SIGIL SARL — Buea, Cameroun
La cybersécurité gouvernée
Ce que signifie la cybersécurité gouvernée
La cybersécurité gouvernée est une propriété d’un système de sécurité, non une politique à son sujet. Une plateforme de cybersécurité est gouvernée lorsque trois règles sont appliquées par le système lui-même : une capacité technique n’est jamais une autorisation ; aucun constat n’est retenu tant qu’il n’a pas été re-vérifié de façon indépendante ; et l’institution qui exploite le système peut toujours lire ses propres données, les exporter et arrêter la machine. Le terme est le nôtre — SIGIL SARL, entreprise camerounaise qui conçoit une infrastructure de gouvernance souveraine depuis Buea — et cette page le définit précisément, car un terme forgé qui reste vague n’est que du marketing.
Ces trois règles ne sont pas des aspirations consignées dans un manuel. Ce sont des contraintes inscrites dans le logiciel : des contrôles qui refusent une action quand l’autorisation est incomplète, une mécanique de vérification qui ne promeut pas une observation en fait, et un modèle de propriété dans lequel l’institution exploitante — et non le fournisseur — détient les clés. Chaque règle peut être testée par un évaluateur sur le système qu’il a devant lui, et chacune échoue en position fermée : en l’absence d’un contrôle, la réponse est non.
À distinguer des référentiels de gouvernance
La gouvernance de la cybersécurité est une discipline de gestion établie, et cette page n’entend pas la renommer. Les référentiels de gouvernance dirigent la manière dont une organisation gère le risque cyber — la fonction « Govern » du Cadre de cybersécurité du NIST (CSF 2.0, 2024), par exemple, couvre la stratégie, les attentes et la politique de gestion du risque de l’organisation. Ce travail est nécessaire. C’est aussi, par nature, un travail sur le papier : des stratégies, des rôles, des politiques et une supervision, adressés à des personnes.
La cybersécurité gouvernée nomme une propriété différente et complémentaire : ce que le système en fonctionnement applique lui-même. Une politique peut exiger qu’aucun ingénieur ne sonde un réseau sans autorisation ; une plateforme gouvernée est construite pour que la sonde ne s’exécute pas sans elle. Là où la gouvernance gère le risque par des documents et de la supervision, un système gouverné refuse, vérifie et consigne par construction. Une institution a besoin des deux — et un seul des deux peut être audité en mettant la machine devant un évaluateur.
Les trois règles, simplement
Aucune des trois règles n’exige une formation en sécurité pour être évaluée. Chacune est un engagement clair sur ce que le système refusera de faire, et chacune est écrite pour qu’un lecteur institutionnel — un secrétaire général, un auditeur, un directeur des systèmes d’information — puisse en demander compte à la plateforme.
Une capacité technique n’est jamais une autorisation. Dans la plupart des logiciels, tout ce qu’un outil peut faire, on lui fait confiance pour le faire. Un système gouverné rejette ce défaut. Pouvoir balayer un réseau, tester un mot de passe ou modifier une configuration ne confère aucun droit de le faire : chaque action conséquente doit traverser une chaîne de contrôles indépendants — l’identité du demandeur, la permission exacte qu’il détient, un droit d’usage signé, la portée autorisée de l’intervention, et une approbation humaine lorsque le risque l’exige. Aucun modèle, agent ou plugin ne peut s’accorder sa propre permission. S’il manque un maillon, l’action est refusée : le système échoue en position fermée plutôt que de présumer le consentement.
Aucun constat n’est retenu tant qu’il n’a pas été re-vérifié de façon indépendante. Les outils de sécurité produisent des observations, et les observations sont parfois fausses. Dans une plateforme gouvernée, une observation est traitée comme une piste, non comme un fait : avant d’entrer dans un rapport comme élément prouvé, une vérification indépendante et déterministe doit la reproduire, et le fait confirmé est signé pour pouvoir être re-vérifié plus tard — y compris hors ligne, sans faire confiance à la plateforme qui l’a produit. Les rapports séparent ce qui est prouvé de ce qui est seulement observé, et l’absence de signal n’est jamais présentée comme une preuve d’absence. L’institution qui agit sur un tel rapport sait exactement quelles affirmations portent une preuve.
L’institution peut toujours lire, exporter et arrêter. Quel que soit l’état commercial du système — licence expirée, droit d’usage révoqué, différend avec le fournisseur — l’institution exploitante peut toujours lire ses propres données, les exporter intégralement et amener le système à un arrêt sûr. La révocation bloque les nouvelles actions sensibles ; elle n’enferme jamais l’institution hors de ses propres preuves, et elle ne supprime jamais l’arrêt. Il n’existe ni compte d’administration caché, ni canal distant par lequel le fournisseur pourrait atteindre le déploiement. En une phrase, la règle constante : l’institution détient les clés ; les données restent sous le contrôle de l’institution ; chaque action conséquente est autorisée, bornée et prouvée.
Pourquoi cela compte pour les institutions publiques
Une institution publique ne peut pas externaliser sa responsabilité. Quand un ministère, un régulateur ou une agence publique exploite une capacité de sécurité, il répond de chaque action de cette capacité — devant les auditeurs, devant les tribunaux et, en dernier ressort, devant les citoyens. Un outil puissant dont les actions ne peuvent être ni attribuées, ni bornées, ni arrêtées n’est pas un actif pour une telle institution ; c’est un passif permanent.
Les trois règles répondent aux questions que l’on pose réellement aux institutions après coup. Qui a autorisé cette action, et pouvez-vous le prouver ? L’attribution, dans une piste d’audit infalsifiable. Comment savez-vous que ce constat est vrai ? La re-vérification indépendante, signée et re-contrôlable. Que se passe-t-il si le fournisseur disparaît, ou si la relation se dégrade ? L’institution lit, exporte et arrête — de sa propre autorité. C’est ce que SIGIL entend par infrastructure de gouvernance souveraine : une technologie qu’une institution publique peut adopter sans céder le contrôle à ceux qui l’ont construite.
VIGIL, où les règles sont inscrites dans le système
VIGIL est l’instanciation par SIGIL de la cybersécurité gouvernée : une plateforme conçue pour aider des opérateurs dûment autorisés à identifier, confirmer, corriger et documenter des vulnérabilités sous les trois règles ci-dessus. La plateforme est bâtie selon des méthodologies publiques établies — OWASP, MITRE ATT&CK, NIST SP 800-115, PTES et PASTA — et elle est en pré-déploiement : SIGIL est une jeune entreprise, fondée en 2023, et VIGIL est décrit sur ce site exactement tel qu’il est, sans clientèle sous-entendue. Le système est présenté en détail sur la page VIGIL.
Trois pages compagnes présentent les règles comme de l’ingénierie plutôt que comme des principes : la chaîne d’autorisation montre, étape par étape, comment la capacité est séparée de l’autorisation ; le modèle des Oracles montre comment une piste devient un fait signé et re-vérifiable ; et déploiement, clés et révocation montre comment l’institution conserve lecture, export et arrêt, quoi qu’il arrive commercialement. La même doctrine traverse RÉCOR et APEX. VIGIL est construit à Buea — voir la cybersécurité à Buea pour le contexte local, et le hub GovTech au Cameroun pour la place des systèmes gouvernés dans le paysage technologique public.
Questions fréquentes
Qu’est-ce que la cybersécurité gouvernée ?
La cybersécurité gouvernée est le terme de SIGIL SARL pour un système de sécurité dont le contrôle est une propriété du système lui-même, non une politique qui l’entoure. Trois règles sont appliquées par construction : une capacité technique n’est jamais une autorisation ; aucun constat n’est retenu tant qu’il n’a pas été re-vérifié de façon indépendante ; et l’institution exploitante peut toujours lire ses propres données, les exporter et arrêter le système. Chaque règle échoue en position fermée, et chacune peut être testée par un évaluateur sur le système qu’il a devant lui.
Quelle est la différence entre cybersécurité gouvernée et gouvernance de la cybersécurité ?
La gouvernance de la cybersécurité est la discipline de gestion qui fixe la stratégie de risque, les rôles et les politiques d’une organisation — la fonction Govern du Cadre de cybersécurité du NIST (CSF 2.0) en est, par exemple, une expression. La cybersécurité gouvernée est une propriété complémentaire du système en fonctionnement : le logiciel lui-même refuse les actions non autorisées, re-vérifie les constats avant de les rapporter comme des faits, et laisse à l’institution le contrôle de ses données et de l’arrêt. La gouvernance dirige des personnes ; un système gouverné contraint la machine.
La cybersécurité gouvernée est-elle déployée quelque part aujourd’hui ?
Pas encore par SIGIL. VIGIL, la plateforme qui instancie ces règles, est en pré-déploiement : SIGIL SARL, fondée en 2023 à Buea, au Cameroun, n’a à ce jour ni clients ni déploiements en production, et ce site décrit ses systèmes exactement tels qu’ils sont. Les institutions qui souhaitent évaluer l’approche peuvent écrire à info@sigilsovereign.com.