Parcours Cyber en 10 étapes
Trente minutes, dix étapes, dans l’ordre. Chaque étape se termine par la question à laquelle vous devez savoir répondre avant de passer à la suivante.
1. Lire ce que le règlement exige techniquement — 5 min
Lire Exigences essentielles, puis les deux pages qui en découlent : Sécurité du produit (annexe I, partie I) et Traitement des vulnérabilités (annexe I, partie II).
À savoir répondre : parmi les treize exigences de la partie I, lesquelles ne sont pas applicables à votre produit, et sur quelle base documentée ?
2. Savoir ce qu’est un SBOM conforme — 3 min
Lire Définition et Ce que le CRA exige.
Format couramment utilisé, lisible par machine, au minimum les dépendances de premier niveau — un plancher légal, pas une cible.
À savoir répondre : pourquoi un tableur ou un PDF ne satisfont-ils pas l’exigence ?
3. Choisir un format et s’y tenir — 3 min
Lire Formats, puis CycloneDX et SPDX.
À savoir répondre : quel est votre format pivot, et dans quel cas exportez-vous dans l’autre ?
4. Générer — 4 min
Lire Générer un SBOM et Générateurs.
Le SBOM se produit au plus près de l’artefact, dans le pipeline qui le fabrique, jamais à la main a posteriori.
À savoir répondre : deux outils produisent deux SBOM différents pour le même artefact — comment garantissez-vous la comparabilité dans le temps ?
5. Intégrer dans la CI/CD — 3 min
Lire Intégration CI/CD.
Huit étapes : construire, générer, valider, signer, publier, appliquer les politiques, attacher, archiver.
À savoir répondre : quelles conditions font échouer un build, et comment obtient-on une dérogation qui expire ?
6. Comprendre la distinction générer / piloter — 4 min
Lire Générer et piloter puis Plateformes.
C’est le malentendu le plus coûteux du sujet. « On a mis un scanner dans la CI, on est conformes » est faux : sans centralisation, on ne peut ni répondre à une autorité, ni savoir quelles versions livrées sont affectées.
À savoir répondre : en combien de temps pouvez-vous lister les produits contenant un composant donné, toutes versions livrées confondues ?
7. Traiter les vulnérabilités sans se noyer — 4 min
Lire Gestion des vulnérabilités, VEX et Faux positifs.
Le VEX est la forme documentaire d’une décision motivée de ne pas corriger. C’est ce qui distingue « traité » d’« ignoré ».
À savoir répondre : quel est votre ratio d’alertes actionnables sur alertes brutes ?
8. Ouvrir un canal de signalement — 2 min
Lire Politique CVD et la page publique Divulgation des vulnérabilités.
L’adresse de contact et la politique publiée sont des obligations de fond, pas des pages de courtoisie.
À savoir répondre : votre
security.txtest-il en ligne, et son champExpiresest-il encore dans le futur ?
9. Armer la procédure à 24 heures — 3 min
Lire Procédure 24 h / 72 h / 14 j et Le signalement à l’ENISA.
Une astreinte, un canal testé, des gabarits pré-remplis, deux exercices par an.
À savoir répondre : quel est votre délai réel mesuré lors du dernier exercice ?
10. Surveiller en continu — 2 min
Lire Surveillance continue et Risques de chaîne d’approvisionnement.
Un composant sain aujourd’hui est vulnérable demain, sans nouveau build. Le SBOM ne sert que s’il est rejoué chaque jour contre des sources qui bougent.
Et ensuite
Sécurité par conception, Mises à jour sécurisées et la liste de contrôle technique complètent le parcours.
Quatre pages traitent de la chaîne d’approvisionnement elle-même, et se lisent dans cet ordre :
- Incidents de référence — quatorze compromissions datées, pour savoir de quoi on parle ;
- Sécuriser la chaîne de construction — la CI comme surface d’attaque, et non comme simple outil ;
- Verrouiller et mettre à jour les dépendances — figer pour reconstruire, mettre à jour pour ne pas être vulnérable ;
- Évaluer un composant open source — rendre calculable la diligence de l’article 13, paragraphe 5.