NELSE Trust Center
La confiance technique doit pouvoir être examinée.
Un moteur réglementaire peut devenir une composante critique du SI. NELSE sépare identité, données, corpus, exécution, validation et preuve afin que les équipes sécurité sachent où regarder — et ce qui doit être refusé.
Principes
La sécurité fait partie du comportement du système.
Les contrôles ne doivent pas seulement protéger les serveurs. Ils doivent empêcher qu’une décision soit produite avec une identité insuffisante, un fait critique non confirmé ou une version de règles ambiguë.
Moindre privilège
Chaque utilisateur, service et rôle n’accède qu’au périmètre nécessaire à son travail.
Fail closed
Une identité, un fait critique, une version ou une validation insuffisante bloque le passage au lieu d’être devinée.
Séparation des responsabilités
Données client, corpus normatifs, administration et validation humaine disposent de frontières explicites.
Audit exploitable
Les événements techniques et métier nécessaires à l’examen restent corrélables sans dépendre d’un écran de démonstration.
Architecture
Des frontières lisibles pour les équipes sécurité.
Le chemin ci-dessous montre les zones de contrôle publiques. Il ne décrit ni le graphe propriétaire du moteur ni les mécanismes internes de composition normative.
Versionnés séparément des données métier. Leur évolution ne donne pas accès aux données client.
Stockage, rétention et export sont définis selon le mode de déploiement et les exigences du client.
Contrôles d’entreprise
Ce qu’un CTO ou un RSSI doit pouvoir vérifier.
La diligence sécurité ne devrait pas commencer par un mur de logos. Elle commence par des contrôles compréhensibles, des responsabilités attribuées et des preuves disponibles.
Identité & accès
Rôles, comptes de service, séparation des organisations et moindre privilège. Les capacités SSO/OIDC/SAML ou de provisioning sont confirmées dans le périmètre technique du déploiement avant d’être promises comme disponibles.
Protection des données
Chiffrement en transit et au repos, séparation tenant, minimisation, paramètres de rétention et suppression.
Isolation des environnements
Développement, test, shadow et production sont séparés. Une version n’est pas promue par simple présence du code.
Runtime & décision
Le chemin déterministe n’adopte pas silencieusement une réponse LLM. Un manque de fait ou de validation devient un état explicite.
Audit & investigation
Identifiants de corrélation, événements d’administration, versions, décisions et références de preuve peuvent être rapprochés.
Résilience & réversibilité
Sauvegarde, restauration, reprise, export et retour de version sont définis par environnement et niveau de service.
Données
Chaque catégorie a une finalité et une politique distinctes.
Le client doit pouvoir comprendre ce qui est traité, pourquoi, où cela vit et comment cela sort du système. Les paramètres précis sont fixés dans le dossier de sécurité du déploiement.
État des assurances
Disponible, conditionnel ou non revendiqué : pas de zone grise.
Cette matrice distingue ce qui est observable aujourd’hui de ce qui dépend du déploiement ou d’une preuve externe. Elle évite de transformer une capacité d’architecture en certification commerciale.
Principe de publication
Une capacité envisagée, une roadmap ou une propriété d’un prestataire n’est jamais convertie en badge NELSE. Le statut public change uniquement lorsqu’un élément vérifiable permet de le faire.
Déploiement
Choisir la frontière de confiance qui convient à votre organisation.
Les exigences de résidence, d’isolation, de réseau et de santé sont des paramètres à valider avant engagement. La page décrit les modes d’architecture étudiés, pas un catalogue de capacités automatiquement incluses.
Service managé
Région, isolation logique, rétention et responsabilités d’exploitation sont définies dans le périmètre retenu. La localisation n’est pas supposée : elle est documentée.
Environnement dédié
Un environnement dédié ou des contraintes réseau spécifiques peuvent être étudiés lorsque le besoin du client le justifie, sous réserve de validation technique et contractuelle.
Environnement santé
Lorsque des données de santé sont dans le périmètre, l’hébergement et les sous-traitants doivent répondre aux exigences applicables, notamment HDS lorsque requis.
Aucun badge sans preuve.
NELSE n’affiche pas une certification, une qualification ou un niveau d’assurance comme acquis si le justificatif indépendant et son périmètre ne sont pas disponibles. Les certifications externes, rapports d’audit et attestations sont présentés dans le Trust Center lorsqu’ils sont effectivement obtenus et applicables au service concerné.
Diligence
Votre équipe sécurité doit pouvoir instruire le dossier sans deviner.
Pour une revue enterprise, le dossier de diligence rassemble les éléments nécessaires à l’analyse du fournisseur et du déploiement retenu.