Déclaration d’Applicabilité — extrait public
SMSI · 3 — les 93 mesures de l’Annexe A (ISO/IEC 27001:2022), passées une par une. Cette page publie la méthode, la répartition par domaine et les mesures écartées avec leur justification. Version du 15/09/2026.
Chiffres recomptés le 12/09/2026. Le site (cette page et la fiche du projet) affichait auparavant 15 en place, 12 partielles, 20 à faire, 46 non applicables. Un comptage exact a corrigé ces chiffres en 12 / 30 / 16 / 35, reportés ci-dessous et sur la fiche projet.
Pourquoi un extrait, et pas le document entier. La Déclaration d’Applicabilité complète décrit, mesure par mesure, ce qui est en place, ce qui l’est à moitié et ce qui ne l’est pas encore : une liste priorisée de faiblesses, rédigée par la personne qui connaît le mieux la machine. Elle reste non publique et se présente en entretien. Ce qui est publié ici ne décrit aucune défense en place : ce sont les mesures qui ne s’appliquent pas à ce périmètre, et la raison écrite pour chacune.
Écarter une mesure avec une justification solide compte autant que l’appliquer — c’est même l’exercice le plus révélateur des deux. « A.7.4 surveillance physique — non applicable, hébergement mutualisé, reporté sur le fournisseur » est une réponse d’auditeur ; « on verra plus tard » n’en est pas une.
La méthode
Pour chacune des 93 mesures, quatre colonnes : applicable ou non, justification, état de mise en œuvre (en place, partiel, à faire) et preuve — un fichier de configuration, une commande, un document, ou l’aveu qu’il n’y en a pas encore. Le périmètre est celui du document de périmètre : un opérateur seul, une machine virtuelle chez un fournisseur cloud en responsabilité partagée, un dépôt de code public, un poste d’administration.
Répartition des 93 mesures
| Domaine | Mesures | En place | Partiel | À faire | Écartées | |
|---|---|---|---|---|---|---|
| A.5 | Mesures organisationnelles | 37 | 5 | 13 | 11 | 8 |
| A.6 | Mesures liées aux personnes | 8 | 0 | 2 | 0 | 6 |
| A.7 | Mesures physiques | 14 | 0 | 2 | 0 | 12 |
| A.8 | Mesures technologiques | 34 | 7 | 13 | 5 | 9 |
| Total | 93 | 12 | 30 | 16 | 35 |
Les mesures « personnes » et « physiques » sont majoritairement écartées ou transférées au fournisseur cloud : c’est attendu pour ce périmètre, pas un trou. Le détail des 58 mesures applicables (en place, partielles, à faire) n’est pas publié — voir l’encadré ci-dessus.
A.5 — Mesures organisationnelles (8 écartées sur 37)
| Réf | Mesure | Pourquoi elle est écartée |
|---|---|---|
| A.5.3 | Séparation des tâches | Opérateur unique, aucune séparation possible à cette échelle |
| A.5.4 | Responsabilités de la direction | Pas de hiérarchie, projet personnel |
| A.5.5 | Relations avec les autorités | Pas d'obligation réglementaire identifiée pour un portfolio perso |
| A.5.6 | Relations avec des groupes spécialisés | Hors périmètre pour un projet solo |
| A.5.11 | Restitution des actifs | Pas de tiers, pas de matériel prêté |
| A.5.13 | Marquage de l'information | Granularité disproportionnée pour ce périmètre |
| A.5.20 | Exigences sécurité dans les contrats fournisseurs | Contrat standard grand public, pas de négociation possible |
| A.5.35 | Revue indépendante de la sécurité | Pas de tiers disponible pour un audit indépendant à ce stade |
A.6 — Mesures liées aux personnes (6 écartées sur 8)
| Réf | Mesure | Pourquoi elle est écartée |
|---|---|---|
| A.6.1 | Sélection des candidats | Aucun recrutement, opérateur unique |
| A.6.2 | Termes et conditions d'emploi | Pas de salarié |
| A.6.4 | Processus disciplinaire | Pas d'employés |
| A.6.5 | Responsabilités après la fin du contrat | Pas d'employés |
| A.6.6 | Accords de confidentialité | Pas de tiers ayant accès aux secrets |
| A.6.8 | Signalement des événements de sécurité | Opérateur unique, pas de canal de signalement tiers |
A.7 — Mesures physiques (12 écartées sur 14)
| Réf | Mesure | Pourquoi elle est écartée |
|---|---|---|
| A.7.1 | Périmètres de sécurité physique | Datacenter Oracle, responsabilité transférée au fournisseur |
| A.7.2 | Contrôle d'accès physique | Idem — hébergement mutualisé Oracle |
| A.7.3 | Sécurisation des bureaux et salles | Pas de locaux dédiés |
| A.7.4 | Surveillance physique | Hébergement mutualisé Oracle, reporté sur le fournisseur |
| A.7.5 | Protection contre les menaces physiques/environnementales | Transféré à Oracle Cloud |
| A.7.6 | Travail dans les zones sécurisées | Sans objet pour ce périmètre |
| A.7.8 | Emplacement et protection du matériel | Poste perso, transféré à Oracle pour la VM |
| A.7.9 | Sécurité des actifs hors des locaux | Pas d'actif physique déplacé |
| A.7.11 | Services généraux (alimentation etc.) | Transféré à Oracle Cloud |
| A.7.12 | Sécurité du câblage | Transféré à Oracle Cloud |
| A.7.13 | Maintenance du matériel | Transféré à Oracle Cloud |
| A.7.14 | Mise au rebut sécurisée du matériel | Aucun matériel physique possédé pour l'hébergement |
A.8 — Mesures technologiques (9 écartées sur 34)
| Réf | Mesure | Pourquoi elle est écartée |
|---|---|---|
| A.8.6 | Gestion de la capacité | Charge négligeable pour un portfolio perso |
| A.8.10 | Suppression de l'information | Pas de politique de rétention de données utilisateur à ce stade |
| A.8.11 | Masquage des données | Pas de données sensibles à masquer dans ce périmètre |
| A.8.12 | Prévention de la fuite de données | Pas de DLP proportionné à ce périmètre |
| A.8.14 | Redondance des moyens de traitement | Disproportionné pour un portfolio personnel ; l’absence de machine de secours est un écart de continuité assumé, listé sur la fiche du projet |
| A.8.23 | Filtrage web | Pas de filtrage sortant nécessaire pour ce périmètre |
| A.8.30 | Développement externalisé | Développement 100% interne (solo) |
| A.8.33 | Informations de test | Pas de jeux de données de test avec données réelles |
| A.8.34 | Protection des systèmes pendant les tests d'audit | Aucun audit tiers mené à ce jour |
Ce que cet extrait ne dit pas
Deux mesures sont jugées non applicables mais gardées en suivi plutôt qu’écartées (A.5.7 renseignement sur les menaces, A.8.17 synchronisation des horloges) : elles figurent dans le document complet, pas ici. Les écarts assumés — sauvegarde de la base applicative, continuité, scan de vulnérabilités en continu — sont sur la fiche du projet, en toutes lettres.
Note du 15/09/2026 — l’audit interne du 14/09/2026 a fait évoluer deux contrôles. Les exclusions A.5.5, A.8.10 et A.8.11 énoncées ci-dessus n’ont pas encore été recotées à la lumière de cet audit : la recotation touche aussi la fiche de production et sera traitée dans une révision dédiée. La contradiction est signalée ici plutôt que masquée.