Ressource gratuite

Glossaire sécurité et GRC

Des définitions claires des termes de sécurité, de GRC et de conformité que vous rencontrerez sur la route de SOC 2, ISO 27001, HIPAA et PCI-DSS. Aucun jargon sans explication.

Acceptation du risque: Décision documentée et approuvée par la direction d’accepter un risque résiduel plutôt que de le traiter davantage.
Accord de partenariat commercial (BAA): Dans le cadre de HIPAA, contrat entre une entité couverte et un partenaire commercial fixant les obligations de chaque partie pour la protection des ePHI. Requis avant tout partage d’ePHI.
Analyse des écarts: Revue comparant vos contrôles actuels aux exigences d’un référentiel pour identifier ce qui manque avant un audit formel.
CIS Benchmark: Normes prescriptives de durcissement de la sécurité publiées par le Center for Internet Security. Niveau 1 = hygiène de base ; niveau 2 = plus strict, peut affecter l’utilisabilité.
Conformité: Respect des lois, réglementations et normes. La conformité est un seuil minimal, pas une garantie de sécurité.
Conservation des journaux: Durée de conservation des journaux de sécurité et d’audit. Un an est un minimum courant (ex. PCI DSS exig. 10).
Contrôle: Mesure de protection ou contre-mesure (technique, administrative ou physique) qui ramène le risque à un niveau acceptable.
CVE (Common Vulnerabilities and Exposures): Catalogue public des vulnérabilités de sécurité connues, chacune dotée d’un identifiant unique (ex. CVE-2024-12345).
CVSS (Common Vulnerability Scoring System): Score de gravité de 0 à 10 pour les vulnérabilités. 9,0–10,0 = critique, 7,0–8,9 = élevée.
Défense en profondeur: Superposition de plusieurs contrôles de sécurité indépendants afin que, si l’un échoue, les autres protègent encore l’actif.
ePHI (informations de santé protégées électroniques): Informations de santé permettant d’identifier une personne, stockées ou transmises sous forme électronique. Les données que protège la Security Rule de HIPAA.
Gestion de la surface d’attaque (ASM): Processus continu de découverte, d’inventaire et de surveillance des actifs exposés d’une organisation afin d’identifier et de réduire son exposition.
Gestion des vulnérabilités: Cycle continu de découverte, de priorisation, de remédiation et de vérification des vulnérabilités selon des SLA définis.
GRC (gouvernance, risque et conformité): Discipline consistant à aligner la gouvernance de la sécurité, la gestion des risques et la conformité réglementaire au sein d’un même programme.
HIPAA: Loi américaine régissant la confidentialité et la sécurité des informations de santé protégées, via sa Privacy Rule et sa Security Rule.
iASM (gestion interne de la surface d’attaque): Découverte et surveillance continues des actifs internes/cloud et de leurs chemins d’attaque — la vue de l’intérieur que les outils ASM manquent généralement.
ISO 27001: Norme internationale pour un système de management de la sécurité de l’information (SMSI) ; la révision 2022 a mis à jour son jeu de contrôles de l’Annexe A.
Liste de contrôle d’accès (ACL): Ensemble de règles définissant quels utilisateurs ou systèmes peuvent accéder à une ressource et quelles actions ils peuvent effectuer. Les groupes de sécurité AWS sont un type d’ACL.
MFA (authentification multifacteur): Exiger deux facteurs indépendants ou plus pour s’authentifier, ce qui réduit considérablement le risque de prise de contrôle de compte.
MITRE ATT&CK: Base de connaissances des tactiques et techniques réelles des adversaires, largement utilisée pour cartographier les détections et les résultats BAS.
Moindre privilège: N’accorder aux utilisateurs et aux systèmes que l’accès minimal nécessaire à leur rôle — un principe fondamental du contrôle d’accès.
NIST CSF: Le NIST Cybersecurity Framework — une structure fondée sur le risque (gouverner, identifier, protéger, détecter, répondre, récupérer) pour gérer le cyber-risque.
NVD (National Vulnerability Database): Référentiel du NIST des données CVE enrichies de scores CVSS et d’autres métadonnées.
OKF (Open Knowledge Format): Standard ouvert et indépendant des éditeurs de Google pour empaqueter la connaissance sous forme de fichiers Markdown reliés en graphe avec frontmatter YAML, lisibles nativement par les agents IA. L’OKF Context Engine de CATAAM exporte votre graphe de conformité sous forme de bundle OKF pour Claude (via MCP) et les auditeurs — sans dépendance à un éditeur.
PCI DSS: La Payment Card Industry Data Security Standard — exigences de sécurité pour toute organisation qui stocke, traite ou transmet des données de titulaires de carte.
Piste d’audit: Enregistrement chronologique de l’activité d’un système permettant de reconstituer les événements. Exigée par ISO 27001 A.8.15, SOC 2 CC7.2, HIPAA §164.312(b) et PCI DSS exig. 10.
Plan de continuité d’activité (PCA): Documentation de la manière dont une organisation continue de fonctionner pendant et après une perturbation. Distinct du plan de reprise après sinistre (PRA), centré sur les systèmes informatiques.
Plan de réponse aux incidents (PRI): Procédure documentée et testée pour détecter, contenir, éradiquer les incidents de sécurité et s’en remettre.
POA&M (Plan of Action & Milestones): Plan suivi documentant les faiblesses connues, les étapes de remédiation, les responsables et les échéances cibles.
Preuve (contexte d’audit): Les artefacts — politiques, journaux, captures d’écran, tickets, résultats d’analyse — qui démontrent qu’un contrôle fonctionnait pendant la période d’audit.
RBAC (contrôle d’accès basé sur les rôles): Attribution des permissions à des rôles, puis des rôles aux utilisateurs — pour simplifier le moindre privilège à l’échelle.
Registre des risques: Enregistrement vivant des risques identifiés avec leurs scores, responsables, décisions de traitement et statut.
Renseignement sur les menaces: Informations sélectionnées sur les menaces actuelles et émergentes, utilisées pour orienter la détection et la défense.
Risque: Combinaison de la vraisemblance qu’une menace exploite une vulnérabilité et de l’impact si cela se produit.
SAST (test statique de sécurité des applications): Analyse du code source à la recherche de failles de sécurité sans l’exécuter — généralement intégrée au CI/CD.
SBOM (nomenclature logicielle): Inventaire formel des composants et dépendances d’un logiciel, utilisé pour suivre le risque de la chaîne d’approvisionnement.
Simulation de brèches et d’attaques (BAS): Simulation continue et automatisée de vraies techniques d’attaque contre votre environnement pour vérifier que les contrôles les détectent et les arrêtent réellement — et pas seulement qu’ils existent.
SOC 2: Rapport de l’AICPA sur les contrôles d’une organisation de services selon les Trust Services Criteria (sécurité, disponibilité, confidentialité, intégrité des traitements, vie privée).
SOC 2 Type II: Rapport SOC 2 qui teste si les contrôles ont fonctionné efficacement sur une période (généralement 6 à 12 mois), et pas seulement à un instant donné.
Surface d’attaque: La somme de tous les points par lesquels un attaquant pourrait tenter d’entrer dans un système ou d’en extraire des données. La réduire est un principe fondamental de la défense en profondeur.
Surveillance continue des contrôles (CCM): Vérification automatique et répétée que les contrôles fonctionnent toujours efficacement, plutôt qu’un test annuel — pour détecter la dérive en quelques heures et non au prochain audit.
Test d’intrusion: Attaque simulée par des testeurs qualifiés pour trouver des faiblesses exploitables ; souvent une exigence annuelle pour SOC 2 et PCI DSS.
TLS (Transport Layer Security): Protocole qui chiffre les données en transit. TLS 1.2+ est attendu ; SSLv3/TLS 1.0–1.1 sont obsolètes.
Trust Services Criteria (TSC): Les cinq catégories SOC 2 : sécurité (Common Criteria), disponibilité, confidentialité, intégrité des traitements et vie privée.
Vulnérabilité: Faiblesse d’un système qu’une menace pourrait exploiter pour causer un préjudice.

Transformez ces termes en un programme prêt pour l’audit

CATAAM automatise les preuves, la surveillance et les tests de sécurité derrière chacun de ces termes.

Réserver une démo de 5 min