Notre engagement sécurité
La sécurité n'est pas une case cochée une fois par an chez nous : elle tourne en continu. Chaque dépôt, image, cluster et poste est analysé automatiquement, les vulnérabilités suivies jusqu'à leur résolution, et chaque action laisse une preuve horodatée.
Ce programme de sécurité couvre IT Transform et Atelya.
Pratiques de sécurité
Les pratiques en place. Cette page décrit nos pratiques, pas des résultats de scan.
- Analyse du code. Analyse du code (SAST) sur chaque dépôt : injections, XSS, SSRF, cryptographie faible.
- Secrets. Détection de secrets : aucun identifiant en clair ne passe en production.
- Chaîne d'approvisionnement. Chaîne d'approvisionnement : vulnérabilités des dépendances, versions verrouillées, détection de confusion de dépendances, images épinglées par empreinte.
- Conteneurs. Conteneurs : images durcies (Chainguard/Wolfi), signées (Cosign), politiques d'admission Kyverno, réseau en refus par défaut.
- Tests dynamiques. Tests dynamiques (DAST) sur nos surfaces exposées.
- Posture du cluster. Posture du cluster évaluée (NSA/MITRE).
- Exécution. Surveillance runtime du cluster (Falco).
- Priorisation. Priorisation selon l'exploitabilité (KEV, EPSS), la gravité et l'exposition.
Délais de correction visés
Objectifs de notre politique de gestion des vulnérabilités, pas des mesures.
| Gravité | Délai visé |
|---|---|
| Critique | Immédiat |
| Élevée | 7 jours |
| Moyenne | 30 jours |
| Faible | 90 jours |
Conformité : cadres visés
Nous construisons notre programme vers les référentiels ci-dessous. Chaque contrôle technique est relié à une exigence de ces cadres, et chaque passage produit une preuve conservée. Aucune certification n'est affirmée sans pièce justificative : les statuts « visé » et « en cours » ne désignent pas une certification détenue.
Référentiels de conformité
Statut déclaré par IT-Transform. « Visé » et « en cours » ne signifient pas « certifié » : seul le statut « Obtenu » désigne une certification détenue.
- SOC 2 Type II Visé
- ISO/IEC 27001:2022 Visé
- NIS2 Visé
- CyFun (CCB, Essential) Visé
- RGPD / GDPR Visé
- EU AI Act Visé
Protection des données (RGPD)
Registre des traitements tenu à jour. Analyses d'impact (DPIA) sur les traitements à risque. Procédure de notification de violation sous 72 h. Infrastructure principale hébergée dans l'Union européenne (Allemagne).