Conformité
RGPD, NIS2, ISO 27001 : des preuves plutôt que des promesses.
VDR ne rend pas une organisation conforme à lui seul. Il couvre une partie précise des exigences (surveillance, gestion des incidents, traçabilité) et fournit les éléments pour le démontrer.
RGPD
Les données de sécurité sont aussi des données personnelles
Adresses IP et noms de comptes permettent d’identifier des personnes. Leur traitement pour la sécurité des réseaux est reconnu comme un intérêt légitime (considérant 49 du RGPD), à condition d’être proportionné.
- MinimisationL’agent n’envoie que les alertes et les bans, pas les journaux bruts.
- Durée de conservationRéglable par organisation (de 30 à 730 jours), purge automatique chaque nuit.
- Réversibilité et droit d’accèsExport complet des données d’une organisation en JSON.
- Aucun sous-traitant cachéNi CDN, ni police web, ni mesure d’audience : la console et ce site ne chargent rien de l’extérieur.
- Violations de donnéesÉchéance de notification CNIL (72 h, art. 33) suivie sur chaque incident concerné.
NIS2
Directive (UE) 2022/2555 : mesures de l’article 21 et notification de l’article 23
Lecture honnête de ce que VDR couvre, en partie ou pas du tout. La portée exacte des obligations dépend de la transposition en droit français et du statut de votre entité.
| Mesure | Ce que VDR apporte | Couverture | |
|---|---|---|---|
| a | Politiques d'analyse des risques et de sécurité des systèmes d'information | Inventaire des serveurs, criticité, scénarios de menace documentés. La politique elle-même reste à rédiger par l’organisation. | Partiel |
| b | Gestion des incidents | Détection, corrélation entre serveurs, notifications (e-mail, SMS, push, webhook), incidents avec chronologie, preuves et échéances de notification. | Couvert |
| c | Continuité d'activité, sauvegardes, gestion de crise | Hors périmètre. VDR signale seulement l’arrêt de la journalisation et les serveurs muets. | Hors périmètre |
| d | Sécurité de la chaîne d'approvisionnement | Hors périmètre. VDR lui-même n’a aucune dépendance externe (bibliothèque standard, aucune ressource tierce). | Hors périmètre |
| e | Sécurité de l’acquisition, du développement et de la maintenance, vulnérabilités | Correctifs de sécurité en attente sur chaque serveur, contrôles de durcissement, intégrité des paquets système. Les logiciels installés hors paquets ne sont pas analysés. | Partiel |
| f | Évaluation de l'efficacité des mesures | Indicateurs de posture calculés en continu et rapport imprimable. | Couvert |
| g | Cyberhygiène et formation | Hors périmètre. | Hors périmètre |
| h | Cryptographie et chiffrement | Flux agents en TLS vérifié, jetons et sessions hachés, secrets chiffrés au repos. Ne couvre pas vos propres systèmes. | Partiel |
| i | Sécurité des ressources humaines, contrôle d’accès, gestion des actifs | Rôles dans la console, liste des serveurs, alertes sur les connexions et changements de comptes. | Partiel |
| j | Authentification multifacteur | TOTP obligatoire pour tous les comptes de la console ; alertes sur connexions suspectes aux serveurs. | Couvert |
| art. 23 | Notification des incidents importants | Alerte précoce sous 24 h, notification sous 72 h, rapport final sous un mois : échéances calculées et rapport d’incident. | Couvert |
ISO/IEC 27001:2022
Mesures de l’annexe A soutenues par VDR
Surveillance et journalisation
- A.8.15 Journalisation
- A.8.16 Activités de surveillance
- A.8.17 Synchronisation des horloges (écart suivi par agent)
Gestion des incidents
- A.5.24 à A.5.27 : préparation, évaluation, réponse, enseignements
- A.5.28 Collecte des preuves
Protection technique
- A.8.7 Protection contre les logiciels malveillants
- A.8.9 Gestion des configurations
- A.8.19 Logiciels installés
- A.8.20 Sécurité des réseaux
Accès et traçabilité
- A.8.5 Authentification sécurisée
- A.5.33 Protection des enregistrements
- A.8.24 Cryptographie
Dans la console, la page Conformité calcule ces indicateurs sur vos données et produit un rapport de posture imprimable.