{"id":1242,"date":"2026-02-17T09:58:56","date_gmt":"2026-02-17T08:58:56","guid":{"rendered":"https:\/\/regulated-devsecops.com\/uncategorized\/supplier-governance-ci-cd-controls-checklist-2\/"},"modified":"2026-07-07T10:39:33","modified_gmt":"2026-07-07T09:39:33","slug":"supplier-governance-ci-cd-controls-checklist","status":"publish","type":"post","link":"https:\/\/regulated-devsecops.com\/fr\/regulatory-frameworks\/supplier-governance-ci-cd-controls-checklist\/","title":{"rendered":"Gouvernance des fournisseurs et contr\u00f4les CI\/CD \u2014 la checklist, avec la version auditeur stricte"},"content":{"rendered":"\n

Contr\u00f4les du risque ICT li\u00e9 aux tiers pour les pipelines CI\/CD r\u00e9glement\u00e9s<\/em><\/p>\n\n\n\n

Pourquoi cette checklist existe<\/strong><\/h2>\n\n\n\n

Dans les environnements r\u00e9glement\u00e9s, les fournisseurs ne sont pas \u00ab externes \u00bb. Ils font partie de votre syst\u00e8me de livraison.<\/p>\n\n\n\n

Lorsque des services tiers prennent en charge votre SDLC (h\u00e9bergement Git, CI\/CD en SaaS, registres d’artefacts, environnement d’ex\u00e9cution cloud, scanners de s\u00e9curit\u00e9), les auditeurs attendent de vous que vous d\u00e9montriez :<\/p>\n\n\n\n

    \n
  • La gouvernance des fournisseurs<\/strong> (inventaire, classification, contrats, plans de sortie)<\/li>\n\n\n\n
  • Les contr\u00f4les techniques CI\/CD<\/strong> (isolation des acc\u00e8s, application des politiques, conservation des preuves)<\/li>\n\n\n\n
  • La surveillance continue et la responsabilisation<\/strong> (sous-traitants ult\u00e9rieurs, SLA, incidents)<\/li>\n<\/ul>\n\n\n\n

    Cette checklist est con\u00e7ue pour \u00eatre utilis\u00e9e par les \u00e9quipes s\u00e9curit\u00e9<\/strong>, ing\u00e9nierie<\/strong>, risque<\/strong> et audit<\/strong> comme socle de contr\u00f4les partag\u00e9.<\/p>\n\n\n\n

    P\u00e9rim\u00e8tre : les fournisseurs qui influent g\u00e9n\u00e9ralement sur la CI\/C<\/strong>D<\/h2>\n\n\n\n

    Utilisez cette checklist pour tout fournisseur assurant :<\/p>\n\n\n\n

      \n
    • L’h\u00e9bergement Git (GitHub\/GitLab en SaaS)<\/li>\n\n\n\n
    • La plateforme CI\/CD (GitHub Actions, GitLab CI en SaaS, CircleCI, etc.)<\/li>\n\n\n\n
    • Les runners (runners h\u00e9berg\u00e9s \/ runners partag\u00e9s \/ runners cloud)<\/li>\n\n\n\n
    • Les registres d’artefacts (registres de conteneurs \/ Maven \/ binaires)<\/li>\n\n\n\n
    • Les proxys et miroirs de d\u00e9pendances<\/li>\n\n\n\n
    • L’environnement d’ex\u00e9cution cloud \/ Kubernetes manag\u00e9 \/ PaaS<\/li>\n\n\n\n
    • Les outils de s\u00e9curit\u00e9 en SaaS (SAST\/DAST\/SCA, d\u00e9tection de secrets)<\/li>\n\n\n\n
    • L’observabilit\u00e9 et la journalisation en SaaS (SIEM \/ supervision)<\/li>\n<\/ul>\n\n\n\n

      1) Inventaire des fournisseurs et responsabilit\u00e9s<\/strong><\/h2>\n\n\n\n

      \u2705 Checklist<\/strong><\/p>\n\n\n\n

        \n
      • Un inventaire complet des fournisseurs utilis\u00e9s \u00e0 travers le SDLC\/CI\/CD existe (y compris les usages informels).<\/li>\n\n\n\n
      • Chaque fournisseur dispose d’un responsable m\u00e9tier<\/strong> et d’un responsable technique<\/strong> nomm\u00e9ment d\u00e9sign\u00e9s.<\/li>\n\n\n\n
      • L’inventaire pr\u00e9cise o\u00f9<\/strong> se situe le fournisseur (Git, CI, registre, ex\u00e9cution, journalisation).<\/li>\n\n\n\n
      • La criticit\u00e9 est d\u00e9finie pour chaque fournisseur (impact en cas d’indisponibilit\u00e9\/de compromission).<\/li>\n\n\n\n
      • Les localisations des donn\u00e9es et le mod\u00e8le d’h\u00e9bergement du fournisseur sont document\u00e9s (UE\/US, multi-r\u00e9gion, etc.).<\/li>\n\n\n\n
      • Les chemins d’acc\u00e8s des tiers \u00e0 vos syst\u00e8mes sont recens\u00e9s (SSO, jetons d’API, agents, webhooks).<\/li>\n<\/ul>\n\n\n\n

        Exemples de preuves<\/strong><\/p>\n\n\n\n

          \n
        • Tableur d’inventaire des fournisseurs \/ entr\u00e9e de CMDB<\/li>\n\n\n\n
        • Cartographie d’architecture montrant les points de contact fournisseurs<\/li>\n\n\n\n
        • Registre des responsabilit\u00e9s (RACI)<\/li>\n<\/ul>\n\n\n\n

          2) Classification du risque fournisseur<\/strong><\/h2>\n\n\n\n

          \u2705 Checklist<\/strong><\/p>\n\n\n\n

            \n
          • Une classification formelle du risque existe (Critique \/ \u00c9lev\u00e9 \/ Moyen \/ Faible).<\/li>\n\n\n\n
          • La notation du risque int\u00e8gre la confidentialit\u00e9, l’int\u00e9grit\u00e9, la disponibilit\u00e9<\/strong> et l’impact r\u00e9glementaire<\/strong>.<\/li>\n\n\n\n
          • Les fournisseurs de CI\/CD et d’artefacts sont trait\u00e9s comme critiques pour l’int\u00e9grit\u00e9<\/strong> par d\u00e9faut.<\/li>\n\n\n\n
          • La notation du risque conditionne les exigences de contr\u00f4le obligatoires (par exemple, une journalisation renforc\u00e9e, un plan de sortie).<\/li>\n\n\n\n
          • La notation du risque est r\u00e9examin\u00e9e au moins une fois par an ou lors d’un changement majeur.<\/li>\n<\/ul>\n\n\n\n

            Exemples de preuves<\/strong><\/p>\n\n\n\n

              \n
            • Rapport d’\u00e9valuation du risque \/ questionnaire<\/li>\n\n\n\n
            • M\u00e9thodologie de risque tiers<\/li>\n\n\n\n
            • Horodatages et approbations des revues<\/li>\n<\/ul>\n\n\n\n

              3) Socle contractuel (s\u00e9curit\u00e9 + auditabilit\u00e9)<\/strong><\/h2>\n\n\n\n

              \u2705 Checklist<\/strong><\/p>\n\n\n\n

                \n
              • Le contrat pr\u00e9voit des obligations de s\u00e9curit\u00e9 (contr\u00f4les de base, gestion des vuln\u00e9rabilit\u00e9s, chiffrement).<\/li>\n\n\n\n
              • Le contrat pr\u00e9voit des droits d’audit<\/strong> ou un m\u00e9canisme d’assurance \u00e9quivalent.<\/li>\n\n\n\n
              • Le contrat pr\u00e9voit des d\u00e9lais de notification des violations\/incidents (y compris les crit\u00e8res de mat\u00e9rialit\u00e9).<\/li>\n\n\n\n
              • Le contrat pr\u00e9voit des obligations de divulgation des sous-traitants ult\u00e9rieurs.<\/li>\n\n\n\n
              • Le contrat pr\u00e9voit des exigences de conservation et de suppression des donn\u00e9es.<\/li>\n\n\n\n
              • Le contrat pr\u00e9voit des attentes de continuit\u00e9 de service (PCA\/PRA).<\/li>\n\n\n\n
              • Le contrat pr\u00e9voit des modalit\u00e9s de sortie\/transition (export des donn\u00e9es, accompagnement \u00e0 la migration).<\/li>\n<\/ul>\n\n\n\n

                Exemples de preuves<\/strong><\/p>\n\n\n\n

                  \n
                • Clauses contractuelles sign\u00e9es (annexe de s\u00e9curit\u00e9)<\/li>\n\n\n\n
                • Registre des sous-traitants ult\u00e9rieurs<\/li>\n\n\n\n
                • Clause de SLA de notification d’incident<\/li>\n<\/ul>\n\n\n\n

                  4) Identit\u00e9, acc\u00e8s et isolation (application technique)<\/strong><\/h2>\n\n\n\n

                  \u2705 Checklist<\/strong><\/p>\n\n\n\n

                    \n
                  • Le SSO est impos\u00e9 pour les consoles d’administration des fournisseurs lorsque c’est possible.<\/li>\n\n\n\n
                  • La MFA est obligatoire pour les comptes \u00e0 privil\u00e8ges.<\/li>\n\n\n\n
                  • Les r\u00f4les sont minimaux et align\u00e9s sur les besoins des postes (moindre privil\u00e8ge).<\/li>\n\n\n\n
                  • Des revues d’acc\u00e8s sont men\u00e9es r\u00e9guli\u00e8rement (trimestriellement pour les fournisseurs critiques).<\/li>\n\n\n\n
                  • Les runners CI\/CD sont isol\u00e9s (pas de runners partag\u00e9s pour les charges de travail sensibles).<\/li>\n\n\n\n
                  • Les secrets ne sont pas stock\u00e9s dans les interfaces des fournisseurs, sauf de mani\u00e8re contr\u00f4l\u00e9e (coffre-fort\/injection).<\/li>\n\n\n\n
                  • Les jetons des tiers sont limit\u00e9s en port\u00e9e, renouvel\u00e9s et surveill\u00e9s.<\/li>\n<\/ul>\n\n\n\n

                    Exemples de preuves<\/strong><\/p>\n\n\n\n

                      \n
                    • Exports \/ captures d’\u00e9cran des politiques IAM<\/li>\n\n\n\n
                    • Journaux des revues d’acc\u00e8s<\/li>\n\n\n\n
                    • Configuration des runners d\u00e9montrant l’isolation<\/li>\n\n\n\n
                    • Politique de rotation des jetons + preuve<\/li>\n<\/ul>\n\n\n\n

                      5) Application des politiques du pipeline (des gates qui ne peuvent \u00eatre contourn\u00e9s)<\/strong><\/h2>\n\n\n\n

                      \u2705 Checklist<\/strong><\/p>\n\n\n\n

                        \n
                      • Des approbations obligatoires existent pour les d\u00e9ploiements en production.<\/li>\n\n\n\n
                      • Des gates de politique bloquent les mises en production en cas d’\u00e9chec critique des scans (SAST\/SCA\/DAST selon le cas).<\/li>\n\n\n\n
                      • La signature des artefacts est impos\u00e9e avant la promotion d’une mise en production.<\/li>\n\n\n\n
                      • La g\u00e9n\u00e9ration de la SBOM est automatis\u00e9e pour les mises en production.<\/li>\n\n\n\n
                      • Les branches prot\u00e9g\u00e9es \/ r\u00e8gles de fusion sont impos\u00e9es pour les d\u00e9p\u00f4ts r\u00e9glement\u00e9s.<\/li>\n\n\n\n
                      • Les d\u00e9rogations sont encadr\u00e9es (limit\u00e9es dans le temps, approuv\u00e9es, document\u00e9es).<\/li>\n\n\n\n
                      • Les administrateurs du pipeline ne peuvent pas d\u00e9sactiver les contr\u00f4les en silence (modifications trac\u00e9es).<\/li>\n<\/ul>\n\n\n\n

                        Exemples de preuves<\/strong><\/p>\n\n\n\n

                          \n
                        • Configuration du pipeline CI\/CD (gates)<\/li>\n\n\n\n
                        • Configuration des branches prot\u00e9g\u00e9es<\/li>\n\n\n\n
                        • Enregistrements des approbations de mise en production<\/li>\n\n\n\n
                        • Registre des d\u00e9rogations<\/li>\n<\/ul>\n\n\n\n

                          6) G\u00e9n\u00e9ration et conservation des preuves (pr\u00eat pour l’audit par conception)<\/strong><\/h2>\n\n\n\n

                          \u2705 Checklist<\/strong><\/p>\n\n\n\n

                            \n
                          • Les journaux CI\/CD sont conserv\u00e9s pendant une dur\u00e9e d\u00e9finie, align\u00e9e sur les exigences.<\/li>\n\n\n\n
                          • Les \u00e9v\u00e9nements d’approbation sont journalis\u00e9s et exportables.<\/li>\n\n\n\n
                          • Les r\u00e9sultats des scans de s\u00e9curit\u00e9 sont stock\u00e9s de mani\u00e8re centralis\u00e9e (pas seulement dans les tableaux de bord des fournisseurs).<\/li>\n\n\n\n
                          • La tra\u00e7abilit\u00e9 existe : commit \u2192 ex\u00e9cution du pipeline \u2192 artefact \u2192 d\u00e9ploiement \u2192 production.<\/li>\n\n\n\n
                          • Le magasin de preuves est inviolable ou \u00e0 acc\u00e8s contr\u00f4l\u00e9.<\/li>\n\n\n\n
                          • Les exports d’audit sont test\u00e9s (capacit\u00e9 \u00e0 produire rapidement des preuves).<\/li>\n<\/ul>\n\n\n\n

                            Exemples de preuves<\/strong><\/p>\n\n\n\n

                              \n
                            • Politique de conservation des preuves<\/li>\n\n\n\n
                            • Param\u00e8tres de conservation du SIEM \/ configuration d’archivage<\/li>\n\n\n\n
                            • Rapport de tra\u00e7abilit\u00e9 (mise en production \u00e9chantillon)<\/li>\n\n\n\n
                            • Compte rendu de test d’export (\u00ab exercice d’audit \u00bb)<\/li>\n<\/ul>\n\n\n\n

                              7) Surveillance, incidents et responsabilit\u00e9 du fournisseur<\/strong><\/h2>\n\n\n\n

                              \u2705 Checklist<\/strong><\/p>\n\n\n\n

                                \n
                              • Le fournisseur fournit des notifications d’incident de s\u00e9curit\u00e9 dans le SLA d\u00e9fini.<\/li>\n\n\n\n
                              • Vous surveillez l’\u00e9tat\/la disponibilit\u00e9 du fournisseur et int\u00e9grez ces signaux dans vos flux op\u00e9rationnels.<\/li>\n\n\n\n
                              • Les anomalies du pipeline CI\/CD sont surveill\u00e9es (workflows inattendus, nouveaux jetons, nouveaux runners).<\/li>\n\n\n\n
                              • Les avis de s\u00e9curit\u00e9 du fournisseur sont suivis et \u00e9valu\u00e9s.<\/li>\n\n\n\n
                              • Vous tenez \u00e0 jour un manuel interne de gestion des incidents r\u00e9f\u00e9ren\u00e7ant les voies d’escalade du fournisseur.<\/li>\n\n\n\n
                              • Vous pouvez corr\u00e9ler les \u00e9v\u00e9nements du pipeline et les \u00e9v\u00e9nements du fournisseur (chronologie partag\u00e9e).<\/li>\n<\/ul>\n\n\n\n

                                Exemples de preuves<\/strong><\/p>\n\n\n\n

                                  \n
                                • Tableaux de bord de surveillance + r\u00e8gles d’alerte<\/li>\n\n\n\n
                                • Plan de r\u00e9ponse aux incidents avec les contacts fournisseurs<\/li>\n\n\n\n
                                • Post-mortems mentionnant l’implication du fournisseur<\/li>\n\n\n\n
                                • Tickets de suivi des avis de s\u00e9curit\u00e9<\/li>\n<\/ul>\n\n\n\n

                                  8) Visibilit\u00e9 sur les sous-traitants ult\u00e9rieurs (profondeur de la cha\u00eene d’approvisionnement)<\/strong><\/h2>\n\n\n\n

                                  \u2705 Checklist<\/strong><\/p>\n\n\n\n

                                    \n
                                  • Le fournisseur fournit une liste \u00e0 jour de ses sous-traitants ult\u00e9rieurs.<\/li>\n\n\n\n
                                  • Les changements de sous-traitants ult\u00e9rieurs sont notifi\u00e9s et r\u00e9examin\u00e9s.<\/li>\n\n\n\n
                                  • Les sous-traitants ult\u00e9rieurs critiques font l’objet d’une \u00e9valuation du risque.<\/li>\n\n\n\n
                                  • Les flux de donn\u00e9es impliquant des sous-traitants ult\u00e9rieurs sont compris.<\/li>\n\n\n\n
                                  • Les contrats pr\u00e9voient des obligations pour les sous-traitants ult\u00e9rieurs (s\u00e9curit\u00e9 & notification).<\/li>\n<\/ul>\n\n\n\n

                                    Exemples de preuves<\/strong><\/p>\n\n\n\n

                                      \n
                                    • Export de la liste des sous-traitants ult\u00e9rieurs<\/li>\n\n\n\n
                                    • Compte rendu de revue du risque<\/li>\n\n\n\n
                                    • Diagrammes de flux de donn\u00e9es<\/li>\n<\/ul>\n\n\n\n

                                      9) Test de la strat\u00e9gie de sortie (r\u00e9alisme du PRA & du PCA)<\/strong><\/h2>\n\n\n\n

                                      \u2705 Checklist<\/strong><\/p>\n\n\n\n

                                        \n
                                      • Vous disposez d’un plan de sortie document\u00e9 pour chaque fournisseur CI\/CD critique.<\/li>\n\n\n\n
                                      • Vous pouvez exporter le code source, les d\u00e9finitions de pipeline, les artefacts et les journaux.<\/li>\n\n\n\n
                                      • Vous disposez d’un chemin de migration test\u00e9 (CI\/CD, registre, mod\u00e8le de runner alternatifs).<\/li>\n\n\n\n
                                      • Vous menez des tests de sortie (exercices sur table + exercices techniques) \u00e0 intervalles d\u00e9finis.<\/li>\n\n\n\n
                                      • Les attentes de RTO\/RPO sont document\u00e9es et valid\u00e9es par des preuves.<\/li>\n<\/ul>\n\n\n\n

                                        Exemples de preuves<\/strong><\/p>\n\n\n\n

                                          \n
                                        • Document de plan de sortie<\/li>\n\n\n\n
                                        • Journaux et captures d’\u00e9cran des tests d’export<\/li>\n\n\n\n
                                        • Rapport d’exercice de PRA<\/li>\n\n\n\n
                                        • Preuve de concept de migration<\/li>\n<\/ul>\n\n\n\n
                                          \n\n\n\n

                                          Tableau d’audit (Oui \/ Non \/ Notes)<\/strong><\/h1>\n\n\n\n
                                          Domaine de contr\u00f4le<\/strong><\/th>V\u00e9rification<\/strong><\/th>Oui<\/strong><\/th>Non<\/strong><\/th>Notes \/ Lien vers la preuve<\/strong><\/th><\/tr><\/thead>
                                          Inventaire<\/td>Inventaire des fournisseurs complet (SDLC\/CI\/CD)<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Responsabilit\u00e9s<\/td>Responsable m\u00e9tier + technique d\u00e9sign\u00e9s<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Classification<\/td>Hi\u00e9rarchisation du risque appliqu\u00e9e aux fournisseurs CI\/CD<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Contrats<\/td>Obligations de s\u00e9curit\u00e9 dans le contrat<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Contrats<\/td>Droits d’audit \/ m\u00e9canisme d’assurance<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Contrats<\/td>SLA de notification d’incident d\u00e9fini<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Contrats<\/td>Clauses de sortie incluses<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Acc\u00e8s<\/td>SSO impos\u00e9 (lorsque c’est possible)<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Acc\u00e8s<\/td>MFA obligatoire pour les comptes \u00e0 privil\u00e8ges<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Acc\u00e8s<\/td>R\u00f4les \u00e0 moindre privil\u00e8ge impos\u00e9s<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Runners<\/td>Isolation des runners (pas de runners partag\u00e9s)<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Secrets<\/td>Secrets inject\u00e9s \u00e0 l’ex\u00e9cution (coffre-fort)<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Gates de politique<\/td>Approbations obligatoires pour la production<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Gates de politique<\/td>Gates bloquants en cas de findings critiques<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Int\u00e9grit\u00e9<\/td>Signature des artefacts impos\u00e9e<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Int\u00e9grit\u00e9<\/td>SBOM g\u00e9n\u00e9r\u00e9e automatiquement<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Preuves<\/td>Journaux conserv\u00e9s selon la politique<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Preuves<\/td>Enregistrements d’approbation exportables<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Preuves<\/td>Tra\u00e7abilit\u00e9 commit\u2192prod d\u00e9montr\u00e9e<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Surveillance<\/td>Anomalies fournisseur + pipeline surveill\u00e9es<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Sous-traitants ult\u00e9rieurs<\/td>Visibilit\u00e9 + revue des sous-traitants ult\u00e9rieurs<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Test de sortie<\/td>Plan de sortie test\u00e9 avec preuves<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
                                          \n\n\n\n

                                          La version auditeur stricte<\/strong><\/h2>\n\n\n\n

                                          La checklist ci-dessus refl\u00e8te un socle sain. Un auditeur exigeant \u2014 en particulier dans le cadre de DORA, de NIS2 ou d’une mission ISO 27001 ou SOC 2 rigoureuse \u2014 va plus loin : chaque contr\u00f4le doit porter un responsable d\u00e9sign\u00e9, une r\u00e9f\u00e9rence de preuve pr\u00e9cise et une d\u00e9cision document\u00e9e \u00e0 l’issue de la revue. Cette grille plus stricte r\u00e9organise les m\u00eames attentes dans un format d’\u00e9valuation qu’un auditeur peut compl\u00e9ter en s\u00e9ance, en consignant une r\u00e9f\u00e9rence de preuve face \u00e0 chaque ligne plut\u00f4t qu’en se contentant d’une assurance verbale.<\/p>\n\n\n\n

                                          Utilisez la colonne R\u00e9f\u00e9rence de preuve<\/strong> pour pointer vers l’artefact exact \u2014 un export de journaux, une capture d’\u00e9cran de configuration, une clause contractuelle sign\u00e9e ou un ticket \u2014 qui atteste du contr\u00f4le. Une r\u00e9f\u00e9rence laiss\u00e9e vide est trait\u00e9e comme un \u00e9cart, non comme une validation.<\/p>\n\n\n\n

                                          Section A \u2014 Gouvernance & inventaire<\/strong><\/h2>\n\n\n\n

                                          Un auditeur strict commence par confirmer que la population de fournisseurs est enti\u00e8rement connue et sous responsabilit\u00e9 d\u00e9sign\u00e9e. Les lacunes \u00e0 ce niveau minent tous les contr\u00f4les en aval, car un fournisseur que vous n’avez pas inventori\u00e9 ne peut \u00eatre gouvern\u00e9, surveill\u00e9 ni faire l’objet d’une sortie.<\/p>\n\n\n\n

                                          Contr\u00f4le<\/strong><\/th>Oui<\/strong><\/th>Non<\/strong><\/th>R\u00e9f\u00e9rence de preuve<\/strong><\/th><\/tr><\/thead>
                                          Un inventaire complet des fournisseurs li\u00e9s \u00e0 la CI\/CD existe<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Classification de la criticit\u00e9 des fournisseurs d\u00e9finie<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Responsable m\u00e9tier formellement d\u00e9sign\u00e9<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Responsable technique formellement d\u00e9sign\u00e9<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          \u00c9valuation annuelle du risque r\u00e9alis\u00e9e<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Liste des sous-traitants ult\u00e9rieurs document\u00e9e<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

                                          Section B \u2014 Contr\u00f4les contractuels & r\u00e9glementaires<\/strong><\/h2>\n\n\n\n

                                          Au-del\u00e0 des mesures techniques, le contrat doit vous accorder des droits contraignants. L’auditeur v\u00e9rifie que les obligations d’assurance, de notification des violations, de localisation des donn\u00e9es et de sortie sont inscrites dans l’accord, et non suppos\u00e9es \u00e0 partir du discours commercial d’un fournisseur.<\/p>\n\n\n\n

                                          Contr\u00f4le<\/strong><\/th>Oui<\/strong><\/th>Non<\/strong><\/th>R\u00e9f\u00e9rence de preuve<\/strong><\/th><\/tr><\/thead>
                                          Obligations de s\u00e9curit\u00e9 incluses dans le contrat<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          SLA de notification d’incident d\u00e9fini<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Clause de droits d’audit pr\u00e9sente<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Transparence sur la localisation des donn\u00e9es incluse<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Clause de strat\u00e9gie de sortie d\u00e9finie contractuellement<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

                                          Section C \u2014 Application technique en CI\/CD<\/strong><\/h2>\n\n\n\n

                                          Ici, l’auditeur v\u00e9rifie que la gouvernance est r\u00e9ellement appliqu\u00e9e dans le pipeline, et pas seulement document\u00e9e. Chaque contr\u00f4le doit \u00eatre d\u00e9montrable dans la configuration en vigueur.<\/p>\n\n\n\n

                                          Contr\u00f4le<\/strong><\/th>Oui<\/strong><\/th>Non<\/strong><\/th>R\u00e9f\u00e9rence de preuve<\/strong><\/th><\/tr><\/thead>
                                          SSO impos\u00e9 sur les comptes d’administration CI\/CD<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          MFA obligatoire pour les r\u00f4les \u00e0 privil\u00e8ges<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Acc\u00e8s bas\u00e9 sur les r\u00f4les avec moindre privil\u00e8ge<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Branches prot\u00e9g\u00e9es impos\u00e9es<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Approbations de production obligatoires configur\u00e9es<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Les gates de politique bloquent les findings critiques<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Signature des artefacts impos\u00e9e<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          G\u00e9n\u00e9ration de la SBOM automatis\u00e9e<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Isolation des runners mise en \u0153uvre<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

                                          Section D \u2014 Preuves & conservation<\/strong><\/h2>\n\n\n\n

                                          L’auditeur confirme que vous pouvez produire des preuves \u00e0 la demande et qu’elles sont conserv\u00e9es suffisamment longtemps pour couvrir toute la p\u00e9riode de revue, ind\u00e9pendamment du tableau de bord d’un fournisseur particulier.<\/p>\n\n\n\n

                                          Contr\u00f4le<\/strong><\/th>Oui<\/strong><\/th>Non<\/strong><\/th>R\u00e9f\u00e9rence de preuve<\/strong><\/th><\/tr><\/thead>
                                          Journaux CI\/CD conserv\u00e9s selon la politique<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Journaux d’approbation exportables<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          R\u00e9sultats des scans de s\u00e9curit\u00e9 archiv\u00e9s de mani\u00e8re centralis\u00e9e<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Tra\u00e7abilit\u00e9 compl\u00e8te commit \u2192 artefact \u2192 prod<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Dur\u00e9e de conservation des preuves document\u00e9e<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

                                          Section E \u2014 Strat\u00e9gie de sortie & tests de PRA<\/strong><\/h2>\n\n\n\n

                                          Enfin, l’auditeur cherche la preuve que la d\u00e9pendance au fournisseur a \u00e9t\u00e9 test\u00e9e, et pas seulement planifi\u00e9e \u2014 des chemins d’export et de migration qui ont r\u00e9ellement \u00e9t\u00e9 exerc\u00e9s et \u00e9tay\u00e9s par des preuves.<\/p>\n\n\n\n

                                          Contr\u00f4le<\/strong><\/th>Oui<\/strong><\/th>Non<\/strong><\/th>R\u00e9f\u00e9rence de preuve<\/strong><\/th><\/tr><\/thead>
                                          Un plan de sortie document\u00e9 existe<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Export du code test\u00e9<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Export de la configuration du pipeline test\u00e9<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Export des artefacts test\u00e9<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr>
                                          Exercice de PRA \/ migration r\u00e9alis\u00e9<\/td>\u2610<\/td>\u2610<\/td><\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
                                          \n\n\n\n

                                          Bloc de d\u00e9cision de l’auditeur<\/strong><\/h2>\n\n\n\n

                                          Une revue exigeante se conclut par une d\u00e9cision document\u00e9e plut\u00f4t que par une liste ouverte d’observations. Consigner ces quatre lignes transforme la grille en une conclusion d’audit d\u00e9fendable :<\/p>\n\n\n\n