Security & Trust · Opérations
La sécurité se joue dans les contrôles quotidiens.
Identités, accès, chiffrement, secrets, journaux, vulnérabilités, sauvegardes et incidents : le registre ci-dessous présente les contrôles opérationnels structurants et leur statut réel, périmètre par périmètre.
Qui accède, avec quels droits.
Comptes nominatifs et MFA (équipes techniques)
L'accès aux environnements de production par nos équipes est soumis à une authentification multi-facteurs et à des comptes nominatifs, journalisés.
Périmètre — Environnements que nous opérons.
Statut : EN PLACE
Authentification côté client
Le moyen d'authentification des utilisateurs client dépend de la configuration retenue au cadrage ; non imposé par défaut à tous les profils.
Statut : CONFIGURABLE
Permissions
Droits rattachés à la fonction et au périmètre de la mission concernée.
Statut : CONFIGURABLE
Accès privilégiés
Réservés aux collaborateurs dont la fonction technique les requiert, pour l'exploitation, le diagnostic ou un incident.
Statut : EN PLACE
Cycle de vie des comptes
Accès révoqués au départ d'un collaborateur ou en fin de mission ; environnements de développement, préproduction et production séparés.
Statut : EN PLACE
Ce qui protège les données en transit, au repos et hors du code.
Chiffrement en transit
TLS 1.3 pour les flux utilisateurs et entre composants internes.
Périmètre — Environnements que nous opérons.
Statut : EN PLACE
Chiffrement au repos
AES-256 pour les données de production et pour les sauvegardes.
Périmètre — Environnements que nous opérons.
Statut : EN PLACE
Secrets
Clés d'API et credentials stockés dans un magasin de secrets dédié, séparément du code, avec accès restreint et révocation possible sans redéploiement.
Statut : EN PLACE
Ce qui est enregistré, et ce qui est supervisé.
- Accès
- Connexions aux environnements que nous opérons.
- Administration
- Opérations privilégiées et changements de configuration.
- Technique
- Erreurs d'exécution et événements d'exploitation.
- Mission
- Exécutions rattachées à une mission, à des fins de diagnostic et non d'analyse des contenus.
Supervision
Les journaux d'exploitation sont supervisés à des fins de diagnostic.
Statut : EN PLACE
Alertes
Des alertes techniques déclenchent l'examen d'un événement ; aucune astreinte permanente n'est en place par défaut.
Statut : EN PLACE
Du signalement à la vérification.
- Détection
- Qualification
- Priorisation
- Correction
- Vérification
Ce qui se passe lorsqu'un contrôle échoue.
Aucun délai de prise en charge, de notification ou de résolution n'est affiché ici : les délais applicables sont ceux du contrat de mission, lorsqu'ils y figurent.
- 01Détection
Alerte technique, signalement client ou constat interne.
- 02Qualification
Incident technique, incident de sécurité ou violation de données.
- 03Confinement
Isolation des composants concernés.
- 04Investigation
Reconstruction à partir des journaux disponibles.
- 05Restauration
Rétablissement du service, restauration de données si nécessaire.
- 06Information
Information du client concerné selon le contrat.
- 07Retour d'expérience
Analyse des causes et suites données.
Un incident de sécurité n'est pas nécessairement une violation de données déclenchant une obligation de notification. Voir la conformité →
Ce qui est sauvegardé, et comment cela se restaure.
- Ce qui est sauvegardé
- Les données de production des environnements que nous opérons.
- Chiffrement
- Les sauvegardes sont chiffrées.
- Restauration
- Procédure décrite, revue possible au cadrage.
- Fréquence / rétention
- Définies avec le client, selon la configuration retenue.
Ce qu'une équipe sécurité peut demander à examiner.
Description d'architecture
Communiquée dans le cadre d'une évaluation, sous accord de confidentialité.
Statut : CONTRACTUEL
Description des flux de données
Communiquée dans le cadre d'une évaluation, sous accord de confidentialité.
Statut : CONTRACTUEL
Clauses de sécurité applicables
Annexées au contrat.
Statut : CONTRACTUEL
Rapport d'audit externe indépendant
Non disponible : aucun audit n'a été réalisé à ce jour.
Statut : NON RÉALISÉ
Auditable ≠ audité. Certifiable ≠ certifié. Les statuts de certification sont traités sur la page Conformité →
La sécurité opérationnelle réduit le risque. Elle ne le supprime pas.
Authentification forte ≠ absence de compromission
Un second facteur réduit certaines attaques sur les identifiants ; il ne couvre ni les erreurs de configuration, ni les abus d'un accès légitime.
Chiffrement ≠ absence d'accès
Le chiffrement protège le stockage et le transport, pas l'usage : il ne remplace ni les permissions ni la journalisation.
Journalisation ≠ détection parfaite
Un journal permet de retracer un événement après coup ; il ne garantit pas sa détection au moment où il survient.
Sauvegarde ≠ continuité automatique
Une sauvegarde chiffrée n'est utile que si sa restauration est vérifiée pour le périmètre concerné.
Agents IA
Prévenir les appels inutiles
Un système agentique peut multiplier les interrogations au cours d’une mission. Il est donc important de définir les limites, règles d’arrêt et volumes autorisés dans l’orchestration du système.
Lorsque ces mécanismes ne sont pas fournis nativement par Imagine All The People, ils peuvent être gérés par le système externe.
Connecter vos agentsVotre prochaine décision
Quelle décision voulez-vous explorer ?
Décrivez votre besoin. Nous pouvons vous orienter vers le mode d’accompagnement adapté.
