SECURITY / GOVERNANCE
Sécurité, données, continuité et responsabilités : les éléments à examiner pour construire votre service avec confiance.
Chaque service commence par un périmètre : ressources, administration, données et interlocuteurs.
Infrastructure : le devis précise les ressources fournies, le réseau et les interventions incluses.
Client : applications, droits utilisateurs, contenu et politique de conservation restent sous votre contrôle, sauf délégation écrite.
Infogérance : correctifs, supervision et restauration doivent être attribués à un responsable et une procédure.
Construire des accès limités au besoin, vérifiables et révocables.
Prévoir des comptes nominatifs, des rôles séparés et une validation des accès privilégiés. Éviter le partage des comptes administrateur.
MFA, SSO, RBAC et journaux : leur disponibilité et leur intégration dépendent du service et sont à confirmer dans le périmètre retenu.
Documenter les arrivées, changements de rôle, départs, révocations de clés et accès de secours.
Identifier quelles données sont traitées, où et pour quelle finalité.
Localisation, sous-traitants, accès et durée de conservation sont à examiner pour le service choisi, y compris les copies de sauvegarde.
Le chiffrement en transit, au repos et la gestion des clés doivent être définis dans l’architecture ; ne pas confondre option et activation effective.
Consultez la politique de confidentialité pour les traitements du site et les modalités de contact relatives à vos données.
Une politique de sauvegarde se complète par une preuve de restauration.
Choisir les jeux de données, la fréquence, la rétention et un emplacement distinct. Prévoir les dépendances applicatives et les clés nécessaires.
RPO : perte de données maximale visée. RTO : délai de reprise visé. Les objectifs doivent être convenus et testés pour votre application.
Le compte rendu de restauration doit préciser la date, le périmètre récupéré, les vérifications et les écarts à corriger.
Préparer les décisions et les contacts avant la situation d’urgence.
Dans une demande : indiquer le service concerné, l’heure avec fuseau, les symptômes, l’impact et les actions déjà tentées.
Conserver les éléments utiles à l’investigation sans transmettre de mots de passe, tokens ou données personnelles non nécessaires.
Les horaires de support, l’astreinte H24 et les délais de réponse relèvent du contrat. La page Status décrit uniquement les contrôles qui y sont publiés.
Un signalement clair facilite la qualification et la correction.
Utilisez le contact en choisissant Cybersécurité. Donnez l’URL ou le service, une description, l’impact supposé et des étapes de reproduction minimales.
N’ajoutez aucun secret dans le formulaire. Demandez un canal adapté avant de partager des preuves sensibles.
Un signalement ne donne pas d’autorisation de test. Le périmètre et l’autorisation d’un pentest doivent être convenus séparément.
Distinguer l’intégration logicielle, l’acquisition et le traitement des fonds.
Le contrat précise les partenaires de paiement, pays, méthodes, frais, responsabilités et conditions d’activation du marchand.
Éviter d’inscrire des données de carte dans les journaux. Définir le parcours de collecte et le périmètre PCI DSS avec les intervenants concernés.
Les écrans de test ne prouvent ni un encaissement réel, ni une homologation, ni une capacité contractuelle de traitement des fonds.
Évaluer un engagement sur ses documents, son périmètre et sa validité.
Demander les conditions applicables, le périmètre de service, les exclusions, les responsabilités et les modalités de réversibilité.
Aucune certification ISO, SOC ou PCI DSS ni aucun agrément de paiement n’est présenté ici comme obtenu par Complex System.
Le contrat signé et les pièces applicables au service définissent les engagements ; les choix du configurateur servent à préparer ce périmètre.
LES BONS REPÈRES