Aller au contenu
toevan
Se connecterRéserver un pilote d’audit
Ouvrir le menuFermer le menu
Réserver un pilote d’audit

Référentiels et cartes de contrôles

Chaque contrôle, cartographié honnêtement.

Réserver un pilote d’auditVoir un exemple de rapport
  • 503 contrôles dans 7 éditions du catalogue
  • Actif, v1.4.0, prévu et à votre charge, jamais confondus
  1. Preuve issue du code aujourd’hui55 contrôles répartis sur 7 référentiels reçoivent une preuve partielle à chaque pull request.
  2. Preuve de processus dans v1.4.09 de plus, à partir des fusions, approbations, checks requis et changements de règles.
  3. La part de votre organisation, nomméeLes 367 contrôles qu’un logiciel ne peut pas prouver sont listés en entier, pas omis.

Chaque référentiel, en un coup d’œil

Un segment par contrôle logiciel, coloré selon la façon dont Toevan en apporte la preuve. Les contrôles de politique, de personnes et physiques qu’aucun outil de code ne peut prouver sont indiqués sous chaque référentiel et listés en entier sur sa page.

RéférentielCarte des contrôlesActifPrévu pour v1.4.0PrévuContrôles que le code peut prouverEn appui
SOC 2Critères Trust Services (2017)717151
+45 contrôles de politique, de personnes et physiques (61 au total). Aucun outil de code ne les prouve ; chaque rapport les liste.
ISO/IEC 270012022, Annexe A11510262
+65 contrôles de politique, de personnes et physiques (93 au total). Aucun outil de code ne les prouve ; chaque rapport les liste.
PCI DSSv4.010115261
+36 contrôles de politique, de personnes et physiques (63 au total). Aucun outil de code ne les prouve ; chaque rapport les liste.
FedRAMP ModerateRév. 5, NIST SP 800-53B14221374
+136 contrôles de politique, de personnes et physiques (177 au total). Aucun outil de code ne les prouve ; chaque rapport les liste.
HIPAA45 CFR partie 16480084
+30 contrôles de politique, de personnes et physiques (42 au total). Aucun outil de code ne les prouve ; chaque rapport les liste.
GDPRRèglement (UE) 2016/67930032
+35 contrôles de politique, de personnes et physiques (40 au total). Aucun outil de code ne les prouve ; chaque rapport les liste.
DORARèglement (UE) 2022/255420461
+20 contrôles de politique, de personnes et physiques (27 au total). Aucun outil de code ne les prouve ; chaque rapport les liste.

Toevan apporte des preuves pour des contrôles ; il ne les certifie jamais et ne prétend pas qu’un référentiel est couvert. Que les preuves suffisent relève du jugement de votre auditeur.

D’après la Toevan Control Map, calculée le 24 oct. 2026 à partir du catalogue de référentiels du produit et de la couverture des exigences de chaque blueprint livré.

Ce que signifie chaque statut

Actif
Preuve issue du code dès aujourd’hui, scellée à chaque pull request. Toujours partielle : le contrôle exige aussi des éléments hors du code.
Prévu pour v1.4.0
Preuve de processus : pull requests fusionnées, approbations, checks requis, protection de branche, rulesets et contournements, scellés par changement.
En appui
Toevan enregistre des preuves connexes, aujourd’hui ou dans v1.4.0, mais l’obligation relève de l’organisation : elle n’est donc jamais comptée comme couverte.
Prévu
Peut être prouvé à partir du code ou de GitHub. La règle ou la correspondance n’est pas encore construite.
Votre organisation
Politique, personnes, sécurité physique, contrats, procédure réglementaire, exploitation ou audit externe. Votre organisation en apporte la preuve.

Cartes des contrôles

  • SOC 2

    Critères Trust Services (2017)

    Preuve issue du code pour les critères d’accès, de périmètre et de données confidentielles aujourd’hui ; approbations de changements avec preuve de processus dans v1.4.0.

    Preuve issue du code aujourd’hui 7

    • CC6.1
    • CC6.3
    • CC6.6
    • CC6.7
    • CC7.2
    • C1.1
    • C1.2

    Preuve de processus, v1.4.0 1

    • CC8.1

    61 contrôles

  • ISO/IEC 27001

    2022, Annexe A

    Preuve issue du code pour onze contrôles de l’Annexe A aujourd’hui ; preuves de changement, d’accès au code et de paramétrage dans v1.4.0.

    Preuve issue du code aujourd’hui 11

    • A.5.15
    • A.5.17
    • A.8.2
    • A.8.3
    • A.8.5
    • A.8.8
    • A.8.12
    • A.8.20
    • A.8.22
    • A.8.24
    • A.8.28

    Preuve de processus, v1.4.0 5

    • A.8.4
    • A.8.9
    • A.8.25
    • A.8.29
    • A.8.32

    93 contrôles

  • PCI DSS

    v4.0

    Preuve issue du code pour les données de carte stockées et en transit, les secrets, l’accès et le code sécurisé aujourd’hui ; approbation des changements dans v1.4.0.

    Preuve issue du code aujourd’hui 10

    • Req.1.3
    • Req.3.3
    • Req.3.5
    • Req.3.6
    • Req.4.2
    • Req.6.2
    • Req.6.3
    • Req.7.2
    • Req.7.3
    • Req.8.6

    Preuve de processus, v1.4.0 1

    • Req.6.5

    63 contrôles

  • FedRAMP Moderate

    Rév. 5, NIST SP 800-53B

    Preuve issue du code pour quatorze contrôles aujourd’hui, de l’application des accès à la protection au repos ; contrôle des changements de configuration dans v1.4.0.

    Preuve issue du code aujourd’hui 14

    • AC-2
    • AC-3
    • AC-4
    • AC-6
    • AU-2
    • AU-12
    • CM-2
    • CM-6
    • IA-5
    • SA-11
    • SC-7
    • SC-8
    • SC-28
    • SI-2

    Preuve de processus, v1.4.0 2

    • CM-3
    • SA-10

    177 contrôles

  • HIPAA

    45 CFR partie 164

    Preuve issue du code pour les garanties techniques et les exigences d’utilisation et de divulgation de la Privacy Rule, là où elles se trouvent dans le code.

    Preuve issue du code aujourd’hui 8

    • 164.308(a)(4)
    • 164.312(a)(1)
    • 164.312(b)
    • 164.312(c)(1)
    • 164.312(d)
    • 164.312(e)(1)
    • 164.502
    • 164.514

    Preuve de processus, v1.4.0 0

    Aucune correspondance

    42 contrôles

  • GDPR

    Règlement (UE) 2016/679

    Preuve issue du code pour les principes de traitement, la protection des données dès la conception et la sécurité du traitement.

    Preuve issue du code aujourd’hui 3

    • Art.5
    • Art.25
    • Art.32

    Preuve de processus, v1.4.0 0

    Aucune correspondance

    40 contrôles

  • DORA

    Règlement (UE) 2022/2554

    Preuve issue du code pour la protection et la prévention et pour la détection, renforcée par la preuve de gestion des changements dans v1.4.0.

    Preuve issue du code aujourd’hui 2

    • Art.9
    • Art.10

    Preuve de processus, v1.4.0 0

    Aucune correspondance

    27 contrôles

  • Un autre référentiel ?

    NIS2, un ensemble de contrôles interne ou une norme sectorielle : la preuve est la même, seule la correspondance change.

    Demander une correspondance

Le processus de votre organisation

Ce qu’un logiciel ne peut pas prouver reste à votre charge et à celle de vos autres outils. Chaque rapport le liste, pour qu’un résultat propre ne soit jamais lu comme plus qu’il n’est.

  • de la politique de l’organisation122
  • d’un processus opérationnel113
  • de la sécurité physique48
  • des contrats et des fournisseurs25
  • des personnes et des RH23
  • d’une procédure réglementaire23
  • d’une évaluation externe13

367 contrôles dans le catalogue

Sur la feuille de route

Prévu. Pas encore dans le produit.

  • DORA RTS sur la gestion du risque lié aux TICPrévuRèglement délégué (UE) 2024/1774Art. 17 gestion des changements TIC avec preuve de processus ; Art. 16 développement et maintenance avec preuve issue du code.
  • NIST SSDFPrévuSP 800-218 v1.1Pratiques de développement sécurisé, à partir des blueprints, des revues et des contrôles de dépendances.
  • SLSAPrévuSpécification v1 (OpenSSF)Volet source issu des branches protégées et de la revue à deux personnes ; provenance de build prévue.
  • OWASP Top 10Prévu2021Règles associées aux catégories vérifiables dans le code.
  • Règlement européen sur la cyber-résilience (Cyber Resilience Act)PrévuRèglement (UE) 2024/2847Composants, export SBOM et traitement des vulnérabilités.

Testez la correspondance sur un vrai audit.

Apportez un dépôt et un audit à venir. Nous configurons le blueprint et guidons votre auditeur dans la vérification.

Réserver un pilote d’auditVoir un exemple de rapport