra\u00e7abilit\u00e9 et la supervision des prestataires TIC plut\u00f4t que sur des clauses num\u00e9rot\u00e9es ; les r\u00e9f\u00e9rences ci-dessous relient donc les contr\u00f4les aux th\u00e8mes de DORA. Les superviseurs attendent que les pipelines soient couverts par le cadre de risque TIC, avec une r\u00e9silience test\u00e9e et une responsabilit\u00e9 claire des prestataires. Attentes en mati\u00e8re de preuves :<\/strong> la documentation du risque TIC, le registre d’informations relatif aux prestataires tiers, ainsi que les r\u00e9sultats des tests de r\u00e9silience et de sortie.<\/p>\n\n\n\n

Domaine<\/strong><\/th>Contr\u00f4le<\/strong><\/th>DORA (domaine TIC)<\/strong><\/th>Oui<\/strong><\/th>Non<\/strong><\/th><\/tr><\/thead>
IAM<\/td>Moindre privil\u00e8ge appliqu\u00e9 aux comptes de service CI\/CD<\/td>Gestion du risque TIC<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>S\u00e9paration entre identit\u00e9s humaines et identit\u00e9s de pipeline<\/td>Gouvernance<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>Acc\u00e8s bas\u00e9 sur les r\u00f4les pour la configuration du pipeline<\/td>Contr\u00f4le d’acc\u00e8s<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>MFA appliqu\u00e9e aux administrateurs CI\/CD<\/td>S\u00e9curit\u00e9 TIC<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>Approbation requise pour les actions privil\u00e9gi\u00e9es du pipeline<\/td>Gestion des changements<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Secrets non stock\u00e9s dans la gestion de code source<\/td>S\u00e9curit\u00e9 TIC<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Injection des secrets \u00e0 l’ex\u00e9cution<\/td>Gestion du risque TIC<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Secrets limit\u00e9s \u00e0 leur environnement<\/td>Gouvernance<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Rotation r\u00e9guli\u00e8re des secrets<\/td>S\u00e9curit\u00e9 TIC<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Valeurs des secrets exclues des journaux<\/td>Surveillance<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Environnements de build CI\/CD durcis<\/td>R\u00e9silience TIC<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Signature des artefacts appliqu\u00e9e<\/td>Cha\u00eene d’approvisionnement<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Provenance reliant code, pipeline et artefact<\/td>Tra\u00e7abilit\u00e9<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Les d\u00e9p\u00f4ts d’artefacts imposent l’immuabilit\u00e9<\/td>S\u00e9curit\u00e9 TIC<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Promotion limit\u00e9e aux artefacts de confiance<\/td>Gestion des changements<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>Plugins CI\/CD tiers formellement approuv\u00e9s<\/td>Risque li\u00e9 aux tiers<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>Int\u00e9grations \u00e9pingl\u00e9es \u00e0 des versions pr\u00e9cises<\/td>Cha\u00eene d’approvisionnement<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>V\u00e9rification de l’int\u00e9grit\u00e9 des actions externes<\/td>S\u00e9curit\u00e9 TIC<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>Restriction des plugins maintenus par la communaut\u00e9<\/td>Gestion des risques<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>Surveillance de l’usage des int\u00e9grations<\/td>Surveillance<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Activit\u00e9 du pipeline CI\/CD int\u00e9gralement journalis\u00e9e<\/td>Surveillance<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Les journaux incluent les approbations et les contr\u00f4les de s\u00e9curit\u00e9<\/td>Gouvernance<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Collecte centralis\u00e9e des journaux<\/td>Gestion du risque TIC<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Conservation des journaux conforme \u00e0 la politique<\/td>Tenue des registres<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Les preuves soutiennent l’audit et les investigations<\/td>Conformit\u00e9<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>Changements revus et approuv\u00e9s via le pipeline<\/td>Gestion des changements<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>S\u00e9paration entre les r\u00f4les de build et de d\u00e9ploiement<\/td>Gouvernance<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>Application des politiques via des portes automatis\u00e9es<\/td>S\u00e9curit\u00e9 TIC<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>Exceptions formellement approuv\u00e9es et journalis\u00e9es<\/td>Conformit\u00e9<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>Gouvernance CI\/CD revue p\u00e9riodiquement<\/td>Supervision<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
\n\n\n\n

Directive NIS2<\/h2>\n\n\n\n

La directive NIS2 impose aux entit\u00e9s essentielles et importantes de g\u00e9rer le risque de cybers\u00e9curit\u00e9 dans l’ensemble de leurs activit\u00e9s, y compris les syst\u00e8mes de livraison logicielle qui construisent et exp\u00e9dient les changements en production. L’article 21(2) \u00e9num\u00e8re les mesures de base de gestion des risques et l’article 23 r\u00e9git la notification des incidents \u2014 les deux se rattachent nettement aux contr\u00f4les CI\/CD d’acc\u00e8s, de cha\u00eene d’approvisionnement et de journalisation. Les auditeurs attendent que le CI\/CD figure explicitement parmi les mesures de gestion des risques de l’organisation, avec une responsabilit\u00e9 de la direction. Attentes en mati\u00e8re de preuves :<\/strong> la politique de gestion des risques faisant r\u00e9f\u00e9rence au pipeline, les mesures de s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement et les proc\u00e9dures document\u00e9es de traitement des incidents.<\/p>\n\n\n\n

Domaine<\/strong><\/th>Contr\u00f4le<\/strong><\/th>NIS2 (article)<\/strong><\/th>Oui<\/strong><\/th>Non<\/strong><\/th><\/tr><\/thead>
IAM<\/td>Moindre privil\u00e8ge appliqu\u00e9 aux comptes de service CI\/CD<\/td>Art. 21(2)(b)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>S\u00e9paration des identit\u00e9s humaines et des identit\u00e9s de pipeline<\/td>Art. 21(2)(d)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>RBAC appliqu\u00e9 aux syst\u00e8mes CI\/CD<\/td>Art. 21(2)(b)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>MFA appliqu\u00e9e aux administrateurs CI\/CD<\/td>Art. 21(2)(a)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>Les actions privil\u00e9gi\u00e9es requi\u00e8rent une approbation<\/td>Art. 21(2)(d)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Secrets non stock\u00e9s dans le code source<\/td>Art. 21(2)(a)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Injection des secrets \u00e0 l’ex\u00e9cution<\/td>Art. 21(2)(a)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Identifiants limit\u00e9s \u00e0 leur environnement<\/td>Art. 21(2)(b)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Rotation r\u00e9guli\u00e8re des secrets<\/td>Art. 21(2)(c)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Secrets exclus des journaux<\/td>Art. 21(2)(a)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Environnements de build CI\/CD durcis<\/td>Art. 21(2)(e)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Signature des artefacts appliqu\u00e9e<\/td>Art. 21(2)(e)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Provenance et tra\u00e7abilit\u00e9 des artefacts<\/td>Art. 21(2)(e)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Les d\u00e9p\u00f4ts d’artefacts sont immuables<\/td>Art. 21(2)(a)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Seuls les artefacts de confiance sont promus<\/td>Art. 21(2)(d)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>Outils CI\/CD tiers formellement approuv\u00e9s<\/td>Art. 21(2)(e)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>Actions tierces \u00e9pingl\u00e9es \u00e0 des versions<\/td>Art. 21(2)(e)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>Int\u00e9grit\u00e9 des composants CI\/CD externes v\u00e9rifi\u00e9e<\/td>Art. 21(2)(e)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>Plugins communautaires restreints<\/td>Art. 21(2)(b)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>Activit\u00e9 des int\u00e9grations surveill\u00e9e<\/td>Art. 21(2)(c)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Activit\u00e9 du pipeline CI\/CD int\u00e9gralement journalis\u00e9e<\/td>Art. 21(2)(c)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Les journaux incluent les approbations et les \u00e9v\u00e9nements de s\u00e9curit\u00e9<\/td>Art. 21(2)(c)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Journalisation centralis\u00e9e activ\u00e9e<\/td>Art. 21(2)(c)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Conservation des journaux conforme \u00e0 la politique<\/td>Art. 21(2)(c)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Les journaux CI\/CD soutiennent l’investigation des incidents<\/td>Art. 23<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>CI\/CD inclus dans la gestion du risque de cybers\u00e9curit\u00e9<\/td>Art. 21<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>S\u00e9paration des t\u00e2ches appliqu\u00e9e<\/td>Art. 21(2)(d)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>Approbations de changement appliqu\u00e9es via les pipelines<\/td>Art. 21(2)(d)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>Exceptions formellement approuv\u00e9es et document\u00e9es<\/td>Art. 21(2)(b)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>Posture de s\u00e9curit\u00e9 CI\/CD revue p\u00e9riodiquement<\/td>Art. 21(2)(f)<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
\n\n\n\n

PCI DSS<\/h2>\n\n\n\n

PCI DSS s’applique partout o\u00f9 le CI\/CD construit ou d\u00e9ploie des syst\u00e8mes relevant du p\u00e9rim\u00e8tre de l’environnement des donn\u00e9es de titulaires de cartes (CDE). L’exigence 6 (logiciel s\u00e9curis\u00e9 et contr\u00f4le des changements), les exigences 7 et 8 (acc\u00e8s) et l’exigence 10 (journalisation) portent la plupart des obligations pertinentes pour le pipeline. Un \u00e9valuateur de s\u00e9curit\u00e9 qualifi\u00e9 (QSA) teste les contr\u00f4les directement pour chaque syst\u00e8me du p\u00e9rim\u00e8tre et n’acceptera pas une simple d\u00e9claration de politique. Attentes en mati\u00e8re de preuves :<\/strong> les enregistrements de contr\u00f4le des changements, les configurations d’acc\u00e8s et les journaux centralis\u00e9s conserv\u00e9s pendant la p\u00e9riode requise.<\/p>\n\n\n\n

Domaine<\/strong><\/th>Contr\u00f4le<\/strong><\/th>PCI DSS (exigence)<\/strong><\/th>Oui<\/strong><\/th>Non<\/strong><\/th><\/tr><\/thead>
IAM<\/td>Moindre privil\u00e8ge appliqu\u00e9 aux comptes de service CI\/CD<\/td>Req. 7.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>S\u00e9paration des identit\u00e9s humaines et des identit\u00e9s de pipeline<\/td>Req. 7.1<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>RBAC appliqu\u00e9 aux syst\u00e8mes CI\/CD<\/td>Req. 7.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>MFA appliqu\u00e9e aux administrateurs CI\/CD<\/td>Req. 8.4<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
IAM<\/td>Les actions privil\u00e9gi\u00e9es requi\u00e8rent une approbation<\/td>Req. 6.4<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Secrets non stock\u00e9s dans le code source<\/td>Req. 3.4<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Injection des secrets \u00e0 l’ex\u00e9cution<\/td>Req. 3.6<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Identifiants limit\u00e9s \u00e0 leur environnement<\/td>Req. 7.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Rotation r\u00e9guli\u00e8re des secrets<\/td>Req. 3.6.4<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Secrets<\/td>Secrets exclus des journaux<\/td>Req. 10.5<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Environnements de build CI\/CD durcis<\/td>Req. 6.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Signature des artefacts appliqu\u00e9e<\/td>Req. 6.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Provenance et tra\u00e7abilit\u00e9 des artefacts<\/td>Req. 6.4<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Les d\u00e9p\u00f4ts d’artefacts sont immuables<\/td>Req. 6.4<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grit\u00e9 des artefacts<\/td>Seuls les artefacts de confiance sont promus<\/td>Req. 6.4<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>Outils CI\/CD tiers formellement approuv\u00e9s<\/td>Req. 12.8<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>Actions tierces \u00e9pingl\u00e9es \u00e0 des versions<\/td>Req. 6.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>Int\u00e9grit\u00e9 des composants CI\/CD externes v\u00e9rifi\u00e9e<\/td>Req. 6.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>Plugins communautaires restreints<\/td>Req. 6.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Int\u00e9grations tierces<\/td>Activit\u00e9 des int\u00e9grations surveill\u00e9e<\/td>Req. 10.4<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Activit\u00e9 du pipeline CI\/CD int\u00e9gralement journalis\u00e9e<\/td>Req. 10.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Les journaux incluent les approbations et les \u00e9v\u00e9nements de s\u00e9curit\u00e9<\/td>Req. 10.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Journalisation centralis\u00e9e activ\u00e9e<\/td>Req. 10.5<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Conservation des journaux conforme \u00e0 la politique<\/td>Req. 10.7<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Journalisation et surveillance<\/td>Les journaux CI\/CD soutiennent l’investigation des incidents<\/td>Req. 12.10<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>CI\/CD inclus dans la gestion du risque de cybers\u00e9curit\u00e9<\/td>Req. 12.2<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>S\u00e9paration des t\u00e2ches appliqu\u00e9e<\/td>Req. 7.1<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>Approbations de changement appliqu\u00e9es via les pipelines<\/td>Req. 6.4<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>Exceptions formellement approuv\u00e9es et document\u00e9es<\/td>Req. 12.3<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr>
Changements et gouvernance<\/td>Posture de s\u00e9curit\u00e9 CI\/CD revue p\u00e9riodiquement<\/td>Req. 12.11<\/td>\u2b1c<\/td>\u2b1c<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
\n\n\n\n

Utiliser cette cartographie lors d’un audit<\/h2>\n\n\n\n

La cartographie est la plus efficace lorsqu’elle est trait\u00e9e comme un document de travail vivant tout au long d’un cycle d’audit plut\u00f4t que comme une r\u00e9f\u00e9rence statique. Le flux de travail pratique consiste \u00e0 prouver une fois chaque contr\u00f4le de pipeline, puis \u00e0 r\u00e9utiliser cette preuve pour chaque r\u00e9f\u00e9rentiel qu’il satisfait.<\/p>\n\n\n\n