Correspondance de conformité : contrôles et preuves

Cette page relie chaque famille de contrôles de la plateforme à l'audit qui la vérifie et aux jeux de preuves qui la prouvent. Version anglaise : en/compliance-mapping.md.

Comment lire une preuve

• La matrice des exigences du kit (355 lignes) est auditée ligne par ligne dans docs/implementation/audit : pour chaque exigence, les chemins du code, les tests, la documentation, les migrations et les jeux de preuves.
• Un jeu de preuves (docs/implementation/evidence.yaml et docs/implementation/evidence.d) est une commande rejouable (répertoire, commande, analyseur de résultat). tools/traceability/trace.py l'exécute et enregistre le résultat dans docs/implementation/evidence.
• L'état d'une exigence n'est jamais écrit à la main : il est dérivé des preuves enregistrées et publié dans docs/implementation/STATUS.md, docs/implementation/TEST_EVIDENCE.md et docs/implementation/TRACEABILITY.csv. Ce qui manque d'une ressource absente (cluster, GPU, décision du client) est listé dans docs/implementation/BLOCKERS.md.
• La conformité à l'architecture de référence suit le même modèle dans docs/implementation/conformance.

Familles de contrôles

Domaine	Contrôle attendu	Exigences	Audit	Jeux de preuves
AGENT_RUNTIME	Exécution des agents durable, bornée et isolée	17	g04-agents-llm.yaml	E-AL-GATEWAYS, E-AL-AGENTS, E-AL-SDK-RUNTIME, E-AL-DURABLE
AUDIT_EVIDENCE	Audit chaîné, preuves signées et conservées	17	g03-iam-audit.yaml	E-G03-EVIDENCE, E-G03-CONTEXT, E-G03-AUDIT, E-G03-CONTRACTS
BACKUP_RECOVERY	Sauvegardes cohérentes par composant, restauration vérifiée	19	g10-ha-backup-dr.yaml	E-HB-BACKUP, E-HB-UI
CLUSTER_MANAGEMENT	Placement, opérateur et agents de cluster contrôlés	12	g09-hosts-clusters.yaml	E-HC-PLACEMENT, E-HC-K8S, E-HC-OPERATOR, E-HC-CLUSTER-AGENT
DATA_RAG	Données indexées avec droits, stockage du client	24	g05-data-multimodal.yaml	E-CP-RAG-KIT, E-CP-STORAGE, E-DM-DATA-MEDIA
DEV_MARKETPLACE	Publication signée et portes avant installation	22	g07-dev-frontend.yaml	E-DF-SDK-PY, E-DF-MARKETPLACE, E-PORTAL, E-SDK-TS
DISASTER_RECOVERY	Plans de reprise approuvés, exercices mesurés	11	g10-ha-backup-dr.yaml	E-HB-BACKUP, E-HB-HA, E-HB-UI
DOCUMENTATION	Guides FR et EN vérifiés contre le code	12	g08-docs-release.yaml	E-DO-DOCS, E-DO-NM-DOCS, E-DO-FAIL-CLOSED, E-DO-REVOCATION
FOUNDATION	Socle, composants et traçabilité	14	g01-foundation-licensing.yaml	E-TRACE, E-CP-FOUNDATION, E-CP-COMPONENTS, E-FL-LOTPLAN
FRONTEND	Portail limité par rôle, sans valeur fictive	18	g07-dev-frontend.yaml	E-DF-PORTAL, E-PORTAL-BUILD
HIGH_AVAILABILITY	Haute disponibilité des services avec état	18	g10-ha-backup-dr.yaml	E-HB-HA, E-HB-UI, E-HB-BACKUP, E-HB-E2E
HOST_BOOTSTRAP	Enrôlement des hôtes et identité des agents	18	g09-hosts-clusters.yaml	E-HC-HOSTS, E-HC-AGENT-GO, E-HC-UI
IAM_GOV	Identité, délégations et politiques	18	g03-iam-audit.yaml	E-G03-IAM-REAL, E-G03-CONTEXT, E-G03-EVIDENCE, E-G03-DATA
INFRA_SDK	SDK d'infrastructure lié aux opérations et à l'audit	5	g02-manager.yaml	E-MG-SDK, E-MG-SDK-TS, E-MG-SDK-GO, E-MG-SERVER
INFRA_UI	Console d'infrastructure	8	g02-manager.yaml	E-MG-UI, E-NM-BACKUP-DR, E-NM-INFRA-HOSTS, E-HC-HOSTS
LICENSING_RELEASE	Licence signée hors ligne, distribution reproductible	16	g01-foundation-licensing.yaml	E-CP-LICENSING, E-LICENSE-ISSUER, E-FL-RELEASE, E-FL-RELEASE-CI
LLM_FINOPS	Passerelle de modèles et attribution des coûts fournisseurs	16	g04-agents-llm.yaml	E-AL-LLM, E-AL-FINOPS, E-AL-SDK-RUNTIME
MANAGER	Platform Manager : services, configurations, opérations	23	g02-manager.yaml	E-MG-SERVER, E-MG-K8S, E-NM-OPERATOR, E-MG-UI
MULTIMODAL	Voix et médias traités localement	12	g05-data-multimodal.yaml	E-CP-VOICE, E-DM-DATA-MEDIA, E-CP-COMPONENTS
OBSERVABILITY	Traces, métriques, journaux et SLO	14	g06-observability-soc.yaml	E-G06-OBS, E-G06-FINOPS-PERF, E-G06-SOC
RELEASE_ACCEPTANCE	Recette : installation isolée et scénarios	16	g08-docs-release.yaml	E-DO-INSTALL, E-DO-AIRGAP, E-DO-SOC, E-DO-MARKETPLACE
SECURITY_SOC	SOC, Kill Switch et politiques OPA	25	g06-observability-soc.yaml	E-G06-SOC, E-G06-OPA

Le test services/control-plane/tests/test_compliance_mapping.py vérifie que ce tableau couvre chaque domaine de la matrice avec son nombre d'exigences, que l'audit cité contient les exigences du domaine et que chaque jeu de preuves cité existe et prouve au moins une exigence du domaine.

Contrôles transverses

• Décision de politique avant chaque action, refus compris : security-hardening.md.
• Audit exporté vers un stockage WORM distinct des sauvegardes : siem-audit.md.
• Licences des composants et exceptions en attente d'approbation du client : third-party-licences.md et catalog/licence-exceptions.yaml.