Contrôles d'accès logiques
Contrôle d'accès basé sur les rôles, application de MFA et liaison des jetons de session implémentés sur toutes les surfaces VaultPAM.
00 Conformité
chaque mécanisme de contrôle pam requis par nis2 art. 21. une seule plateforme.
Enregistrement des sessions, coffre-fort des accès à privilèges, MFA et journal d'audit — mappés à NIS2 art. 21 dès l'installation. Vos données restent en Pologne.
Hébergé dans l'UE · GCP Varsovie, Pologne · SOC 2 Type II 2026 · Conforme NIS2 · RGPD natif
01 NIS2 Art. 21
NIS2 art. 21 — chaque mécanisme de contrôle PAM couvert.
VaultPAM a été conçu en parallèle avec les exigences NIS2 dès le premier commit. Sans mappage manuel.
| Article | Exigence | Contrôle VaultPAM |
|---|---|---|
| Art. 21(2)(a) | Analyse des risques et politiques de sécurité des systèmes d'information | Audit trail + enregistrement de session pour tous les accès privilégiés. Rapports de risque exportables. |
| Art. 21(2)(b) | Gestion des incidents | Alertes en temps réel sur les sessions privilégiées suspectes. Relecture complète de la session pour l'enquête sur les incidents. |
| Art. 21(2)(e) | Sécurité lors de l'acquisition, du développement et de la maintenance des systèmes d'information et de réseau, y compris la gestion des vulnérabilités et la divulgation | SBOM, SAST/SCA à chaque version, test de pénétration annuel. Patch SLA appliqué dans le pipeline CI. |
| Art. 21(2)(g) | Authentification multifacteur ou solutions d'authentification continue | TOTP, FIDO2/WebAuthn, SSO SAML 2.0 avec application de MFA au niveau de la session. |
| Art. 21(2)(h) | Gestion des accès privilégiés — communications sécurisées, communications d'urgence | Extraction de connaissances juste à temps, sessions limitées dans le temps, pas de privilèges permanents. Accès basé sur les rôles avec journal d'audit. |
| Art. 21(2)(i) | Politiques et procédures relatives à la cryptographie et au chiffrement | AES-256-GCM au repos, TLS 1.3 en transit. Politique de rotation des clés appliquée. Aucune information d'identification stockée en clair. |
| Art. 21(2)(j) | Sécurité des ressources humaines, politiques de contrôle d'accès et gestion des actifs | RBAC avec isolation des locataires. Déprovisionnement automatique via révocation de session et rotation des identifiants. |
02 Chaîne d'audit
Intégrité de la chaîne de hachage — inviolabilité intégrée par conception.
Chaque événement d'accès est scellé par un hachage cryptographique relié au suivant. Toute modification d'un enregistrement brise la chaîne — rendant toute altération immédiatement détectable.
Chaque événement d'accès est cryptographiquement lié au suivant — inviolabilité intégrée par conception.
03 Couverture du framework
Couverture des référentiels en un coup d'œil.
| Framework | Portée PAM | Statut |
|---|---|---|
| NIS2 | Art. 21(2)(a)(b)(e)(g)(h)(i)(j) — tous les contrôles pertinents pour PAM | Couvert |
| RGPD | Art. 5, 25, 32, 44 — protection des données par conception, résidence UE, contrôles d'accès | Couvert |
| SOC 2 Type II | CC6.1–CC6.3, CC7.2, CC9.2 — accès, sécurité logique, gestion des modifications | En audit (2026) |
| ISO 27001 | A.9 (contrôle d'accès), A.12 (opérations), A.14 (développement sécurisé) | Feuille de route 2026 |
| DORA | Art. 9 — sécurité TIC, gestion des accès, journalisation des incidents | Aligné |
04 Contrôles SOC 2
SOC 2 Type II — preuves au niveau des mécanismes de contrôle.
Chaque critère de confiance est cartographié vers un mécanisme de contrôle VaultPAM avec une preuve exportable.
Gestion des identifiants
Coffre-fort de mots de passe, extraction juste à temps, rotation automatique et aucune information d'identification permanente.
Approvisionnement des accès
Approvisionnement des moindres privilèges avec flux d'approbation, accès limité dans le temps et déprovisionning automatique.
Surveillance du système
Surveillance des sessions en temps réel, détection des anomalies et journaux d'audit inviolables.
Gestion des modifications
Toutes les modifications d'infrastructure et d'application nécessitent un examen par les pairs, des tests automatisés et une approbation documentée avant le déploiement.
Atténuation des risques
Évaluations des risques liés aux fournisseurs, engagements SLA et tests de pénétration annuels documentés et suivis jusqu'à la clôture.
05 RGPD & résidence des données
RGPD natif, hébergé dans l'UE, auditable par conception.
VaultPAM a été conçu pour la conformité RGPD dès le départ. La résidence des données dans GCP europe-central2 (Varsovie) satisfait l'article 44. Les flux de travail de droit à l'oubli, la minimisation des données et les registres de traitement sont intégrés.
Pour les demandes de documentation de conformité, contactez-nous à contact@vaultpam.com.
- ✓Données stockées exclusivement dans GCP europe-central2 (Varsovie)
- ✓Aucun transfert vers des pays tiers (conforme à l'art. 44 du RGPD)
- ✓Flux de travail de droit à l'oubli disponible dans le tableau de bord d'administration
- ✓Registres de traitement des données (art. 30) générés à la demande
- ✓Minimisation des données appliquée — pas de télémétrie vers les services tiers