Référentiels

Chaque règle du catalogue porte une liste de références à des référentiels de sécurité. Ces références servent à lire un constat dans le vocabulaire d'un audit, et à filtrer ce que les assistants prennent en compte. Elles ne constituent pas une certification et Ctadel n'en délivre aucune.

La forme d'une référence

Une référence est une chaîne Référentiel:Contrôle, par exemple ISO27001:A.8.20, NIST:SC-7, PCI-DSS:1.3, SOC2:CC6.6, GDPR:32, HIPAA:164.312(e)(1) ou SecNumCloud:13. La partie avant le deux-points est la clé du référentiel ; la partie après est l'identifiant du contrôle dans ce référentiel. Une référence sans deux-points, comme CIS, désigne le référentiel sans contrôle précis.

Les identifiants de contrôle suivent les textes de référence : annexe A d'ISO/IEC 27001:2022, critères des services de confiance SOC 2, exigences de PCI DSS v4.0, contrôles de NIST SP 800-53 rev5, articles du RGPD, sections de la règle de sécurité HIPAA, chapitres du référentiel SecNumCloud 3.2 (9 contrôle d'accès et identités, 10 cryptologie, 12 exploitation, 13 sécurité des communications, 14 acquisition et développement, 17 continuité). Les règles de coût ou de dimensionnement ne portent aucune référence.

Les règles de configuration cloud portent ces références règle par règle. Les règles de Kubernetes et d'hôtes portent des clés de benchmarks : CIS-K8s, PSS, CIS-RHEL, CIS-Ubuntu, CIS-Windows, CIS-Docker, CIS-Azure, STIG, OWASP, le plus souvent sans identifiant de contrôle.

Les référentiels connus de l'interface

L'interface connaît les référentiels suivants, avec leur nom d'affichage :

Clé	Nom affiché	Objet
CIS	CIS Benchmarks	Guides de configuration du Center for Internet Security
CIS-K8s	CIS Kubernetes	Benchmark CIS pour les clusters Kubernetes
CIS-Docker	CIS Docker	Benchmark CIS pour Docker
ISO27001	ISO 27001	Systèmes de management de la sécurité de l'information
SOC2	SOC 2	Critères des services de confiance
GDPR	GDPR	Règlement général sur la protection des données
PCI-DSS	PCI DSS	Données de cartes de paiement
NIST	NIST 800-53	Contrôles de sécurité NIST
HIPAA	HIPAA	Protection des données de santé
SecNumCloud	SecNumCloud	Qualification ANSSI des prestataires de cloud, référentiel 3.2
PQC	PQC	Préparation à la cryptographie post-quantique

Une instance neuve enregistre comme actifs les référentiels CIS, CIS-AWS, CIS-EKS, CIS-K8s, CIS-Docker, ISO27001, SOC2, GDPR, PCI-DSS, NIST, HIPAA et SecNumCloud.

Où les références apparaissent

• Dans le volet de détail d'un constat, la section « Référentiels » liste les références de la règle telles qu'elles sont écrites, ISO27001:A.8.20 par exemple. Un constat dont la règle n'en porte aucune n'affiche pas la section.
• Dans le catalogue de règles, chaque règle conserve sa liste de références. À la création d'une règle personnalisée, le champ « Référentiels de Conformité » propose les référentiels déjà présents dans le catalogue.
• Dans « Paramètres », la carte « Référentiels de conformité » (« Activez le suivi de conformité pour les référentiels ») présente un interrupteur par référentiel enregistré. Lire demande la permission « Lire » du domaine « Paramètres », modifier demande « Modifier ».

Désactiver un référentiel ne modifie ni les règles, ni les constats, ni le volet de détail. Le réglage est lu à deux endroits : le calcul de couverture par référentiel fourni aux assistants, et la page de conformité décrite ci-dessous.

La page de conformité

Une page de conformité, avec un détail par référentiel et une version imprimable, calcule pour chaque référentiel actif la part des contrôles dont toutes les règles passent. Cette page est en validation interne et n'est pas disponible pour les clients : elle n'apparaît dans la navigation que pour les comptes de l'équipe Ctadel. Les références dans les constats et le réglage des référentiels sont en revanche visibles de tous.

Limites

• Les références sont celles écrites dans le catalogue par Ctadel ; elles ne remplacent ni une cartographie faite par votre auditeur, ni une qualification officielle. Aucun référentiel n'est couvert dans son intégralité : seuls les contrôles qu'une lecture technique de la configuration peut vérifier portent une règle.
• Les clés CIS-AWS et CIS-EKS figurent dans les réglages mais n'ont pas de nom d'affichage dans l'interface ; PQC a un nom d'affichage mais n'est pas enregistré dans les réglages d'une instance neuve.
• Les clés de benchmarks des règles d'hôtes et de Kubernetes (CIS-RHEL, CIS-Ubuntu, CIS-Windows, CIS-Azure, STIG, OWASP, PSS) s'affichent dans les constats mais n'ont ni nom d'affichage ni interrupteur dans les réglages.
• Il n'existe pas de filtre par référentiel dans les listes de constats, ni d'export de rapport de conformité pour les clients.
• La page de conformité compte par projet et ne connaît pas les dossiers ; elle est de toute façon en validation interne.
• Les textes de l'interface emploient « Référentiels » en français et « Frameworks » en anglais pour la même notion.