Vos développeurs produisent plus vite avec des assistants de code et des agents. Nous identifions les risques propres à ces flux de travail et mettons en place des contrôles adaptés, sans brider la productivité.
Un assistant de code produit en quelques secondes ce qu’un développeur écrivait en une heure, failles comprises. Un agent qui agit dans vos dépôts dispose de droits qu’aucun stagiaire n’aurait. Les contrôles pensés pour un rythme humain ne suivent plus.
Nous adaptons donc les contrôles à ce nouveau rythme : des règles sur les données confiées, des droits limités pour les agents, des vérifications automatiques dans la chaîne de livraison et une relecture humaine concentrée là où elle compte.
Nous partons de la façon dont vos équipes utilisent réellement l’IA, outil par outil.
Vous obtenezUne cartographie des flux de développement
Vous obtenezLes risques classés par flux
Vous obtenezDes contrôles vérifiés dans les outils et la chaîne
Vous obtenezDes indicateurs partagés avec l’équipe
Les textes ne distinguent pas le code écrit par un humain de celui produit par une IA : les exigences de développement s’appliquent à l’un comme à l’autre.
Les entités financières testent et approuvent les systèmes avant leur utilisation, y compris la qualité du logiciel développé en interne, avec des revues du code source couvrant des tests statiques et dynamiques.12
Le fabricant d’un produit comportant des éléments numériques fait preuve de diligence lorsqu’il intègre des composants de tiers, y compris open source ; à notre lecture, cela vaut aussi pour les dépendances qu’un assistant suggère.3
La directive range la sécurité du développement et de la maintenance des systèmes parmi les mesures que les États membres doivent exiger des entités.4
La CNIL recommande des tests complets avant chaque mise à disposition, l’absence de secrets dans le gestionnaire de versions, et une revue de code ou un test de non-régression avant tout passage en production.567
Les textes ne s’appliquent pas à toutes les organisations : leur applicabilité dépend de votre statut, de votre secteur, de votre taille et de vos contrats. Elle est à faire confirmer par votre juriste ou un avocat spécialisé.
Vous choisissez le niveau ; le périmètre et les livrables sont fixés par contrat.
Nous vérifions à intervalles convenus la configuration des outils et des agents, et l’exécution des contrôles automatiques.
LivrablesNous évaluons vos flux de développement et recommandons règles et contrôles, que vous arbitrez.
LivrablesNous accompagnons la mise en place des contrôles avec vos équipes, sans effectuer les changements dans votre SI.
LivrablesDonnées exclues, secrets protégés, droits des agents limités : une configuration de départ pour Claude Code et Codex, avec de quoi la déployer sur le parc et vérifier qu’elle s’applique.
Analyses des secrets, des dépendances et du code, bloquantes là où il faut, à brancher dans votre CI/CD.
Avec l’option Skill Boost, vos développeurs apprennent à relire efficacement du code généré et à repérer ses failles typiques.
Non. Ils apportent un gain réel. Il faut en revanche choisir des outils et des réglages qui protègent votre code et vos secrets, et adapter les contrôles au volume produit.
Il n’est pas relu par son auteur avec la même attention, et il reproduit des schémas fréquents, failles comprises. D’où l’intérêt d’analyses automatiques et d’une relecture humaine ciblée.
Le minimum nécessaire : branches dédiées, pas de fusion sans relecture humaine, pas d’accès aux secrets de production, actions journalisées. Nous fixons ces règles avec vous.
Ils sont nécessaires, pas suffisants. Un fichier de configuration que l’utilisateur peut modifier ne protège rien ; un réglage déployé sur les postes ne s’applique pas aux sessions lancées dans le cloud ; et une même option ne s’impose pas de la même façon sous Windows, WSL et macOS. Nous vérifions donc chaque réglage en tentant ce qu’il doit interdire.
Oui, après examen. Une extension (skill, serveur MCP, plugin) agit avec les droits de l’agent. Avant installation, nous regardons ce qu’elle lit, exécute et télécharge, et si ses garde-fous tiennent réellement ce qu’ils annoncent.
Oui, pour analyser et rédiger plus vite. Chaque production est relue par un expert avant de vous parvenir, et nous appliquons à nos propres outils les règles que nous vous recommandons.
Décrivez vos outils de développement et leurs usages. Nous revenons vers vous avec une proposition de cadrage.
Texte exact, dans sa langue d’origine, tiré des référentiels extraits du texte officiel.
32024R1774-a16-p2Financial entities shall develop, document, and implement an ICT systems’ acquisition, development, and maintenance procedure for the testing and approval of all ICT systems prior to their use and after maintenance, in accordance with Article 8(2), point (b), points (v), (vi) and (vii). The level of testing shall be commensurate to the criticality of the business procedures and ICT assets concerned. The testing shall be designed to verify that new ICT systems are adequate to perform as intended, including the quality of the software developed internally. Central counterparties shall, in addition to the requirements laid down in the first subparagraph, involve, as appropriate, in the design and conduct of the testing referred to in the first subparagraph:32024R1774-a16-p3The procedure referred to in paragraph 2 shall contain the performance of source code reviews covering both static and dynamic testing. That testing shall contain security testing for internet-exposed systems and applications in accordance with Article 8(2), point (b), points (v), (vi) and (vii). Financial entities shall:32024R2847-a13-p5For the purpose of complying with paragraph 1, manufacturers shall exercise due diligence when integrating components sourced from third parties so that those components do not compromise the cybersecurity of the product with digital elements, including when integrating components of free and open-source software that have not been made available on the market in the course of a commercial activity.32022L2555-a21-p2-5security in network and information systems acquisition, development and maintenance, including vulnerability handling and disclosure;F11-PE-06Réaliser des tests complets (ex. : unitaires, d’intégration, fonctionnels, de sécurité) avant la mise à disposition ou la mise à jour d’un produit. Lors d’une mise à jour, s’assurer que les tests utilisés sont toujours adaptés.F11-PE-08Veiller à l’absence de secrets (d’authentification ou de chiffrement) lors du dépôt de code dans un outil de gestion de versions (ex. : Git ou svn). Changer les secrets lors du passage en production.F11-PE-09Effectuer un test de non-régression et/ou une revue de code avant tout passage en production d’une mise à jour pour éviter l’apparition de sources de violation de données personnelles.