Dernière mise à jour : 26 août 2026
Sécurité et conformité
La plupart des questionnaires de sécurité fournisseurs posent les mêmes quarante questions. Cette page y répond par avance, et dit clairement où la réponse honnête est « sans objet » plutôt que de l'enjoliver.
Les référentiels dans lesquels nous travaillons
| Référentiel | Ce que nous en faisons |
|---|---|
| ISO/IEC 27001:2022 | De l'analyse d'écarts jusqu'à l'audit de certification. Karol est Lead Implementer certifié par le BSI. |
| SOC 2 · ISAE 3402 | Préparation au Type I et au Type II : cadrage des critères des services de confiance, traitement des écarts, et accompagnement pendant tout le travail de terrain de l'auditeur. |
| RGPD | Registres des traitements, mesures techniques et organisationnelles, analyses d'impact (AIPD), procédures de gestion des violations. Délégué à la protection des données externalisé. |
| LPD suisse (révisée) | Conseiller à la protection des données, fonction exercée en même temps que celle de DPD au titre du RGPD – utile lorsque des entités sont à cheval sur l'UE et la Suisse. |
| Cyber Essentials · Cyber Essentials Plus · IASME Cyber Assurance | Mis en œuvre de bout en bout pour une entité britannique, y compris le niveau Plus, qui fait l'objet d'une évaluation. |
Comment ce site est construit
Un cabinet qui conseille en matière de sécurité doit pouvoir décrire sa propre surface d'attaque. La nôtre est volontairement proche de zéro :
- Uniquement des fichiers statiques. Aucun système de gestion de contenu, aucun panneau d'administration, aucune base de données, aucun code côté serveur. Il n'y a pas de couche applicative à attaquer.
- Aucune requête vers des tiers. Les polices, images et vidéos sont servies depuis ce domaine. Pas de CDN, pas de mesure d'audience, pas de gestionnaire de balises, pas de widgets intégrés.
- Aucun cookie ni stockage côté navigateur. Rien n'est écrit dans votre navigateur, donc rien à accepter et rien qui puisse fuiter.
- Aucun formulaire. Rien n'est envoyé nulle part ; l'adresse de contact est un simple lien de messagerie.
- Versionné et public. Chaque modification de ce site est un commit dans un dépôt public, si bien que son historique peut être audité par n'importe qui.
C'est un changement de posture délibéré. L'ancien site tournait sous WordPress et a été compromis en juillet 2026. L'installation était à jour le jour de l'attaque, avec un thème standard et trois extensions – maintenir les logiciels à jour, la défense sur laquelle on demande aux utilisateurs de compter, ne l'a pas empêché. La réponse n'a pas été de durcir la même architecture, mais de la supprimer. Le problème sous-jacent a été signalé à l'équipe sécurité de la plateforme ; nous le décrirons ici une fois qu'elle l'aura évalué et qu'un éventuel correctif sera disponible.
Nos propres activités
- Authentification multifacteur sur chaque compte qui la prend en charge.
- Identifiants uniques, générés aléatoirement pour chaque service, conservés dans un gestionnaire de mots de passe.
- Documents clients conservés uniquement le temps qu'exigent la mission et la loi, puis supprimés. Nous préférons travailler dans vos systèmes plutôt que d'en garder des copies dans les nôtres.
- Messagerie sur une infrastructure hébergée dans l'UE, avec SPF et DMARC publiés.
- Postes sous systèmes d'exploitation à jour et maintenus, avec chiffrement intégral du disque.
Là où la réponse honnête est « non »
Nous sommes une petite structure et ne prétendrons pas le contraire. WarsawIQ ne détient pas sa propre certification ISO/IEC 27001, n'exploite pas de centre opérationnel de sécurité (SOC) 24 h/24 et 7 j/7, et ne dispose pas d'un ensemble de contrôles propre, formel et audité de manière indépendante. Ce que nous apportons, ce sont des gens qui ont bâti ces dispositifs, et ont été audités dessus, au sein d'entreprises réglementées plus grandes. Si votre processus d'achat exige un fournisseur certifié plutôt qu'un praticien certifié, dites-le tôt et nous vous dirons tout de suite si nous pouvons y répondre.
Signaler un problème de sécurité
Si vous trouvez une vulnérabilité sur ce site ou dans quoi que ce soit que nous avons construit pour vous, écrivez à karol.chlasta@warsawiq.com. Nous accuserons réception sous deux jours ouvrés, vous tiendrons informé pendant la correction, et vous citerons si vous le souhaitez. Nous ne menacerons jamais quiconque signale un problème de bonne foi.