Sécurité
La sécurité d'Aegis Vetis, en toute transparence.
Aegis Vetis est un outil qui accède à des ressources sensibles de votre cluster Kubernetes. Sa propre sécurité doit être au niveau de ce qu'il protège. Voici nos engagements.
Cinq principes d'architecture.
Ils structurent la conception du Logiciel et constituent des engagements contractuels aux termes du DPA.
-
Principe 1
Aucun phone home, aucune télémétrie remontée.
Aegis Vetis fonctionne de manière autonome sur votre infrastructure. Les instances déployées chez vous ne communiquent jamais avec les serveurs de l'éditeur. Aucune métrique d'usage, aucune donnée opérationnelle, aucun diagnostic automatique ne sont transmis.
-
Principe 2
Chiffrement en transit et au repos.
Toutes les communications internes au logiciel (agents, API, interfaces) utilisent TLS 1.3 avec authentification mutuelle par certificats mTLS. Les données stockées (configurations, rapports générés, journaux internes) sont chiffrées au repos via les mécanismes natifs du cluster ou via des modules dédiés.
-
Principe 3
Moindre privilège.
Les agents Aegis Vetis n'utilisent que les permissions strictement nécessaires à l'évaluation des contrôles de conformité — en lecture seule par défaut. Les permissions en écriture ne sont activées que si vous activez explicitement la remédiation. La liste complète des rôles RBAC requis est détaillée ci-dessous et versionnée avec chaque release du Logiciel.
-
Principe 4
Mode air-gap pleinement supporté.
Aegis Vetis peut être déployé sur un cluster totalement isolé d'Internet. Les images sont poussées dans votre registry privé. Les mises à jour des référentiels sont livrées sous forme de paquets signés téléchargeables depuis le portail éditeur et transférables manuellement par les moyens de votre choix.
-
Principe 5
Signatures et provenance.
Les images de conteneurs d'Aegis Vetis sont signées cryptographiquement. Les paquets de référentiels sont signés. Les rapports générés sont horodatés et signés pour garantir leur intégrité et leur non-répudiation. La chaîne de provenance est documentée et vérifiable.
Détail du Principe 3
Permissions RBAC requises par l'agent Aegis Vetis
Extrait du ClusterRole livré avec chaque chart Helm Aegis Vetis. Toutes les ressources listées sont consultées en lecture seule (get, list, watch) tant que la remédiation n'est pas activée.
# ClusterRole — agent Aegis Vetis apiVersion: rbac.authorization.k8s.io/v1 kind: ClusterRole metadata: name: aegis-agent rules: # Ressources cœur - apiGroups: [""] resources: [nodes, namespaces, pods, services, endpoints, events, configmaps, persistentvolumes, persistentvolumeclaims, resourcequotas, limitranges, serviceaccounts, secrets] verbs: [get, list, watch] # Charges de travail - apiGroups: ["apps"] resources: [deployments, daemonsets, statefulsets, replicasets] verbs: [get, list, watch] # Réseau - apiGroups: ["networking.k8s.io"] resources: [ingresses, networkpolicies, ingressclasses] verbs: [get, list, watch] # Contrôle d'accès (audit RBAC du cluster) - apiGroups: ["rbac.authorization.k8s.io"] resources: [clusterroles, clusterrolebindings, roles, rolebindings] verbs: [get, list, watch] # Budgets d'interruption des pods - apiGroups: ["policy"] resources: [poddisruptionbudgets] verbs: [get, list, watch] # Tâches et tâches planifiées - apiGroups: ["batch"] resources: [jobs, cronjobs] verbs: [get, list, watch] # Stockage - apiGroups: ["storage.k8s.io"] resources: [storageclasses, volumeattachments] verbs: [get, list, watch] # Mise à l'échelle automatique - apiGroups: ["autoscaling"] resources: [horizontalpodautoscalers] verbs: [get, list, watch] # Webhooks d'admission (audit des politiques) - apiGroups: ["admissionregistration.k8s.io"] resources: [validatingwebhookconfigurations, mutatingwebhookconfigurations] verbs: [get, list, watch]
Sur l'accès aux Secrets
Le verbe get sur secrets est requis pour évaluer des contrôles structurels (type de secret, existence d'un certificat, chiffrement au repos). Le code de l'agent extrait les métadonnées nécessaires et n'exporte jamais la valeur des secrets en dehors du cluster. Cet engagement est reflété dans le DPA à l'article 4.4 et dans les tests d'intégration livrés avec chaque release.
Sur la remédiation (désactivée par défaut)
Si vous activez explicitement remediation.enabled dans les values.yaml du chart, les verbes patch, update et create sont ajoutés aux groupes cœur, apps, networking, rbac et batch. La portée précise et les garde-fous applicatifs sont documentés dans le livret Sécurité sous NDA.
Ce ClusterRole est celui livré avec la version en cours du Logiciel. Chaque release est accompagnée d'un journal de modification listant les éventuels ajouts ou retraits de permissions.
Accès de l'éditeur à votre infrastructure.
L'éditeur n'accède jamais à votre infrastructure par défaut. Aucun accès permanent, aucun canal de télémétrie, aucun canal de support ouvert à l'initiative de l'éditeur sur vos systèmes.
Lorsque vous sollicitez un support technique, vous décidez seul des modalités d'accès : nous intervenons exclusivement via les canaux que vous fournissez (bastion, VPN dédié, session partagée), pour une durée limitée, et dans un périmètre que vous définissez. Ces interventions font l'objet d'un encadrement contractuel au titre du DPA et sont journalisées de votre côté comme du nôtre.
Gestion des vulnérabilités.
Surveillance continue des dépendances logicielles, publication d'une SBOM à chaque release, engagement contractuel sur les délais de correction selon la criticité.
| Criticité | Seuil CVSS | Engagement de délai |
|---|---|---|
| Critique | CVSS ≥ 9.0 | Correctif sous 72 heures |
| Haute | CVSS 7.0 à 8.9 | Correctif sous 14 jours |
| Moyenne | CVSS 4.0 à 6.9 | Correctif dans la prochaine release planifiée |
Divulgation responsable
Le canal de divulgation responsable est ouvert à l'adresse security@aegis-vetis.io. Les Clients sous contrat sont notifiés de manière proactive de toute vulnérabilité affectant le Logiciel, par le portail éditeur et par courrier électronique, avec une recommandation de correctif.
Certifications de l'éditeur.
État factuel, sans engagement non tenable.
Aujourd'hui
Engagements contractuels
L'éditeur est lié par les mesures techniques et organisationnelles décrites au DPA (chiffrement, authentification multifacteur, contrôle d'accès par rôle, journalisation, sauvegardes chiffrées, séparation des environnements). Ces engagements sont opposables et auditables au titre de l'article 28 du RGPD.
Démarche
ISO/IEC 27001
Une démarche de certification ISO/IEC 27001 est en cours de structuration. Les jalons feront l'objet d'une communication spécifique aux Clients sous contrat lorsqu'ils seront confirmés. Aucun engagement public n'est pris sur un horizon daté tant que le plan n'est pas audité.
Livret Sécurité — sous accord de confidentialité.
Les détails techniques de notre architecture de sécurité — schémas d'architecture, matrice de sécurité complète, procédures opérationnelles, résultats des tests d'intrusion internes — sont disponibles sous accord de confidentialité préalable.
Ces éléments vous permettent d'intégrer Aegis Vetis à votre propre dossier d'audit de sécurité. Pour recevoir le livret, nous vous transmettons d'abord le NDA à signer, puis le document sous quarante-huit heures ouvrées.
Demander le livret Sécurité (sous NDA)Nous répondons à vos questions de sécurité.
Démonstration de trente minutes adaptée à votre référentiel prioritaire, avec discussion technique sur les points de sécurité qui conditionnent votre décision. Échange en français. Clause de confidentialité possible sur demande.