Je ne veux pas créer un référentiel de plus. Je veux assembler ceux qui existent. SOCLE - Sécurité Ouverte du Cycle de Livraison et d'Exploitation - est un profil fédérateur qui réunit SLSA, NIST SSDF, OWASP, CIS et ANSSI sur 16 domaines couvrant tout le cycle DevSecOps : de la gouvernance et du code jusqu'à la production et au cloud, fournisseurs inclus. Pour qui veut des exigences opposables, pas une boîte noire.
Chaque exigence pointe vers sa source d'origine. On relie et on comble les vides, on ne réécrit pas.
Le modèle est stabilisé : 412 exigences classées par niveau et par devoir. SOCLE reste une version candidate : le socle est posé, les contenus détaillés s'enrichissent par itérations (voir la roadmap). Le nom SOCLE est retenu pour cette version ; un rebranding reste possible (décision différée). L'idée, elle, ne changera pas : un profil ouvert, conçu pour être auditable, du code à la production.
Le constat : des référentiels riches mais fragmentés
Le paysage est abondant mais éclaté. SLSA couvre la provenance du build, NIST SSDF le cycle de développement, OWASP les risques applicatifs et CI/CD, S2C2F la consommation d'open source, CIS et ANSSI le durcissement, CRA et NIS2 le côté réglementaire. Chacun éclaire un maillon ; aucun ne donne la vue unique de bout en bout.
En face, les plateformes propriétaires promettent la conformité dans une boîte noire : catalogues non publics, correspondances générées par IA et non rejouables. C'est l'inverse de ce qu'exige une démarche DevSecOps sérieuse : transparence, preuve, traçabilité, vérifiabilité.
Assembler, pas réinventer
SOCLE n'ajoute pas un standard concurrent. Il prend les référentiels qui font autorité et les assemble en un socle cohérent, lisible de bout en bout :
Le résultat : un profil fédérateur, hiérarchisé en trois niveaux de robustesse, auditable, qui comble les creux entre ces cadres plutôt que de les dupliquer.
| Niveau | Nom | À qui il s'adresse |
|---|---|---|
| R1 | Fondamental | Toute équipe qui veut une base saine et atteignable. |
| R2 | Renforcé | Applications en production, exigences clients ou réglementaires. |
| R3 | Souverain | Contextes sensibles, diffusion restreinte, alignement ANSSI. |
Où en est le référentiel
À l'état 1.0.0-rc.4, les 412 exigences sont reprises, dédoublonnées, reliées à leur source et classées : par niveau (R1 : 105, R2 : 262, R3 : 45) et par devoir (DOIT : 316, DEVRAIT : 96). 85 exigences essentielles forment le tronc commun de tête. Au total, 75 standards et réglementations sont ancrés, cités et datés. Le texte, la correspondance et la preuve sont stables ; restent à figer quelques correspondances externes.
Profils sectoriels
Au-delà des trois niveaux, des profils transverses sélectionnent les exigences propres à un secteur ou à un contexte réglementaire. Ils se combinent aux niveaux, sans les remplacer.
Les principes que je m'impose
Un contrôle = une preuve = une remédiation = une correspondance justifiée. Si l'un des quatre manque, l'exigence n'est pas mûre.
Ce que SOCLE n'est pas
Le référentiel est ouvert : la norme sous CC BY 4.0, les données structurées sous Apache-2.0. Le métier, c'est l'expertise : audit, transformation, accompagnement, formation.
Anatomie d'une exigence
Chaque exigence s'affiche en carte : un identifiant, des badges (niveau, DOIT/DEVRAIT, Essentiel, souverain), un texte normatif, la correspondance qui la fonde et la preuve attendue. L'identifiant suit le format SOCLE-DOMAINE-FAMILLE-N.
Les 16 domaines
Les domaines couvrent toute la chaîne, du poste de développement à la posture cloud d'exécution. Chaque domaine s'ouvre sur ses familles, puis le détail exigence par exigence.
Un référentiel vivant
SOCLE n'est pas figé : chaque exigence est reliée à un corpus de menaces et d'incidents réels qui la justifient et l'éprouvent. On part de l'attaque, on remonte au contrôle.
Comment ce site publie la norme
Ce site est fort sur le « comment » (outils, labs, pédagogie) ; SOCLE apporte le « quoi » normatif. Les deux se rejoignent par un overlay discret, guide par guide : un bloc « Exigences SOCLE couvertes » déclare les identifiants réels mis en œuvre (par exemple SOCLE-INT-GEN-6) et leur niveau. Le premier guide annoté est le framework SLSA.