La sécurité se construit, elle ne se déclare pas

Les besoins de confidentialité sont identifiés dès le cadrage. Les engagements nécessaires sont définis avec l’organisation avant le partage de données.

Les profils d’accès, les droits et les traces nécessaires sont définis selon le périmètre, les outils et les responsabilités du projet.

Les données utiles au projet sont examinées avec l’organisation ; anonymisation, pseudonymisation ou jeux de test peuvent être retenus selon le cas.

La durée de conservation et les modalités de retrait, de retour ou de suppression sont définies avec l’organisation et ses exigences applicables.

Les besoins de protection des données sont pris en compte dans le périmètre, les flux et les responsabilités à définir avec l’organisation.

Les données nécessaires à la finalité du projet sont identifiées et le périmètre de collecte est discuté avec les équipes concernées.

Les rôles, les interlocuteurs et les points de traitement à examiner sont précisés dans le cadrage du projet.

Les éléments de documentation utiles au suivi du projet sont identifiés avec l’organisation, selon son contexte et ses exigences.

La localisation, le fournisseur et les contraintes d’hébergement sont choisis selon le projet, les données et les règles de l’organisation.

Les besoins de chiffrement en transit et au repos sont définis avec l’organisation en fonction des flux, des outils et de la sensibilité des données.

Les besoins de séparation entre environnements, jeux de données et usages sont examinés pendant le cadrage technique.

Les événements, accès et opérations à tracer sont déterminés avec l’organisation pour permettre le suivi prévu du système.

Les changements sont examinés selon leur portée, avec une attention portée aux effets possibles sur les accès, les données et l’exploitation.

Les contrôles et tests pertinents sont définis avec le périmètre de construction et les risques identifiés pour le projet.

Les modalités de suivi des dépendances et de priorisation des correctifs sont définies en fonction de l’environnement exploité.

Les conditions de mise à jour, de suivi et de reprise sont à définir avec l’organisation avant l’exploitation.