Cette page présente les preuves à demander lors de l’évaluation d’un projet SuperBluOrange. Elle n’affirme pas que chaque composant possède une certification donnée ni qu’un niveau de service universel s’applique à chaque prestation.
Cartographiez les responsabilités d’accès et de données
Listez les données traitées par chaque composant, les personnes qui peuvent y accéder et les modalités d’approbation et de retrait des accès. Distinguez les accès courants du support client des permissions de modifier les soldes, approuver les retraits, exporter les enregistrements ou déployer une version.
Pour une action sensible, demandez le processus d’approbation proposé et l’enregistrement disponible après l’action. Celui-ci doit identifier le compte, l’action et le contexte nécessaires à l’investigation. Un identifiant administrateur partagé rendrait cette investigation sensiblement plus difficile.
Vérifiez le périmètre de chaque justificatif
| Preuve | Questions établissant sa pertinence |
|---|---|
| Certification ou évaluation | Quelle entité, quel composant, quelle version, quel périmètre et quelle période de validité couvre-t-elle ? |
| Test de sécurité | Qu’a-t-on testé, quand, avec quelles exclusions et quel état des corrections ? |
| Plan d’hébergement et de sauvegarde | Quels enregistrements sont protégés, où et qui peut les restaurer ? |
| Exercice de rétablissement | Qu’a-t-on restauré, en combien de temps et les soldes ont-ils été rapprochés ? |
| Rapport de disponibilité | Quel service, quelle période de mesure et quelles exclusions ont produit le chiffre ? |
Un élément probant fourni par un fournisseur en amont peut étayer l’examen de ce fournisseur. Il ne doit pas devenir silencieusement une affirmation de certification pour l’ensemble de l’opérateur ou chaque intégration.
Convenez du processus d’incident et de rétablissement
Le plan d’exploitation doit identifier les niveaux de gravité, contacts, pouvoirs de décision et attentes de mise à jour. Un objectif de réponse décrit le moment où le travail ou la communication commence ; il diffère d’un objectif de rétablissement du service.
Pour le rétablissement, définissez la perte acceptable de données récentes et le délai cible de restauration du service requis. Testez les conséquences de ces choix sur les transactions et le rapprochement. Restaurer une base de données seule ne prouve pas que les enregistrements externes de paiement et de jeu y correspondent.
Discutez des exigences de sécurité avec votre marché, vos contraintes d’hébergement et votre questionnaire d’achat. Consultez la documentation technique pour les preuves d’intégration ou les services d’hébergement pour le périmètre d’infrastructure.