Surveillance continue de la conformité

1) Qu'est-ce que la surveillance continue de la conformité

• Réduire les contrôles manuels et le facteur humain.
• Réduire le TTD/MTTR des infractions.
• Fournir un état « audit-ready » à tout moment.
• Accélérez la mise en œuvre des changements grâce au policy-as-code.

2) Portée (scope) du CCM

Accès et identités (IAM/IGA) : SoD, rôles redondants, « accès sans propriétaire ».
Données et vie privée : Retence/TTL, masquage, Legal Hold, DSAR-SLA.
Infrastructure/cloud/IaC : dérive des configurations, cryptage, segmentation.
Produit/code/CI-CD : secrets dans les dépôts, SCA/SAST/DAST, licences OSS.
Transactions/AML : contrôle des sanctions/RER, règles d'anomalie, RTS/SAR.
Opérations : journaux d'audit, redondance et restauration, vulnérabilités.

3) Architecture de référence CCM

1. Collecte des signaux : agents et connecteurs (cloud, OBD, logs, SIEM, IAM, CI/CD, DLP, courrier/chat-archives).

2. Normalisation et enrichissement : bus d'événements (Kafka/Bus) + ETL/ELT dans les vitrines Compliance.

3. Politiques-en-code (CaC) : dépôt YAML/Rego/politique avec versions, tests et revues.

4. Moteur de règles (stream/batch) : calcule les irrégularités, la priorité et le risque.

5. Orchestration : tiketing/SOAR + escalade selon RACI, auto-remediation, extrait SLA.

6. Evidence/WORM : artefacts immuables (logs, snapshots, rapports).

7. Dashboards et reporting : heatmap, KPI/SLO, déchargement réglementaire.

4) Politiques-comme-code : mini-schémas

yaml id: IAM-SOD-007 title: "Prohibition of toxic combination of roles: finance_approver + vendor_onboarder"
scope: ["iam:"]
detect:
query: iam_sod_violations_last_1h. sql severity: high notify: ["GRC","SecOps"]
remediate:
playbook: revoke_extra_role sla:
detect_minutes: 15 remediate_hours: 24 evidence:
sink: s3://evidence/iam-sod/dt={{ts}}
owners: ["IGA","FinanceOps"]

yaml id: GDPR-RET-001 title: "TTL 24м для PI; LegalHold priority"
rule: "object. age_months <= 24          object. legal_hold == true"
detect:
job: retention_scan_daily sla: { detect_minutes: 60, remediate_days: 7 }

5) Contrôles normatifs types

6) Métriques et SLO

Coverage :% des systèmes/données sous surveillance (objectif ≥ 90 %).
DTMT/DTMT des contrôles : temps moyen jusqu'au détail/élimination.
Drift Rate : dérive des configurations/mes.
Taux positif faux : proportion de faux positifs selon les règles.
Temps de lecture de l'audit : temps de préparation de l'evidence (l'objectif est l'horloge).
DSAR SLA :% fermé à temps ; médiane de la réponse.
Accès Hygiene : proportion de droits obsolètes ; fermeture des violations du SoD.

7) Processus (SOP) CCM

1. L'identification des exigences → la matrice « norme → contrôle → métrique ».
2. Conception de règles → policy-as-code, tests, PR/rhubarbe, versioning.
3. Déployez le → staging-validation, puis prod avec feature-flag.
4. Surveillance et alertes → hiérarchisation (sev/impact), réduction du bruit, déduplication.
5. Remediation → auto-playbooks + tickets aux propriétaires ; L'escalade SLA.
6. Evidence → images périodiques ; WORM/immutability; les résumés de hachage.
7. Réévaluation → tuning trimestriel des règles, analyse FPR/TPR, comparaisons A/B.
8. Formation → formation des propriétaires de contrôles, instructions et annuaires d'exceptions (waivers).

8) Le cycle de vie de l'alerte

Detect → Triage → Assign → Remediate → Verify → Close → Learn.
Pour chaque étape sont enregistrés : le propriétaire, le délai, les mesures prises, les artefacts de preuve.

9) Intégration

GRC - Exigences, risques, contrôles, campagnes de jalousie, entreposage d'artefacts.
SIEM/SOAR - corrélation des événements, playbooks automatiques.
IAM/IGA - attestations, SoD, RBAC/ABAC, cycle de vie des accès.
CI/CD/DevSecOps - Gates de conformité, SAST/DAST/SCA, scan secret.
Data Platform - vitrines « Conformité », catalogue/lineage, masquage.
DLP/EDRM - étiquettes de sensibilité, interdiction d'exfiltration, journaux.
Ticketing/ITSM - SLA, escalade, rapports par propriétaire et équipe.

10) Dashboards (recrutement minimum)

Compliance Heatmap (systèmes × normes × statut).
SLA Center (délais DSAR/AML/PCI/SOC2, arriérés).
Access & SoD (rôles toxiques, accès « oubliés »).
Retraite et suppression (violation de TTL, verrous Legal Hold).
Infra/Cloud Drift (incohérences IaC/état réel).
Incidents & Findings (tendances de répétition, efficacité de remediation).

11) Exemples de règles (SQL/pseudo)

sql
SELECT user_id, dataset, created_at
FROM pi_objects
WHERE age_months(created_at) > 24
AND legal_hold = false;

sql
SELECT u. id, r1. role, r2. role
FROM user_roles r1
JOIN user_roles r2 ON r1. user_id = r2. user_id
JOIN users u ON u. id = r1. user_id
WHERE r1. role = 'finance_approver' AND r2. role = 'vendor_onboarder';

12) Rôles et RACI

13) Gestion des exceptions (waivers)

Demande formelle avec justification et date d'expiration.
Évaluation des risques et contrôles compensatoires.
Auto-rappel de la révision.
Prise en compte dans les rapports (transparence pour le vérificateur).

14) Vie privée et sécurité au CCM

Minimisation des données dans les vitrines et les logs (édition PII).
Partage des responsabilités, moins de privilèges.
Immutability (WORM/S3 Object Lock) для evidence.
Capture cryptographique des rapports (chaînes de hachage).
Contrôle d'accès et journal des artefacts.

15) Chèques-feuilles

Démarrer CCM

• La matrice « norme → contrôle → métrique » est harmonisée.
• Sources de signaux clés connectées.
• Les politiques sont décrites par le code, couvertes de tests et de rhubarbe.
• Y compris les dashboards et les alertes ; défini par SLO/SLA.
• L'archive evidence (immutabilité) est configurée.
• Les propriétaires sont formés ; le processus des waivers est défini.

Avant l'audit

• Version actualisée des politiques et des modifications.
• Des sélections d'évidence ont été effectuées.
• Les retards de remédiation et les exceptions sont fermés.
• Les métriques Coverage/MTTD/MTTR/Drift ont été rapprochées.

16) Anti-modèles

« Contrôles à la vérification » au lieu de contrôles permanents.
Règles bruyantes sans priorité ni déduplication.
Stratégies sans versioning et tests.
Surveillance sans propriétaires et SLA.
Evidence aux emplacements modifiables/pas de fixation de hachage.

17) Modèle de maturité CCM (M0-M4)

M0 Manuel : contrôles sporadiques, rapports dans Excel.
M1 Instrumental : télémétrie partielle, règles ponctuelles.
M2 Autoprotection : contrôles permanents, SLO de base et alertes.
M3 Orchestrated : SOAR, auto-remediation, « audit-ready » n'importe quel jour.
M4 Assurance continue : contrôles en SDLC/vente + libre-service auditeur.

18) Articles wiki liés

Automatisation de la conformité et des rapports

Legal Hold et le gel des données

Privacy by Design et minimisation des données

Graphiques de stockage et de suppression des données

PCI DSS/SOC 2 : contrôle et certification

Gestion de l'incident et Forensica

Résultat

Le CCM est le « pouls de conformité » de l'organisation : les politiques sont exprimées en code, les signaux circulent en continu, les perturbations sont visibles instantanément, les preuves sont collectées automatiquement et l'audit se transforme en routine opérationnelle plutôt qu'en incendie.