Pour les entreprises qui protègent les réseaux. Et une limite claire sur celles auxquelles ce service ne s’adresse pas.
Le dossier de vérifications d’un fournisseur de sécurité est lu à la lumière de son activité. Les clients répercutent leurs obligations de sécurité des réseaux dans leurs contrats ; les règles d’exportation tiennent compte des capacités d’un outil et des connaissances de son fabricant. Les investisseurs demandent un dossier montrant dans quelles activités l’entreprise opère. Un déploiement souverain constitue ce dossier dans le périmètre du fournisseur, au fil du travail.
La revue se tient sous accord de confidentialité réciproque, avec les responsables de la sécurité et de la technique du fournisseur. Aucun document n’est importé et aucun essai n’est réalisé.
Répondre aux vérifications sans ouvrir tout le dossier technique.
Un questionnaire client demande des justificatifs de sécurité. Les personnes chargées de la revue n’ont pas toutes besoin des mêmes informations.
Réutiliser le contexte de travail sans divulguer les informations par défaut.
Processus illustratif. La configuration et la disponibilité sont confirmées pour chaque mission.
Réponse aux questions d’assurance du client
- Demande
- La version du questionnaire et la personne désignée par le client pour l’examiner.
- Réponse
- Réponses approuvées et justificatifs dont la communication est autorisée.
- Contrôle
- Destinataires convenus et questions encore ouvertes.
Des obligations répercutées et des contrôles qui dépendent de ce que l’on savait.
Chaque entrée présente une règle publiée et sa source primaire. Déterminer si un produit, un transfert ou un client relève de cette règle appartient au fournisseur et à ses conseils, jamais à la plateforme.
Affichage des règles pour Union européenne
Le propos de cette page reste le même quel que soit le choix. Les références citées changent.
Toutes les juridictions figurent ci-dessous, regroupées et identifiées.
Union européenne
- Export control
Europe reaches unlisted cyber-surveillance items on end-use grounds. Exporting a cyber-surveillance item on no list still requires authorisation where the competent authority so informs the exporter, and an exporter aware through its own due diligence that such an item is intended for internal repression or serious violations of human rights or international humanitarian law must notify the authority. A due-diligence duty is a documentation duty: findings, dates, decisions.
- Export control
The Commission published guidelines for exporters on exactly this duty. The Commission published guidelines for exporters on exactly that duty, on 11 October 2024.
- Network security
Security providers are themselves in the network rules. Managed service providers and managed security service providers are themselves among the sectors of high criticality of the network-security directive. The obligations of every regulated customer arrive at the vendor as flow-down questionnaires, contract terms and evidence requests, answered from the vendor’s own records, repeatedly.
États-Unis
- Export control
The export exception is written for defenders and withdrawn at knowledge. The United States authorises exports of cybersecurity items under a dedicated licence exception whose availability ends where the exporter knows, or has reason to know, that the item will be used to affect the confidentiality, integrity or availability of information or information systems without authorisation from the system’s owner, operator or administrator. The regime draws the defensive line at what the maker knows; what a vendor knew and documented becomes the operative fact.
Les entrées du registre sont publiées uniquement en anglais et citent chaque texte sous son nom officiel.
Le dossier des décisions du fournisseur, selon ses propres règles.
Une entreprise de sécurité applique des normes à son propre périmètre ; son infrastructure de conformité devrait les respecter. Dans un déploiement souverain, la levée de fonds, les vérifications des clients et le dossier d’exportation restent sur une infrastructure contrôlée par le fournisseur. Les documents produits et les travaux de recherche ont des accès plus restreints que la présentation commerciale, définis par juridiction, par personne et par document selon ses règles. Chaque autorisation, accès et résolution produit une entrée datée et signée. Ce que le fournisseur savait, a vérifié et a décidé pour un client ou un transfert, et à quel moment, ressort du dossier constitué alors, ce qui importe aux régimes fondés sur la connaissance.
La portée du périmètre dépend de la configuration : lorsque l’identité, le filtrage et la messagerie sont gérés selon le mode propre au fournisseur, aucun document, aucune clé et aucun événement ne quitte le périmètre en fonctionnement normal. Avec l’horodatage connecté, seule une empreinte SHA-256 sort pour recevoir un horodatage indépendant. L’équipe de sécurité du fournisseur approuve chaque mise à jour avant son installation.
La limite est énoncée ici.
Cette page s’adresse aux entreprises qui défendent les systèmes d’information : détection et réponse, sécurité gérée, recherche de vulnérabilités menée selon les règles de divulgation, ainsi qu’aux fournisseurs qui travaillent pour elles. Elle ne s’adresse pas aux vendeurs d’exploits zero-day, aux services de cyberattaque, à la surveillance à la demande ou aux services de renseignement qui profitent d’une surveillance insuffisante. Exedra Gate ne leur propose aucun déploiement souverain. Le produit repose sur des preuves vérifiables ; une demande motivée par l’opacité va à l’encontre de son objet et sera refusée.
Précisé d’emblée.
- AUCUNE DÉCISION SUR LES LICENCES
Aucune conclusion sur le contrôle des exportations. La plateforme ne classe aucun article et ne détermine aucune obligation de licence ou de notification. Ses traces d’accès documentent des faits ; elles ne constituent pas une autorisation. Déterminer si une exception s’applique à un transfert revient à l’exportateur, avec ses conseils et l’autorité compétente.
- AUCUNE PROTECTION GARANTIE
Aucune garantie de sécurité pour les produits. La plateforme conserve le dossier de conformité et de vérifications du fournisseur. Elle ne renforce aucun produit, ne certifie aucune pratique et ne rend ni le fournisseur ni ses clients sûrs. Il appartient au fournisseur de formuler et de démontrer ses propres affirmations sur son produit.
- AUCUNE IMMUNITÉ
Un dossier ne protège pas à lui seul. Un historique daté des vérifications montre ce qui était connu et décidé. Son utilité dépend de la qualité des actes qu’il consigne. Il ne blanchit rien et ne protège pas des conséquences d’une mauvaise décision qu’il documente fidèlement.
Le questionnaire revient chaque année. Les réponses ne devraient pas devoir être reconstituées.
Une revue d’architecture avec les responsables de la sécurité et de la technique du fournisseur, sous accord de confidentialité réciproque, examine les modes de déploiement, les options de configuration et leurs conséquences sur les affirmations possibles, ainsi que le périmètre d’une mission pour ses dossiers de levée de fonds et de vérifications. Une brève description de l’activité et des juridictions concernées suffit pour commencer.
Exedra Gate est une plateforme technologique : elle n’est ni courtier, ni négociant, ni dépositaire, ni prestataire de séquestre, ni conseiller en investissement. Elle ne détient, n’achemine ni ne règle jamais les fonds des investisseurs, ne recommande aucune offre et ne facture aucune commission liée au succès. Elle ne classe aucun article au titre du contrôle des exportations, ne détermine aucune licence, exception ou notification applicable et ne garantit la sécurité d’aucun produit. Les déploiements souverains sont proposés aux entreprises de cybersécurité défensive décrites ci-dessus, pas aux vendeurs d’exploits ni aux services de cyberattaque ou de surveillance. Chaque déploiement est une mission de mise en œuvre définie pour son client. Les dossiers et horodatages attestent de l’intégrité et de l’existence à une date donnée, pas de la légalité d’une exportation ou d’une transaction : cette évaluation appartient au fournisseur et à ses conseils.
Les références réglementaires de cette page sont données à titre indicatif, et non comme conseil juridique : voir Sources et vérification.