Sécurité et durcissement administratif

Objectif

Cette page consolide la posture de sécurité de Visual Expert (VE) et fournit des recommandations de durcissement pratiques pour les administrateurs. Elle complète deux autres documents de référence :

Protection des données et confidentialité : explique quelles données sont traitées et comment elles sont gérées
Architecture et réseau : décrit les points de terminaison, les flux réseau et les prérequis techniques

1) Posture de sécurité — Ce que VE fait (et ne fait pas)

Périmètre et accès

Périmètre contrôlé par l'utilisateur : Visual Expert analyse uniquement les éléments source que vous sélectionnez explicitement pour l'analyse. Cela inclut les fichiers source, les définitions d'objets de base de données (procédures, fonctions, vues), les requêtes SQL et le code applicatif. Aucun scan automatique de votre environnement complet n'a lieu sans votre instruction explicite.
Aucun traitement de données métier : Visual Expert traite le code et les métadonnées (définitions d'objets, schémas, structure du code), mais n'accède pas aux données de production, aux enregistrements métier ni aux données d'exécution de vos bases de données ou applications.
Opérations en lecture seule : Visual Expert fonctionne en mode lecture seule. Il ne modifie pas votre code source, vos schémas de base de données ni aucun autre élément de votre environnement.

Traitement des données IA (VE AI)

Ce qui est transmis : lorsque vous utilisez les fonctionnalités VE AI, le système envoie une requête macro IA prédéfinie (générée par Visual Expert en fonction de votre action dans l'interface utilisateur), accompagnée d'un extrait de code minimal. Cet extrait est strictement limité au fragment de code nécessaire pour répondre à votre question ou demande d'analyse spécifique.
Ce qui n'est pas transmis : Visual Expert n'envoie pas de référentiels de code source complets, de dumps de bases de données globaux ni de données de production au service IA. Seul l'extrait de code spécifique requis pour votre analyse en cours est transmis.
Contexte de projet pour de meilleurs résultats : afin d'améliorer la précision et la pertinence des réponses IA futures au sein de votre projet, Visual Expert peut conserver des extraits de code et des résultats IA (y compris des représentations dérivées telles que des résumés ou des annotations) à deux endroits :
- Dans votre tenant VE Cloud : ces données restent isolées dans votre environnement tenant dédié.
- Dans votre tenant OpenAI : OpenAI peut conserver ces données pour améliorer la qualité des réponses dans le contexte de votre projet spécifique, mais ne peut pas les utiliser à d'autres fins (entraînement ou autres).
Ces données de contexte de projet ne sont pas accessibles aux autres utilisateurs VE ni aux tiers. Vous pouvez en demander la suppression à tout moment (voir la section Rétention et suppression ci-dessous).

Politique d'accès humain

Aucun accès humain par défaut : par défaut, aucun collaborateur de Novalys ni aucun tiers n'a accès à vos extraits de code, résultats IA ou données de contexte de projet.
L'accès au support nécessite une autorisation : l'accès par les équipes de support Novalys n'est possible qu'avec votre autorisation écrite explicite. Lorsqu'il est accordé, l'accès est strictement limité aux données minimales nécessaires à la résolution de votre demande de support et est tracé à des fins d'audit.

Chiffrement et isolation

Données en transit : toutes les communications entre les composants Visual Expert utilisent le chiffrement TLS pour protéger les données lors de leur transmission.
Données au repos : les données stockées dans VE Cloud et chez OpenAI (via API) sont chiffrées à l'aide d'algorithmes de chiffrement AES.
Isolation par tenant : les données de chaque client sont isolées au niveau du tenant dans VE Cloud.
Séparation des environnements : les environnements de développement, de test et de production sont séparés afin de maintenir des frontières de sécurité claires.

2) Rétention et suppression

VE Cloud (tenant client)

Les éléments de contexte de projet (extraits de code, résultats IA et représentations dérivées) sont conservés dans votre tenant VE Cloud aussi longtemps qu'ils sont nécessaires pour assurer le fonctionnement de VE AI et améliorer la qualité de l'analyse pour votre projet.

Procédure de suppression : toutes les données de contexte de projet sont supprimées sur votre demande ou automatiquement à l'expiration de votre accord de service. Pour demander une suppression, contactez le support Novalys en précisant vos exigences.

OpenAI (via API)

OpenAI conserve les données uniquement pendant la durée nécessaire à la fourniture du service IA à votre instance Visual Expert.

Délai de suppression : OpenAI supprime toutes les données conservées dans un délai maximum de 30 jours après réception de votre instruction de suppression (transmise via Visual Expert) ou à la résiliation du service.

3) Gestion des identités et des accès

Provisionnement des comptes : l'accès à Visual Expert est accordé exclusivement aux comptes utilisateurs explicitement approuvés par votre organisation. Aucune création de compte automatique ou par défaut n'a lieu.
Principe du moindre privilège : n'accordez à Visual Expert l'accès qu'aux référentiels, bases de données ou sources de code spécifiquement requis pour l'analyse.
Séparation des responsabilités : maintenez une séparation claire entre les rôles d'administration de Visual Expert et les rôles d'administration des sources et bases de données.

4) Journalisation et surveillance

Visual Expert maintient des journaux techniques minimaux comprenant des identifiants, des horodatages, des statuts d'opérations et des informations de diagnostic. Ces journaux permettent la surveillance opérationnelle et le diagnostic des incidents.

Les clients peuvent mettre en place leurs propres outils de surveillance réseau et contrôles de sécurité (serveurs proxy, systèmes SIEM ou outils d'analyse du trafic réseau) pour maintenir la visibilité sur l'activité de Visual Expert dans leur environnement.

5) Gestion des vulnérabilités

Cadence des correctifs et SLA de remédiation

Vulnérabilités critiques : objectif de remédiation en 7 jours ou moins à compter de leur identification
Vulnérabilités de sévérité haute : objectif de remédiation en 30 jours ou moins
Vulnérabilités de sévérité moyenne et faible : remédiées conformément aux politiques internes d'évaluation des risques

Hygiène des dépendances

Novalys surveille et met à jour en continu les composants et dépendances tiers sur la base des évaluations de risques de sécurité et des avis de sécurité des éditeurs.

6) Cycle de développement logiciel sécurisé (SDLC)

Revues de code : toutes les modifications de code font l'objet d'une revue par les pairs avant intégration.
Fusions contrôlées : les fusions de code nécessitent de passer des jalons de qualité automatisés et manuels.
Analyses statique et dynamique : Visual Expert utilise des outils SAST et DAST pour détecter les problèmes de sécurité en amont.
Contrôles de la chaîne d'approvisionnement : les artefacts de build sont signés et soumis à un contrôle d'intégrité.
Signature du code : les composants exécutables sont signés numériquement avant leur mise en production.
Suivi des modifications : toutes les versions logicielles sont versionnées et traçables via la documentation.

7) Gestion des changements

Séparation des environnements : les environnements de développement, de test et de production sont séparés.
Déploiements contrôlés : les versions logicielles suivent un déploiement progressif avec des jalons de validation.

8) Responsabilités du client

Maîtrise du périmètre

Sélectionnez uniquement les référentiels, bases de données ou objets de code que vous avez spécifiquement l'intention d'analyser avec Visual Expert. Évitez d'accorder l'accès à des référentiels de code non concernés ou sensibles.

Hygiène des secrets

Évitez d'incorporer des secrets (mots de passe, clés API, tokens, certificats) dans le code soumis à VE AI. En cas de découverte de secrets, procédez immédiatement à leur rotation.

Contrôle des accès

N'approuvez que les comptes utilisateurs nécessaires, révisez les accès régulièrement et supprimez les comptes inutilisés.

Gouvernance IA

Novalys peut configurer les crédits VE AI à zéro pour les référentiels où l'analyse IA ne doit pas être utilisée. Vous pouvez également bloquer le trafic sortant vers les points de terminaison des services IA.

Politique de trafic sortant

Mettez en place des listes d'autorisation et des contrôles de trafic sortant conformément au document Architecture et réseau, afin que seul le trafic Visual Expert autorisé quitte votre réseau.

Cycle de vie des données

Demandez la suppression des éléments de contexte de projet lorsqu'ils ne sont plus nécessaires ou à l'expiration de votre accord de service.

9) Liste de contrôle de durcissement administratif

Comptes et autorisations

Maintenez une liste documentée de tous les comptes utilisateurs Visual Expert approuvés.
Supprimez rapidement les comptes inutilisés ou inactifs.
Appliquez le principe du moindre privilège pour les accès aux référentiels et aux bases de données.

Contrôles d'utilisation de l'IA

Allouez des crédits VE AI uniquement aux équipes ayant un besoin légitime.
Demandez à Novalys de mettre les crédits IA à zéro pour les référentiels où les fonctionnalités IA ne doivent pas être utilisées.
Bloquez optionnellement le trafic sortant vers les domaines des services IA.
Communiquez les règles d'usage : VE AI n'est déclenché que via des contrôles d'interface prédéfinis et ne soumet que des extraits de code minimaux.

Réseau et trafic sortant

Appliquez les listes d'autorisation de domaines et les règles de trafic sortant conformément au document Architecture et réseau.
Assurez-vous que les pare-feux et les proxies ne perturbent pas la validation des certificats TLS.

Hygiène des sources

Utilisez les fonctionnalités de scan de Visual Expert pour détecter les secrets intégrés avant d'activer l'usage de l'IA.
Établissez une politique de suppression des données sensibles dans les commentaires de code avant toute soumission à l'IA.

FAQ — Sécurité et durcissement

S1. À quoi VE accède-t-il dans notre environnement ?: Visual Expert accède uniquement au code et aux définitions d'objets de base de données que vous sélectionnez explicitement pour l'analyse.
S2. VE modifie-t-il notre code ou nos bases de données ?: Non. Visual Expert fonctionne en mode lecture seule et ne modifie pas votre code ni vos bases de données.
S3. Quelles données quittent notre environnement lors de l'utilisation de VE AI ?: Seule une requête macro prédéfinie et un extrait de code minimal nécessaire à votre analyse sont transmis.
S4. D'autres personnes que nous peuvent-elles consulter nos extraits ou résultats ?: Non. L'accès est limité à vos utilisateurs, sauf si vous autorisez le personnel de support Novalys.
S5. Les entrées ou sorties sont-elles utilisées pour entraîner des modèles IA ?: Non. Les entrées et sorties ne sont pas utilisées pour entraîner ou affiner des modèles IA.
S6. Comment les données sont-elles protégées en transit et au repos ?: Les données sont protégées par chiffrement TLS lors de la transmission et par chiffrement AES au repos.
S7. Comment l'isolation est-elle assurée entre les clients et les projets ?: L'isolation est assurée par la segmentation des tenants dans VE Cloud et par des silos de données au niveau des projets.
S8. Dans quel délai les correctifs de vulnérabilité sont-ils appliqués ?: Vulnérabilités critiques : 7 jours ; sévérité haute : 30 jours ; autres selon la politique interne.
S9. Quelles sont nos responsabilités dans le modèle de sécurité partagée ?: Limiter le périmètre d'analyse, éviter les secrets dans le code, contrôler les accès et gérer la suppression des données.

Glossaire

AES : Advanced Encryption Standard — chiffrement symétrique pour les données au repos
API : Application Programming Interface — protocoles de communication entre logiciels
DAST : Dynamic Application Security Testing — tests sur les applications en cours d'exécution
DPA : Data Processing Agreement — contrat encadrant le traitement des données entre parties
SAST : Static Application Security Testing — tests sur le code source
SDLC : Software Development Lifecycle — planification, création, test et déploiement de logiciels
SIEM : Security Information and Event Management — systèmes d'analyse des journaux de sécurité
TLS : Transport Layer Security — protocole de communication réseau sécurisée