INOBIC — CHECKLIST D’AUDIT, MODÈLE VIERGE v1.0 — 7 novembre 2026
Checklist originale INOBIC à adapter au périmètre et aux moyens disponibles. Les références sont thématiques, sans équivalence normative ni attestation de conformité. Aucun contrôle exécuté par défaut.

Statuts :
non_verifie : Non exécuté, accès manquant ou preuve insuffisante.
verifie : Critère défini vérifié dans le périmètre, preuve requise.
ecart : Écart confirmé, preuve et impact à documenter.
partiel : Couverture partielle, préciser ce qui reste inconnu.
non_applicable : Hors architecture/périmètre, justification obligatoire.

GOV-01 — Autorisation et limites
Consigner actifs, versions, comptes, méthodes, exclusions, droits des tiers, contacts et conditions d’arrêt. Aucune extension implicite.
Preuve attendue : Périmètre daté et autorisation écrite ; références internes sans secret.
Statut : non_verifie
Périmètre/version :
Méthode/date/intervenant :
Preuves/justification :

GOV-02 — Données et canaux
Convenir des données autorisées, canaux, destinataires, outils externes/IA, durée de conservation et restitution ou suppression.
Preuve attendue : Modalités validées ; preuves minimisées ; accord séparé avant toute publication.
Statut : non_verifie
Périmètre/version :
Méthode/date/intervenant :
Preuves/justification :

GOV-03 — Architecture et hypothèses
Identifier flux sensibles, frontières de confiance et scénarios métier ; distinguer revue de code, configuration et tests actifs.
Preuve attendue : Schéma ou inventaire versionné et liste des limites.
Statut : non_verifie
Périmètre/version :
Méthode/date/intervenant :
Preuves/justification :

GOV-04 — Traçabilité du contrôle
Relier chaque contrôle au composant/version, à sa méthode, sa date, son résultat et sa preuve ; ne pas convertir une absence d’accès en succès.
Preuve attendue : Fiche de contrôle et références de preuves expurgées.
Statut : non_verifie
Périmètre/version :
Méthode/date/intervenant :
Preuves/justification :

APP-01 — Autorisation par ressource
Vérifier côté serveur propriétaire, organisation et rôle ; prévoir les cas autorisé, refusé et absence d’identité.
Preuve attendue : Tests positifs et négatifs sur ressources de test et absence de données sur refus.
Statut : non_verifie
Périmètre/version :
Méthode/date/intervenant :
Preuves/justification :

APP-02 — Authentification et sessions
Selon le mécanisme : validation des jetons, durée et révocation, cookies et protection des opérations sensibles ; ne pas confondre authentification et autorisation.
Preuve attendue : Configuration examinée et scénarios de test définis au cadrage.
Statut : non_verifie
Périmètre/version :
Méthode/date/intervenant :
Preuves/justification :

APP-03 — Entrées et sorties
Examiner validation, encodage contextuel, requêtes paramétrées et traitements de fichiers/redirections selon les chemins réellement présents.
Preuve attendue : Constats reliés au code et tests ciblés, sans données de production.
Statut : non_verifie
Périmètre/version :
Méthode/date/intervenant :
Preuves/justification :

APP-04 — Échecs et confidentialité
Tester les comportements sans JavaScript, sans permission ou avec service indisponible ; rechercher données en URL, erreurs et journaux.
Preuve attendue : Tests de dégradation et contrôle de l’absence de données sensibles dans les sorties.
Statut : non_verifie
Périmètre/version :
Méthode/date/intervenant :
Preuves/justification :

APP-05 — Runtime et dépendances
Identifier versions supportées, dépendances directes/transitives et avis applicables ; distinguer alerte, exposition et exploitabilité.
Preuve attendue : Inventaire daté, source des avis et tri des résultats ; limite si aucun scan disponible.
Statut : non_verifie
Périmètre/version :
Méthode/date/intervenant :
Preuves/justification :

API-01 — Périmètre des opérations
Contrôler accès aux objets, propriétés et fonctions sensibles selon les rôles métier.
Preuve attendue : Matrice d’accès et cas négatifs autorisés.
Statut : non_verifie
Périmètre/version :
Méthode/date/intervenant :
Preuves/justification :

API-02 — Contrats et limites
Examiner validation des requêtes, pagination, quotas et erreurs ; pas de test de charge sans accord distinct.
Preuve attendue : Configuration et tests bornés sur données fictives.
Statut : non_verifie
Périmètre/version :
Méthode/date/intervenant :
Preuves/justification :

API-03 — Services externes
Revoir destinations sortantes autorisées et données de réponse ; ne pas supposer fiable une API tierce.
Preuve attendue : Chemins d’intégration examinés sans solliciter de tiers hors périmètre.
Statut : non_verifie
Périmètre/version :
Méthode/date/intervenant :
Preuves/justification :

AZ-01 — Droits effectifs
Examiner rôles directs/hérités et besoin métier ; éviter d’afficher identités et identifiants dans les pièces publiques.
Preuve attendue : Constats de permissions expurgés ; correction approuvée sans verrouillage administratif.
Statut : non_verifie
Périmètre/version :
Méthode/date/intervenant :
Preuves/justification :

AZ-02 — Secrets et identités de workload
Préférer des identités managées lorsqu’elles conviennent ; examiner accès aux secrets sans en extraire les valeurs inutilement.
Preuve attendue : Métadonnées et permissions nécessaires ; procédure de rotation si exposition confirmée.
Statut : non_verifie
Périmètre/version :
Méthode/date/intervenant :
Preuves/justification :

AZ-03 — Exposition et réseau
Examiner les accès publics/privés et restrictions des ressources incluses. Un site public n’est pas une erreur de configuration par nature.
Preuve attendue : Configuration comparée au besoin et impacts de changement évalués.
Statut : non_verifie
Périmètre/version :
Méthode/date/intervenant :
Preuves/justification :

AZ-04 — Journaux et alertes
Vérifier les événements disponibles, destinataires, alertes et rétention ; ne pas conclure à une absence globale de logs à partir d’une lecture partielle.
Preuve attendue : Preuve de configuration ou statut non vérifié avec accès manquant.
Statut : non_verifie
Périmètre/version :
Méthode/date/intervenant :
Preuves/justification :

CI-01 — Accès des pipelines
Revoir permissions des jobs, branches et approbations ; isoler les contributions non fiables des secrets de déploiement.
Preuve attendue : Configuration du pipeline et scénario d’accès relus.
Statut : non_verifie
Périmètre/version :
Méthode/date/intervenant :
Preuves/justification :

CI-02 — Contrôles automatisés
Choisir SAST, SCA et détection de secrets selon la stack ; qualifier les alertes et tracer les dérogations avec responsable et échéance.
Preuve attendue : Rapports datés et traitement des faux positifs ; aucun outil revendiqué sans exécution.
Statut : non_verifie
Périmètre/version :
Méthode/date/intervenant :
Preuves/justification :

FIX-01 — Correction proportionnée
Relier le changement à la cause, limiter le diff, prévoir revue et retour arrière ; ne pas élargir les privilèges pour résoudre le symptôme.
Preuve attendue : Diff et critères de validation ; identité du validateur à renseigner.
Statut : non_verifie
Périmètre/version :
Méthode/date/intervenant :
Preuves/justification :

FIX-02 — Contre-vérification
Rejouer le scénario initial et les cas autorisés, refusés et dégradés ; distinguer test unitaire, intégration, navigateur et production.
Preuve attendue : Résultats avant/après sur versions identifiées et limites de couverture.
Statut : non_verifie
Périmètre/version :
Méthode/date/intervenant :
Preuves/justification :

FIX-03 — Publication et intégrité
Vérifier les fichiers prévus, éviter les preuves privées dans le paquet et contrôler le comportement après publication.
Preuve attendue : Manifest, vérification ciblée en production et plan de retour arrière.
Statut : non_verifie
Périmètre/version :
Méthode/date/intervenant :
Preuves/justification :

FIX-04 — Clôture et risques résiduels
Lister les éléments non retestés, risques acceptés et actions ouvertes ; convenir de la révocation des accès et de la gestion des données.
Preuve attendue : Restitution et décisions du responsable ; risque accepté distinct de risque corrigé.
Statut : non_verifie
Périmètre/version :
Méthode/date/intervenant :
Preuves/justification :

Références thématiques, versions à confirmer au cadrage :
OWASP ASVS 5.0.0 — https://asvs.owasp.org/
OWASP API Security Top 10 — 2023 — https://owasp.org/API-Security/editions/2023/en/0x11-t10/
Microsoft — sécurité ASP.NET Core 10 — https://learn.microsoft.com/en-us/aspnet/core/security/?view=aspnetcore-10.0
Azure Well-Architected — checklist sécurité — https://learn.microsoft.com/en-us/azure/well-architected/security/checklist
NIST SSDF — SP 800-218, version 1.1 — https://csrc.nist.gov/projects/ssdf