SecureChain pour les logiciels libres

Points clés : Une dépendance transitive est un paquet que vous installez parce qu'un paquet dont vous dépendez en a besoin. Un seul paquet npm peut entraîner l'installation de centaines de dépendances transitives, chacune pouvant...

Points clés à retenir : la CRA, le FedRAMP, la norme NIS 2 et la norme PCI DSS posent les deux mêmes questions concernant vos composants open source : ce que vous fournissez, et ce qui se passe lorsqu’une vulnérabilité est…

Points clés À en croire les règles FedRAMP 2026, les délais de correction recommandés vont de 12 heures à 192 jours, à compter de l'évaluation de la vulnérabilité par le prestataire. Les nouveaux candidats doivent se conformer aux règles FedRAMP 2026...

Points clés : L'article 21 de la directive NIS 2 fait de la sécurité de la chaîne d'approvisionnement une mesure minimale et impose aux entités d'évaluer les vulnérabilités de chacun de leurs fournisseurs directs. L'ENISA, l'agence européenne chargée de la cybersécurité, indique dans ses recommandations non contraignantes destinées aux hôpitaux...

Points clés À défaut d'une évaluation par un tiers, le PDG ou un employé désigné et habilité à engager la société signe le formulaire. Le signataire atteste, au mieux de ses connaissances, que…

Points clés à retenir : le guide du programme fédéral de gestion des risques et des autorisations (FedRAMP), révision 5 (Rev5), impose aux prestataires de mettre en ligne chaque mois un plan d'action et un calendrier actualisés. Les règles consolidées du FedRAMP relatives à...

Points clés à retenir : Le cadre de développement logiciel sécurisé (SSDF) du NIST (National Institute of Standards and Technology) vous invite à vérifier en permanence la conformité des composants tiers, y compris ceux issus de l'open source, par rapport à vos propres exigences...

Points clés à retenir : une déclaration VEX (Vulnerability Exploitability eXchange) attribue un statut unique à une vulnérabilité présente dans un ou plusieurs produits. Une déclaration VEX constituant une affirmation de son auteur, l'auditeur vérifie...

Points clés à retenir : le registre d’informations de la DORA répertorie les contrats relatifs à des services technologiques fournis de manière continue ; par conséquent, une bibliothèque que vous téléchargez sans contrat n’y figure généralement pas. Les obligations techniques...

Points clés à retenir : depuis le 13 juillet 2026, les appels d'offres dans le domaine de la défense peuvent n'exiger que des auto-évaluations de niveau 1 ou 2, la phase 2 restant suspendue. Aucune des 110 exigences de niveau 2 ne mentionne...

Points clés : En vertu de la loi sur la cyber-résilience, vous êtes tenu de corriger les vulnérabilités de votre produit, y compris celles de ses dépendances, pendant au moins cinq ans, sauf si celui-ci est censé…