Compliance
La compliance comme architecture : elle ne se coche pas en fin de projet, elle se conçoit dès le premier jour, et elle échoue par manque d'inventaire.
La thèse est unique et je la répète depuis des années : la compliance est une architecture, pas une annexe juridique. Signaler une vulnérabilité exploitée sous 24 heures, produire un SBOM, prouver ce que faisait une version du logiciel un jour donné, ce sont des propriétés qui n’existent que si le système a été construit pour les avoir. Quand une organisation échoue, ce n’est presque jamais par manque de normes : c’est parce qu’elle ignore ce qu’elle a chez elle. Ces essais parlent de ce travail, avec des noms, des dates et des articles de loi.