Sécurité ANSSI pour les projets OIV

Piloter un projet pour un Opérateur d'Importance Vitale impose des contraintes de sécurité sans compromis. L'ANSSI définit un cadre précis via la LPM, le référentiel PASSI et les recommandations RGS. KADEPIC a été conçu dès l'origine pour répondre à ces exigences.

Chiffrement de bout en bout

Toutes les données sensibles sont chiffrées au repos avec AES-256-GCM : IV aléatoire de 12 octets par opération, tag d'authentification vérifié, clé dérivée de la variable d'environnement dédiée. En transit, TLS 1.3 est imposé. En mode Diffusion Restreinte, le déploiement SecNumCloud ajoute une couche supplémentaire de souveraineté.

Traçabilité immutable

Les logs d'audit KADEPIC sont INSERT-ONLY : un trigger PostgreSQL bloque toute tentative d'UPDATE ou DELETE. Chaque entrée est chaînée par hash SHA-256, créant une preuve d'intégrité vérifiable. Cette architecture satisfait les exigences de non-répudiation de l'IGI 1300.

Air-gap IA obligatoire

En mode OIV/DR, KADEPIC impose l'utilisation exclusive de providers IA locaux (Ollama ou Custom). La fonction assertNotCloudInSensitiveMode() bloque tout appel vers un LLM cloud. Aucune donnée de mission ne peut fuiter vers un service tiers — c'est un invariant architectural, pas une option de configuration.

Contrôle d'accès granulaire

Le système d'habilitations DR (dr_habilitations) fonctionne en whitelist : seuls les utilisateurs explicitement habilités accèdent aux ressources classifiées. Le rôle guest est exclu de 17 routes sensibles. Chaque route workspace est protégée par assertWorkspaceMembership() — 89 routes, 139 vérifications.

Audit pentest PASSI

KADEPIC a passé un audit de pénétration boîte blanche couvrant 44 vecteurs PASSI/ANSSI. 21 findings identifiés, 21 corrigés, 0 résiduel. Le détail des corrections est documenté dans le Dossier d'Architecture Sécurisée (DAS).