{"id":1383,"date":"2026-03-25T16:59:33","date_gmt":"2026-03-25T15:59:33","guid":{"rendered":"https:\/\/regulated-devsecops.com\/uncategorized\/iso-27001-a-14-deep-dive-system-development-and-maintenance-in-ci-cd-2\/"},"modified":"2026-03-26T00:20:40","modified_gmt":"2026-03-25T23:20:40","slug":"iso-27001-a-14-deep-dive-system-development-and-maintenance-in-ci-cd","status":"publish","type":"post","link":"https:\/\/regulated-devsecops.com\/fr\/audit-evidence\/iso-27001-a-14-deep-dive-system-development-and-maintenance-in-ci-cd\/","title":{"rendered":"ISO 27001 A.14 en profondeur \u2014 D\u00e9veloppement et maintenance des syst\u00e8mes dans CI\/CD"},"content":{"rendered":"<h2>Introduction : pourquoi A.14 est le contr\u00f4le fondamental pour CI\/CD<\/h2>\n<p>L&rsquo;Annexe A.14 \u2014 <em>Acquisition, d\u00e9veloppement et maintenance des syst\u00e8mes<\/em> \u2014 est le domaine de contr\u00f4le le plus pertinent pour les organisations exploitant des pipelines CI\/CD. Il r\u00e9git directement la mani\u00e8re dont les syst\u00e8mes sont d\u00e9velopp\u00e9s, modifi\u00e9s, test\u00e9s et accept\u00e9s en production. Pour les auditeurs et les responsables conformit\u00e9, c&rsquo;est dans A.14 que vous trouverez la plus grande densit\u00e9 d&rsquo;exigences de contr\u00f4le sp\u00e9cifiques \u00e0 CI\/CD et, souvent, la plus grande densit\u00e9 de non-conformit\u00e9s.<\/p>\n<p>Cette analyse approfondie examine chaque sous-contr\u00f4le A.14 dans le contexte des pipelines CI\/CD, fournissant des orientations claires sur ce \u00e0 quoi ressemble la conformit\u00e9, quelles preuves sont requises et ce qui constitue un signal d&rsquo;alerte lors d&rsquo;un audit.<\/p>\n<h2>A.14.1 \u2014 Exigences de s\u00e9curit\u00e9 des syst\u00e8mes d&rsquo;information<\/h2>\n<h3>A.14.1.1 \u2014 Analyse et sp\u00e9cification des exigences de s\u00e9curit\u00e9 de l&rsquo;information<\/h3>\n<p><strong>Ce que cela signifie pour CI\/CD :<\/strong> Avant tout d\u00e9veloppement ou acquisition de syst\u00e8me, les exigences de s\u00e9curit\u00e9 doivent \u00eatre d\u00e9finies. Dans un contexte CI\/CD, cela signifie que les exigences de s\u00e9curit\u00e9 sont sp\u00e9cifi\u00e9es <em>avant<\/em> le d\u00e9but du d\u00e9veloppement et sont tra\u00e7ables \u00e0 travers le pipeline \u2014 de la d\u00e9finition des exigences \u00e0 la v\u00e9rification du d\u00e9ploiement.<\/p>\n<p><strong>Preuves d\u00e9montrant la conformit\u00e9 :<\/strong><\/p>\n<ul>\n<li>Exigences de s\u00e9curit\u00e9 document\u00e9es dans les user stories, crit\u00e8res d&rsquo;acceptation ou sp\u00e9cifications d\u00e9di\u00e9es d&rsquo;exigences de s\u00e9curit\u00e9<\/li>\n<li>Tra\u00e7abilit\u00e9 des exigences de s\u00e9curit\u00e9 vers les cas de test appliqu\u00e9s par le pipeline<\/li>\n<li>Registres montrant que les exigences de s\u00e9curit\u00e9 ont \u00e9t\u00e9 revues et approuv\u00e9es avant le d\u00e9but du d\u00e9veloppement<\/li>\n<\/ul>\n<p><strong>\u00c0 quoi ressemble la non-conformit\u00e9 :<\/strong> Les exigences de s\u00e9curit\u00e9 sont absentes, informelles ou ajout\u00e9es r\u00e9troactivement apr\u00e8s le d\u00e9veloppement. Aucun lien entre les exigences \u00e9nonc\u00e9es et la v\u00e9rification automatis\u00e9e dans le pipeline.<\/p>\n<h3>A.14.1.2 \u2014 S\u00e9curisation des services applicatifs sur les r\u00e9seaux publics<\/h3>\n<p><strong>Ce que cela signifie pour CI\/CD :<\/strong> Les applications d\u00e9ploy\u00e9es via des pipelines CI\/CD vers des environnements accessibles au public doivent disposer de contr\u00f4les d&rsquo;int\u00e9grit\u00e9 des donn\u00e9es, de confidentialit\u00e9 et de non-r\u00e9pudiation. Le pipeline lui-m\u00eame doit v\u00e9rifier que les configurations TLS, les contr\u00f4les de s\u00e9curit\u00e9 des API et les m\u00e9canismes d&rsquo;authentification sont correctement configur\u00e9s avant le d\u00e9ploiement.<\/p>\n<p><strong>Preuves d\u00e9montrant la conformit\u00e9 :<\/strong><\/p>\n<ul>\n<li>\u00c9tapes de pipeline v\u00e9rifiant la configuration TLS et la validit\u00e9 des certificats<\/li>\n<li>V\u00e9rifications automatis\u00e9es des en-t\u00eates de s\u00e9curit\u00e9 et de la s\u00e9curit\u00e9 du transport<\/li>\n<li>Registres de v\u00e9rification de la configuration de s\u00e9curit\u00e9 avant le d\u00e9ploiement public<\/li>\n<\/ul>\n<p><strong>\u00c0 quoi ressemble la non-conformit\u00e9 :<\/strong> Applications d\u00e9ploy\u00e9es sur des r\u00e9seaux publics sans v\u00e9rification automatis\u00e9e de la configuration de s\u00e9curit\u00e9. Pas de v\u00e9rifications pr\u00e9-d\u00e9ploiement pour la s\u00e9curit\u00e9 du transport.<\/p>\n<h3>A.14.1.3 \u2014 Protection des transactions des services applicatifs<\/h3>\n<p><strong>Ce que cela signifie pour CI\/CD :<\/strong> Lorsque les applications g\u00e8rent des transactions, le pipeline doit inclure la v\u00e9rification que les contr\u00f4les d&rsquo;int\u00e9grit\u00e9 transactionnelle (transmission compl\u00e8te, validation du routage, int\u00e9grit\u00e9 des messages, confidentialit\u00e9) sont en place et test\u00e9s.<\/p>\n<p><strong>Preuves d\u00e9montrant la conformit\u00e9 :<\/strong><\/p>\n<ul>\n<li>Suites de tests d&rsquo;int\u00e9gration couvrant les sc\u00e9narios d&rsquo;int\u00e9grit\u00e9 transactionnelle ex\u00e9cut\u00e9es dans le pipeline<\/li>\n<li>Registres des r\u00e9sultats de tests de s\u00e9curit\u00e9 transactionnelle conserv\u00e9s avec l&rsquo;historique d&rsquo;ex\u00e9cution du pipeline<\/li>\n<\/ul>\n<p><strong>\u00c0 quoi ressemble la non-conformit\u00e9 :<\/strong> Applications g\u00e9rant des transactions d\u00e9ploy\u00e9es sans tests d&rsquo;int\u00e9gration des contr\u00f4les de s\u00e9curit\u00e9 transactionnelle.<\/p>\n<h2>A.14.2 \u2014 S\u00e9curit\u00e9 dans les processus de d\u00e9veloppement et de support<\/h2>\n<h3>A.14.2.1 \u2014 Politique de d\u00e9veloppement s\u00e9curis\u00e9<\/h3>\n<p><strong>Ce que cela signifie pour CI\/CD :<\/strong> L&rsquo;organisation doit disposer d&rsquo;une politique document\u00e9e r\u00e9gissant les pratiques de d\u00e9veloppement s\u00e9curis\u00e9. Dans les environnements CI\/CD, cette politique doit couvrir les processus automatis\u00e9s de build et de d\u00e9ploiement, les contr\u00f4les de s\u00e9curit\u00e9 des pipelines et l&rsquo;int\u00e9gration des tests de s\u00e9curit\u00e9 dans le pipeline de livraison.<\/p>\n<p><strong>Preuves d\u00e9montrant la conformit\u00e9 :<\/strong><\/p>\n<ul>\n<li>Politique de d\u00e9veloppement s\u00e9curis\u00e9 approuv\u00e9e couvrant explicitement les processus CI\/CD<\/li>\n<li>Registres de revue de politique montrant des mises \u00e0 jour r\u00e9guli\u00e8res<\/li>\n<li>Preuves de communication de la politique \u00e0 tous les utilisateurs et administrateurs de pipeline<\/li>\n<li>Registres de formation du personnel impliqu\u00e9 dans la gestion des pipelines<\/li>\n<\/ul>\n<p><strong>\u00c0 quoi ressemble la non-conformit\u00e9 :<\/strong> La politique de d\u00e9veloppement s\u00e9curis\u00e9 existe mais ne fait aucune r\u00e9f\u00e9rence aux pipelines CI\/CD ou aux processus automatis\u00e9s. La politique n&rsquo;a pas \u00e9t\u00e9 revue depuis l&rsquo;adoption de CI\/CD.<\/p>\n<h3>A.14.2.2 \u2014 Proc\u00e9dures de contr\u00f4le des changements syst\u00e8me<\/h3>\n<p><strong>Ce que cela signifie pour CI\/CD :<\/strong> C&rsquo;est un contr\u00f4le pivot pour CI\/CD. Tous les changements de syst\u00e8mes doivent suivre des proc\u00e9dures formelles de contr\u00f4le des changements. En CI\/CD, le pipeline <em>est<\/em> le m\u00e9canisme de contr\u00f4le des changements \u2014 mais il doit appliquer des proc\u00e9dures document\u00e9es incluant les exigences d&rsquo;approbation, l&rsquo;\u00e9valuation d&rsquo;impact, la v\u00e9rification des tests et la capacit\u00e9 de rollback.<\/p>\n<p><strong>Preuves d\u00e9montrant la conformit\u00e9 :<\/strong><\/p>\n<ul>\n<li>Proc\u00e9dures de contr\u00f4le des changements r\u00e9f\u00e9ren\u00e7ant le pipeline CI\/CD comme m\u00e9canisme d&rsquo;application<\/li>\n<li>Configurations de pipeline montrant les portes d&rsquo;approbation obligatoires avant le d\u00e9ploiement en production<\/li>\n<li>Pistes d&rsquo;audit de tous les changements incluant qui a initi\u00e9, qui a approuv\u00e9, ce qui a \u00e9t\u00e9 test\u00e9 et le r\u00e9sultat du d\u00e9ploiement<\/li>\n<li>Preuves que les proc\u00e9dures de changements d&rsquo;urgence sont d\u00e9finies et suivies (avec approbation r\u00e9trospective)<\/li>\n<\/ul>\n<p><strong>\u00c0 quoi ressemble la non-conformit\u00e9 :<\/strong> Les d\u00e9veloppeurs peuvent pousser des changements directement en production en contournant le pipeline. Pas de portes d&rsquo;approbation dans le pipeline. Les changements d&rsquo;urgence n&rsquo;ont pas de processus de revue r\u00e9trospective.<\/p>\n<h3>A.14.2.3 \u2014 Revue technique des applications apr\u00e8s des changements de plateforme d&rsquo;exploitation<\/h3>\n<p><strong>Ce que cela signifie pour CI\/CD :<\/strong> Lorsque la plateforme sous-jacente change (mises \u00e0 jour du syst\u00e8me d&rsquo;exploitation, mises \u00e0 niveau du middleware, changements d&rsquo;infrastructure), les applications doivent \u00eatre revues et test\u00e9es. Les pipelines CI\/CD doivent d\u00e9clencher des tests de r\u00e9gression lorsque les d\u00e9pendances de plateforme changent.<\/p>\n<p><strong>Preuves d\u00e9montrant la conformit\u00e9 :<\/strong><\/p>\n<ul>\n<li>Proc\u00e9dure document\u00e9e d&rsquo;\u00e9valuation d&rsquo;impact des changements de plateforme<\/li>\n<li>Registres des ex\u00e9cutions de tests de r\u00e9gression d\u00e9clench\u00e9s par des changements de plateforme<\/li>\n<li>Preuves que les images de base et les d\u00e9pendances de plateforme du pipeline sont versionn\u00e9es avec suivi des changements<\/li>\n<\/ul>\n<p><strong>\u00c0 quoi ressemble la non-conformit\u00e9 :<\/strong> Les changements de plateforme sont effectu\u00e9s sans d\u00e9clencher de tests de r\u00e9gression applicatifs. Pas de suivi des versions des d\u00e9pendances de plateforme dans le pipeline.<\/p>\n<h3>A.14.2.4 \u2014 Restrictions sur les modifications des progiciels<\/h3>\n<p><strong>Ce que cela signifie pour CI\/CD :<\/strong> Les modifications des progiciels fournis par des tiers doivent \u00eatre contr\u00f4l\u00e9es et limit\u00e9es. En CI\/CD, cela couvre les modifications de composants open-source, les d\u00e9pendances fork\u00e9es et les int\u00e9grations tierces personnalis\u00e9es.<\/p>\n<p><strong>Preuves d\u00e9montrant la conformit\u00e9 :<\/strong><\/p>\n<ul>\n<li>Politique d\u00e9finissant quand la modification de paquets tiers est permise<\/li>\n<li>Registres d&rsquo;approbation pour toute modification de paquets tiers<\/li>\n<li>Contr\u00f4les de pipeline d\u00e9tectant et signalant les paquets modifi\u00e9s (v\u00e9rification d&rsquo;int\u00e9grit\u00e9, validation de checksum)<\/li>\n<li>\u00c9valuations d&rsquo;impact sur la notification et le support du fournisseur pour les paquets modifi\u00e9s<\/li>\n<\/ul>\n<p><strong>\u00c0 quoi ressemble la non-conformit\u00e9 :<\/strong> Les paquets tiers sont r\u00e9guli\u00e8rement fork\u00e9s ou modifi\u00e9s sans approbation formelle. Pas de v\u00e9rification d&rsquo;int\u00e9grit\u00e9 dans le pipeline pour les modifications de paquets.<\/p>\n<h3>A.14.2.5 \u2014 Principes d&rsquo;ing\u00e9nierie de syst\u00e8mes s\u00e9curis\u00e9s<\/h3>\n<p><strong>Ce que cela signifie pour CI\/CD :<\/strong> L&rsquo;organisation doit \u00e9tablir, documenter et appliquer des principes d&rsquo;ing\u00e9nierie s\u00e9curis\u00e9e \u00e0 tout d\u00e9veloppement de syst\u00e8me. Le pipeline CI\/CD doit appliquer ces principes par des v\u00e9rifications automatis\u00e9es \u2014 revues d&rsquo;architecture, validation des patterns de s\u00e9curit\u00e9 et v\u00e9rification de conformit\u00e9.<\/p>\n<p><strong>Preuves d\u00e9montrant la conformit\u00e9 :<\/strong><\/p>\n<ul>\n<li>Principes d&rsquo;ing\u00e9nierie s\u00e9curis\u00e9e document\u00e9s applicables aux syst\u00e8mes livr\u00e9s par CI\/CD<\/li>\n<li>V\u00e9rifications appliqu\u00e9es par le pipeline validant l&rsquo;adh\u00e9rence aux principes d&rsquo;ing\u00e9nierie<\/li>\n<li>Registres de revue d&rsquo;architecture pour les nouveaux syst\u00e8mes entrant dans le pipeline<\/li>\n<li>Preuves que les principes d&rsquo;ing\u00e9nierie s\u00e9curis\u00e9e sont revus et mis \u00e0 jour p\u00e9riodiquement<\/li>\n<\/ul>\n<p><strong>\u00c0 quoi ressemble la non-conformit\u00e9 :<\/strong> Les principes d&rsquo;ing\u00e9nierie s\u00e9curis\u00e9e existent sur le papier mais ne sont pas appliqu\u00e9s par le pipeline. Pas de v\u00e9rification automatis\u00e9e des patterns d&rsquo;architecture de s\u00e9curit\u00e9.<\/p>\n<h3>A.14.2.6 \u2014 Environnement de d\u00e9veloppement s\u00e9curis\u00e9<\/h3>\n<p><strong>Ce que cela signifie pour CI\/CD :<\/strong> Les environnements de d\u00e9veloppement \u2014 y compris les environnements de build CI\/CD \u2014 doivent \u00eatre s\u00e9curis\u00e9s et prot\u00e9g\u00e9s. Les agents de build, les d\u00e9p\u00f4ts d&rsquo;artefacts et les plateformes d&rsquo;orchestration de pipeline sont des environnements de d\u00e9veloppement n\u00e9cessitant des contr\u00f4les de s\u00e9curit\u00e9 appropri\u00e9s.<\/p>\n<p><strong>Preuves d\u00e9montrant la conformit\u00e9 :<\/strong><\/p>\n<ul>\n<li>Contr\u00f4les de s\u00e9curit\u00e9 appliqu\u00e9s aux environnements de build CI\/CD (segmentation r\u00e9seau, contr\u00f4le d&rsquo;acc\u00e8s, durcissement)<\/li>\n<li>Preuves d&rsquo;isolation des environnements de build (agents de build \u00e9ph\u00e9m\u00e8res, isolation par conteneur)<\/li>\n<li>Registres de contr\u00f4le d&rsquo;acc\u00e8s pour l&rsquo;infrastructure de d\u00e9veloppement et de build<\/li>\n<li>Standards de durcissement appliqu\u00e9s \u00e0 l&rsquo;infrastructure de la plateforme CI\/CD<\/li>\n<\/ul>\n<p><strong>\u00c0 quoi ressemble la non-conformit\u00e9 :<\/strong> Les environnements de build partagent l&rsquo;infrastructure avec la production sans isolation. Les agents de build sont persistants avec un \u00e9tat accumul\u00e9 et sans reconstruction p\u00e9riodique. Pas de standards de durcissement pour l&rsquo;infrastructure CI\/CD.<\/p>\n<h3>A.14.2.7 \u2014 D\u00e9veloppement externalis\u00e9<\/h3>\n<p><strong>Ce que cela signifie pour CI\/CD :<\/strong> Lorsque le d\u00e9veloppement est externalis\u00e9, l&rsquo;organisation doit superviser et surveiller l&rsquo;activit\u00e9. En CI\/CD, cela signifie que les d\u00e9veloppeurs externalis\u00e9s doivent utiliser le pipeline de l&rsquo;organisation (pas le leur), et leurs contributions sont soumises aux m\u00eames contr\u00f4les automatis\u00e9s et processus d&rsquo;approbation.<\/p>\n<p><strong>Preuves d\u00e9montrant la conformit\u00e9 :<\/strong><\/p>\n<ul>\n<li>Exigences contractuelles pour les d\u00e9veloppeurs externalis\u00e9s d&rsquo;utiliser le pipeline CI\/CD de l&rsquo;organisation<\/li>\n<li>Registres de contr\u00f4le d&rsquo;acc\u00e8s montrant que les d\u00e9veloppeurs externalis\u00e9s ont un acc\u00e8s appropri\u00e9 (limit\u00e9) au pipeline<\/li>\n<li>Preuves d&rsquo;exigences de revue de code pour les contributions externalis\u00e9es<\/li>\n<li>Registres de surveillance de l&rsquo;activit\u00e9 pipeline des d\u00e9veloppeurs externalis\u00e9s<\/li>\n<\/ul>\n<p><strong>\u00c0 quoi ressemble la non-conformit\u00e9 :<\/strong> Les d\u00e9veloppeurs externalis\u00e9s utilisent leurs propres processus de build et de d\u00e9ploiement. Les contributions externalis\u00e9es contournent les contr\u00f4les standard du pipeline ou les exigences de revue de code.<\/p>\n<h3>A.14.2.8 \u2014 Tests de s\u00e9curit\u00e9 du syst\u00e8me<\/h3>\n<p><strong>Ce que cela signifie pour CI\/CD :<\/strong> Les tests de s\u00e9curit\u00e9 doivent \u00eatre effectu\u00e9s pendant le d\u00e9veloppement. Les pipelines CI\/CD doivent int\u00e9grer des tests de s\u00e9curit\u00e9 automatis\u00e9s \u2014 analyse statique, analyse des vuln\u00e9rabilit\u00e9s des d\u00e9pendances, tests dynamiques \u2014 comme des \u00e9tapes de pipeline obligatoires qui ne peuvent pas \u00eatre contourn\u00e9es.<\/p>\n<p><strong>Preuves d\u00e9montrant la conformit\u00e9 :<\/strong><\/p>\n<ul>\n<li>Configurations de pipeline montrant les \u00e9tapes de tests de s\u00e9curit\u00e9 obligatoires<\/li>\n<li>R\u00e9sultats de tests de s\u00e9curit\u00e9 conserv\u00e9s avec chaque ex\u00e9cution de pipeline<\/li>\n<li>Preuves que les \u00e9checs de tests de s\u00e9curit\u00e9 bloquent la progression vers la production<\/li>\n<li>Registres de mises \u00e0 jour et de maintenance des r\u00e8gles des outils de tests de s\u00e9curit\u00e9<\/li>\n<\/ul>\n<p><strong>\u00c0 quoi ressemble la non-conformit\u00e9 :<\/strong> Les tests de s\u00e9curit\u00e9 existent mais sont optionnels ou uniquement consultatifs. Les r\u00e9sultats des tests ne sont pas conserv\u00e9s. Les \u00e9checs de tests de s\u00e9curit\u00e9 peuvent \u00eatre contourn\u00e9s sans justification document\u00e9e.<\/p>\n<h3>A.14.2.9 \u2014 Tests d&rsquo;acceptation du syst\u00e8me<\/h3>\n<p><strong>Ce que cela signifie pour CI\/CD :<\/strong> Des programmes et crit\u00e8res de tests d&rsquo;acceptation doivent \u00eatre \u00e9tablis. Le pipeline CI\/CD doit appliquer les crit\u00e8res d&rsquo;acceptation avant le d\u00e9ploiement en production \u2014 incluant les portes d&rsquo;acceptation fonctionnelles, de performance et de s\u00e9curit\u00e9.<\/p>\n<p><strong>Preuves d\u00e9montrant la conformit\u00e9 :<\/strong><\/p>\n<ul>\n<li>Crit\u00e8res d&rsquo;acceptation d\u00e9finis pour chaque \u00e9tape de d\u00e9ploiement<\/li>\n<li>Configurations de pipeline appliquant les portes d&rsquo;acceptation<\/li>\n<li>Registres des r\u00e9sultats de tests d&rsquo;acceptation pour chaque d\u00e9ploiement en production<\/li>\n<li>Preuves que les crit\u00e8res d&rsquo;acceptation sont revus et approuv\u00e9s par les parties prenantes appropri\u00e9es<\/li>\n<\/ul>\n<p><strong>\u00c0 quoi ressemble la non-conformit\u00e9 :<\/strong> Pas de crit\u00e8res d&rsquo;acceptation formels d\u00e9finis. Le pipeline permet le d\u00e9ploiement sans v\u00e9rification d&rsquo;acceptation. Les tests d&rsquo;acceptation sont manuels et appliqu\u00e9s de mani\u00e8re incoh\u00e9rente.<\/p>\n<h2>Tableau de mapping des sous-contr\u00f4les A.14<\/h2>\n<table>\n<thead>\n<tr>\n<th>Sous-contr\u00f4le A.14<\/th>\n<th>Impl\u00e9mentation CI\/CD<\/th>\n<th>Preuves requises<\/th>\n<th>Signaux d&rsquo;alerte<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>A.14.1.1 Exigences de s\u00e9curit\u00e9<\/td>\n<td>Exigences de s\u00e9curit\u00e9 trac\u00e9es vers les cas de test du pipeline<\/td>\n<td>Sp\u00e9cifications d&rsquo;exigences ; registres de tra\u00e7abilit\u00e9 ; mappings de cas de test<\/td>\n<td>Pas d&rsquo;exigences de s\u00e9curit\u00e9 d\u00e9finies avant le d\u00e9but du d\u00e9veloppement<\/td>\n<\/tr>\n<tr>\n<td>A.14.1.2 Services sur r\u00e9seau public<\/td>\n<td>V\u00e9rifications de configuration de s\u00e9curit\u00e9 pr\u00e9-d\u00e9ploiement<\/td>\n<td>R\u00e9sultats de v\u00e9rification automatis\u00e9e TLS et en-t\u00eates de s\u00e9curit\u00e9<\/td>\n<td>D\u00e9ploiements publics sans v\u00e9rification de configuration de s\u00e9curit\u00e9<\/td>\n<\/tr>\n<tr>\n<td>A.14.1.3 Protection des transactions<\/td>\n<td>Tests d&rsquo;int\u00e9grit\u00e9 transactionnelle dans le pipeline<\/td>\n<td>R\u00e9sultats de tests d&rsquo;int\u00e9gration couvrant les sc\u00e9narios transactionnels<\/td>\n<td>Syst\u00e8mes transactionnels d\u00e9ploy\u00e9s sans tests d&rsquo;int\u00e9grit\u00e9<\/td>\n<\/tr>\n<tr>\n<td>A.14.2.1 Politique de d\u00e9veloppement s\u00e9curis\u00e9<\/td>\n<td>Politique r\u00e9gissant les pratiques de s\u00e9curit\u00e9 CI\/CD<\/td>\n<td>Politique approuv\u00e9e ; registres de revue ; preuves de communication<\/td>\n<td>Politique ne mentionnant pas CI\/CD ; pas de revue depuis l&rsquo;adoption du pipeline<\/td>\n<\/tr>\n<tr>\n<td>A.14.2.2 Contr\u00f4le des changements<\/td>\n<td>Pipeline comme m\u00e9canisme d&rsquo;application du contr\u00f4le des changements<\/td>\n<td>Configurations des portes d&rsquo;approbation ; pistes d&rsquo;audit des changements ; registres de changements d&rsquo;urgence<\/td>\n<td>Pushs directs en production possibles ; pas de portes d&rsquo;approbation<\/td>\n<\/tr>\n<tr>\n<td>A.14.2.3 Revue des changements de plateforme<\/td>\n<td>Tests de r\u00e9gression d\u00e9clench\u00e9s par les changements de d\u00e9pendances de plateforme<\/td>\n<td>Registres de changements de plateforme ; r\u00e9sultats de tests de r\u00e9gression<\/td>\n<td>Mises \u00e0 jour de plateforme sans tests de r\u00e9gression applicatifs<\/td>\n<\/tr>\n<tr>\n<td>A.14.2.4 Restrictions de modification des paquets<\/td>\n<td>V\u00e9rification d&rsquo;int\u00e9grit\u00e9 pour les paquets tiers<\/td>\n<td>Approbations de modifications de paquets ; r\u00e9sultats de v\u00e9rification d&rsquo;int\u00e9grit\u00e9<\/td>\n<td>Paquets fork\u00e9s sans approbation ; pas de v\u00e9rifications d&rsquo;int\u00e9grit\u00e9<\/td>\n<\/tr>\n<tr>\n<td>A.14.2.5 Principes d&rsquo;ing\u00e9nierie s\u00e9curis\u00e9e<\/td>\n<td>V\u00e9rifications d&rsquo;architecture et de patterns de s\u00e9curit\u00e9 appliqu\u00e9es par le pipeline<\/td>\n<td>Principes document\u00e9s ; r\u00e9sultats de v\u00e9rification automatis\u00e9e<\/td>\n<td>Principes existant sur papier seulement ; pas d&rsquo;application par le pipeline<\/td>\n<\/tr>\n<tr>\n<td>A.14.2.6 Environnement de d\u00e9veloppement s\u00e9curis\u00e9<\/td>\n<td>Environnements de build durcis et isol\u00e9s<\/td>\n<td>Registres de durcissement ; preuves d&rsquo;isolation ; journaux d&rsquo;acc\u00e8s<\/td>\n<td>Infrastructure partag\u00e9e ; agents de build persistants ; pas de durcissement<\/td>\n<\/tr>\n<tr>\n<td>A.14.2.7 D\u00e9veloppement externalis\u00e9<\/td>\n<td>Les d\u00e9veloppeurs externalis\u00e9s utilisent le pipeline de l&rsquo;organisation<\/td>\n<td>Contrats ; registres d&rsquo;acc\u00e8s ; journaux de surveillance ; registres de revue de code<\/td>\n<td>D\u00e9veloppeurs externes contournant le pipeline ; pas de surveillance<\/td>\n<\/tr>\n<tr>\n<td>A.14.2.8 Tests de s\u00e9curit\u00e9<\/td>\n<td>\u00c9tapes de tests de s\u00e9curit\u00e9 automatis\u00e9s obligatoires<\/td>\n<td>Configurations de pipeline ; r\u00e9sultats de tests ; registres de maintenance des outils<\/td>\n<td>Tests de s\u00e9curit\u00e9 optionnels ; r\u00e9sultats non conserv\u00e9s ; contournements faciles<\/td>\n<\/tr>\n<tr>\n<td>A.14.2.9 Tests d&rsquo;acceptation<\/td>\n<td>Portes d&rsquo;acceptation appliqu\u00e9es par le pipeline<\/td>\n<td>Crit\u00e8res d&rsquo;acceptation ; configurations des portes ; r\u00e9sultats de tests par d\u00e9ploiement<\/td>\n<td>Pas de crit\u00e8res d&rsquo;acceptation ; tests manuels uniquement ; application incoh\u00e9rente<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Comment A.14 se connecte aux autres contr\u00f4les de l&rsquo;Annexe A<\/h2>\n<p>A.14 ne fonctionne pas de mani\u00e8re isol\u00e9e. Une gouvernance CI\/CD efficace n\u00e9cessite de comprendre comment A.14 intersecte avec d&rsquo;autres domaines de contr\u00f4le :<\/p>\n<ul>\n<li><strong>A.9 (Contr\u00f4le d&rsquo;acc\u00e8s)<\/strong> \u2014 Le contr\u00f4le des changements A.14.2.2 d\u00e9pend des contr\u00f4les d&rsquo;acc\u00e8s A.9 pour s&rsquo;assurer que seul le personnel autoris\u00e9 peut approuver et d\u00e9clencher les d\u00e9ploiements. Les d\u00e9faillances du contr\u00f4le d&rsquo;acc\u00e8s compromettent l&rsquo;ensemble du cadre de contr\u00f4le des changements.<\/li>\n<li><strong>A.12 (S\u00e9curit\u00e9 des op\u00e9rations)<\/strong> \u2014 Les exigences d&rsquo;environnement de d\u00e9veloppement s\u00e9curis\u00e9 A.14.2.6 s&rsquo;alignent avec les proc\u00e9dures op\u00e9rationnelles A.12. Les exigences de journalisation sous A.12 fournissent la piste d&rsquo;audit n\u00e9cessaire pour v\u00e9rifier la conformit\u00e9 du contr\u00f4le des changements A.14.<\/li>\n<li><strong>A.15 (Relations avec les fournisseurs)<\/strong> \u2014 Les restrictions de paquets A.14.2.4 et le d\u00e9veloppement externalis\u00e9 A.14.2.7 se connectent directement \u00e0 la gestion des fournisseurs A.15. Les composants tiers dans le pipeline sont \u00e0 la fois une pr\u00e9occupation de d\u00e9veloppement (A.14) et une pr\u00e9occupation de risque fournisseur (A.15).<\/li>\n<\/ul>\n<h2>Checklist de v\u00e9rification de l&rsquo;auditeur pour A.14<\/h2>\n<p>Lors de l&rsquo;audit de la conformit\u00e9 A.14 dans les environnements CI\/CD, v\u00e9rifiez les points suivants :<\/p>\n<ul>\n<li>\u2610 La politique de d\u00e9veloppement s\u00e9curis\u00e9 traite explicitement des pipelines CI\/CD et des processus automatis\u00e9s<\/li>\n<li>\u2610 Les exigences de s\u00e9curit\u00e9 sont d\u00e9finies avant le d\u00e9veloppement et tra\u00e7ables vers la v\u00e9rification du pipeline<\/li>\n<li>\u2610 Les proc\u00e9dures de contr\u00f4le des changements r\u00e9f\u00e9rencent le pipeline CI\/CD comme m\u00e9canisme d&rsquo;application<\/li>\n<li>\u2610 Le pipeline inclut des portes d&rsquo;approbation obligatoires avant le d\u00e9ploiement en production<\/li>\n<li>\u2610 Toutes les ex\u00e9cutions de pipeline produisent des pistes d&rsquo;audit immuables (qui, quoi, quand, r\u00e9sultat)<\/li>\n<li>\u2610 Les \u00e9tapes de tests de s\u00e9curit\u00e9 sont obligatoires et ne peuvent \u00eatre contourn\u00e9es sans justification document\u00e9e<\/li>\n<li>\u2610 Les \u00e9checs de tests de s\u00e9curit\u00e9 bloquent la progression du d\u00e9ploiement<\/li>\n<li>\u2610 Les crit\u00e8res d&rsquo;acceptation sont d\u00e9finis, approuv\u00e9s et appliqu\u00e9s par le pipeline<\/li>\n<li>\u2610 Les environnements de build sont isol\u00e9s, durcis et soumis au contr\u00f4le d&rsquo;acc\u00e8s<\/li>\n<li>\u2610 Le d\u00e9veloppement externalis\u00e9 est soumis aux m\u00eames contr\u00f4les de pipeline que le d\u00e9veloppement interne<\/li>\n<li>\u2610 Les modifications de paquets tiers sont formellement approuv\u00e9es et v\u00e9rifi\u00e9es en int\u00e9grit\u00e9<\/li>\n<li>\u2610 Les changements de plateforme d\u00e9clenchent des tests de r\u00e9gression<\/li>\n<li>\u2610 Des proc\u00e9dures de changements d&rsquo;urgence existent avec des exigences de revue r\u00e9trospective<\/li>\n<li>\u2610 Les preuves sont conserv\u00e9es conform\u00e9ment \u00e0 la politique de r\u00e9tention de l&rsquo;organisation<\/li>\n<\/ul>\n<h2>Lectures compl\u00e9mentaires<\/h2>\n<ul>\n<li><a href=\"https:\/\/regulated-devsecops.com\/compliance\/iso-27001\/\">Hub de conformit\u00e9 ISO 27001<\/a><\/li>\n<li><a href=\"https:\/\/regulated-devsecops.com\/fr\/application-security-governance\/secure-sdlc-fundamentals\/\">Fondamentaux du SDLC s\u00e9curis\u00e9<\/a><\/li>\n<\/ul>\n<hr\/>\n<h3>Ressources connexes pour les auditeurs<\/h3>\n<ul>\n<li><a href=\"https:\/\/regulated-devsecops.com\/fr\/glossary\/\">Glossaire<\/a> \u2014 D\u00e9finitions en langage clair des termes techniques<\/li>\n<li><a href=\"https:\/\/regulated-devsecops.com\/fr\/regulatory-frameworks\/continuous-compliance-via-ci-cd\/\">Conformit\u00e9 continue via CI\/CD<\/a><\/li>\n<li><a href=\"https:\/\/regulated-devsecops.com\/fr\/regulatory-frameworks\/before-the-auditor-arrives-ci-cd-audit-readiness-checklist\/\">Checklist de pr\u00e9paration \u00e0 l&rsquo;audit<\/a><\/li>\n<li><a href=\"https:\/\/regulated-devsecops.com\/fr\/ci-cd-governance\/core-ci-cd-security-controls\/\">Contr\u00f4les de s\u00e9curit\u00e9 CI\/CD fondamentaux<\/a><\/li>\n<\/ul>\n<p><em>Nouveau dans l&rsquo;audit CI\/CD ? Commencez par notre <a href=\"https:\/\/regulated-devsecops.com\/fr\/start-here\/\">Guide de l&rsquo;auditeur<\/a>.<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Introduction : pourquoi A.14 est le contr\u00f4le fondamental pour CI\/CD L&rsquo;Annexe A.14 \u2014 Acquisition, d\u00e9veloppement et maintenance des syst\u00e8mes \u2014 est le domaine de contr\u00f4le le plus pertinent pour les organisations exploitant des pipelines CI\/CD. Il r\u00e9git directement la mani\u00e8re dont les syst\u00e8mes sont d\u00e9velopp\u00e9s, modifi\u00e9s, test\u00e9s et accept\u00e9s en production. Pour les auditeurs et &#8230; <a title=\"ISO 27001 A.14 en profondeur \u2014 D\u00e9veloppement et maintenance des syst\u00e8mes dans CI\/CD\" class=\"read-more\" href=\"https:\/\/regulated-devsecops.com\/fr\/audit-evidence\/iso-27001-a-14-deep-dive-system-development-and-maintenance-in-ci-cd\/\" aria-label=\"En savoir plus sur ISO 27001 A.14 en profondeur \u2014 D\u00e9veloppement et maintenance des syst\u00e8mes dans CI\/CD\">Lire la suite<\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[122,126,123],"tags":[],"post_folder":[],"class_list":["post-1383","post","type-post","status-publish","format-standard","hentry","category-audit-evidence","category-regulatory-frameworks","category-ci-cd-governance"],"_links":{"self":[{"href":"https:\/\/regulated-devsecops.com\/fr\/wp-json\/wp\/v2\/posts\/1383","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/regulated-devsecops.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/regulated-devsecops.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/regulated-devsecops.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/regulated-devsecops.com\/fr\/wp-json\/wp\/v2\/comments?post=1383"}],"version-history":[{"count":0,"href":"https:\/\/regulated-devsecops.com\/fr\/wp-json\/wp\/v2\/posts\/1383\/revisions"}],"wp:attachment":[{"href":"https:\/\/regulated-devsecops.com\/fr\/wp-json\/wp\/v2\/media?parent=1383"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/regulated-devsecops.com\/fr\/wp-json\/wp\/v2\/categories?post=1383"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/regulated-devsecops.com\/fr\/wp-json\/wp\/v2\/tags?post=1383"},{"taxonomy":"post_folder","embeddable":true,"href":"https:\/\/regulated-devsecops.com\/fr\/wp-json\/wp\/v2\/post_folder?post=1383"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}