# Revue d'architecture de sécurité : repérer les défauts avant la mise en production > Revue d'architecture de sécurité pour SaaS, PME et secteurs réglementés : repérer tôt les défauts de conception. Prix fixe convenu dès CHF 6'900. - Source: https://www.sidd.swiss/fr/services/audit-architecture-securite - Langue: fr-CH - Mise à jour: 2026-10-17 - Éditeur: SIDD Institut pour la protection des données et la sécurité des données, une marque de Priverion GmbH, Zugerstrasse 32, 6340 Baar (ZG), Suisse STRIDE · OWASP ASVS 5.0 · ISO 27001 Annexe A 8.27 Les scanners et les tests d'attaque ne trouvent souvent les défauts de conception que dans le système en service. Nous examinons votre conception avant la construction, la migration ou une demande enterprise. Un threat model montre qui pourrait attaquer votre système et comment. Vous recevez des constats priorisés avec contre-mesures, une vision cible et des preuves pour les auditeurs. Prix fixe convenu dès CHF 6'900 Constats · Vision cible · Preuves d'audit Architecture Check en 2–3 semaines Gratuit · 30 minutes · confidentiel sous NDA · un accès en lecture suffit **Responsable de ce mandat** **Oliver Stutz** Co-Founder · InfoSec & Cybersecurity Expert · Bachelor of IT (Bond University) Oliver Stutz est cofondateur et dirige la revue d'architecture de sécurité. Son équipe examine le cloud, les droits d'accès et la livraison logicielle. Elle conçoit aussi l'architecture cible. Philipp Staiger, Lead Auditor ISO 27001 (BSI), rattache les constats à l'ISO 27001. L'équipe de Dr. Dominic Staiger qualifie chaque constat selon la LPD, le RGPD, le règlement IA, le CRA et NIS2. [Profil LinkedIn](https://www.linkedin.com/in/oliverstutz/) ## Qu'est-ce qu'une revue d'architecture de sécurité ? > **Définition courte** > > Une revue d'architecture de sécurité (Security Architecture Review, SAR) examine la conception d'un système. Elle y cherche des défauts de sécurité, avant ou pendant la construction. Elle s'appuie sur des documents, des diagrammes, des configurations et des ateliers. Elle couvre les flux de données, les droits d'accès et les trust boundaries, c'est-à-dire les frontières entre zones de confiance différente. Le résultat : un threat model, des constats priorisés avec chemins d'attaque et une vision cible de l'architecture sécurisée. L'IEEE Center for Secure Design distingue deux types d'erreurs. Un **bug** est une erreur dans le code. Un **flaw** est une erreur de conception. Un test d'intrusion attaque le système en exploitation et trouve les bugs. La revue trouve les flaws. Un flaw ne se corrige pas par un patch et renchérit avec chaque composant. C'est pourquoi la revue précède le [test d'intrusion](https://www.sidd.swiss/fr/services/test-intrusion). Pour les applications créées avec des outils d'IA comme Lovable existe la [revue de sécurité pour projets en vibe coding](https://www.sidd.swiss/fr/services/audit-securite-vibe-coding). Elle est proposée à un prix fixe convenu dès CHF 3'900. L'Architecture Review vise les plateformes, les paysages de systèmes et les produits appelés à croître sur des années. ## Quand une revue d'architecture de sécurité est utile Une revue est utile avant une décision d'architecture ou lorsque des tiers s'enquièrent de votre architecture. 1. **Migration cloud ou réarchitecture :** vous migrez vers le cloud, restructurez vos comptes cloud ou découpez une application historique. Ce que vous fixez maintenant pour les comptes, les identités et les zones réseau coûte cher à modifier plus tard. 2. **Nouvelle plateforme ou nouveau produit :** vous construisez un SaaS pour de nombreux clients ou un portail client. Les défauts de séparation des données et d'autorisation coûtent bien moins cher à corriger en conception qu'en exploitation. 3. **Questionnaire enterprise, constat d'audit ou due diligence :** un client, un auditeur ISO 27001 ou un acquéreur s'intéresse à votre architecture. Il vous faut alors une image solide plutôt que des auto-déclarations. 4. **Obligation réglementaire ou clause contractuelle :** les clients de l'UE imposent par contrat à leurs fournisseurs suisses le développement et l'acquisition sécurisés selon NIS2. DORA oblige les entités financières de l'UE à concevoir la sécurité des TIC, pas seulement à la tester. Dès le 11.12.2027, le CRA exige la sécurité dès la conception pour les produits à éléments numériques sur le marché de l'UE. La directive (UE) 2024/2853 sur la responsabilité du fait des produits est à transposer d'ici au 09.12.2026. Elle soumet le logiciel à une responsabilité sans faute avec charge de la preuve allégée. Les décisions de conception documentées soutiennent alors votre défense. 5. **Après un incident ou avant le pentest :** un incident a été corrigé, mais la cause structurelle subsiste : par exemple un réseau plat. Ou vous planifiez un [test d'intrusion](https://www.sidd.swiss/fr/services/test-intrusion) et voulez savoir s'il teste la bonne architecture. Ce qui nous rend uniques ## Droit, ingénierie et développement IA dans une équipe Une revue d'architecture exige trois regards : l'attaquant, l'ingénieur expérimenté en exploitation et le juriste. **Ni un pur cabinet d'avocats ni un cabinet de conseil classique ne peuvent offrir cette combinaison.** Chez nous, les trois forment une seule équipe du premier entretien à l'architecture cible. ### Expertise juridique approfondie Dr. iur., LL.M. et CIPP/E ainsi qu'Attorney at Law (New York) et Solicitor (UK). Chaque constat reçoit une qualification juridique selon la LPD, le RGPD, NIS2 et le CRA. ### Nos propres ingénieurs logiciels Nous exploitons notre propre centre de développement et la [Plateforme Priverion](https://www.sidd.swiss/fr/priverion-plateforme) en Suisse. Nous voyons donc où le diagramme et la réalité divergent. ### Développement IA interne Nous développons et exploitons nos propres systèmes d'IA, dont l'IA juridique LexCommand. Avec l'expérience acquise en les sécurisant, nous examinons l'IA de votre architecture. ## Ce que nous examinons Chaque revue couvre ces dix domaines. Nous fixons la profondeur lors du cadrage. - **Trust boundaries et flux de données :** nous cartographions les deux par environnement et par client. S'y ajoute le besoin de protection par catégorie de données (art. 1 OPDo). Il en résulte le threat model selon la méthode STRIDE (OWASP ASVS 5.0 V15). - **Identité, accès et séparation des tenants :** nous examinons les comptes admin et de service, l'authentification multifacteur et le modèle d'autorisation. Chaque client doit avoir des données, clés et logs strictement séparés (ASVS 5.0 V8, DORA art. 9 par. 4 let. c). - **Réseau et segmentation :** nous confrontons votre concept de zones aux règles de pare-feu réelles. La référence est le zero trust selon NIST SP 800-207 et 800-207A : chaque accès est contrôlé. - **Cryptographie, clés et secrets :** nous examinons chiffrement et gestion des clés (ASVS 5.0 V11, CRA annexe I partie I ch. 2 let. e). Nous cherchons les secrets tels que mots de passe dans le code, les pipelines et la configuration. - **Landing zone cloud et configuration :** nous examinons la structure de base de vos comptes cloud et ses règles de sécurité. Nous faisons des sondages par rapport aux CIS Benchmarks et au Well-Architected Security Pillar (ISO 27001 Annexe A 5.23). - **CI/CD et chaîne d'approvisionnement logicielle :** nous vérifions si quelqu'un peut manipuler la chaîne du code à la livraison. Cela inclut les logiciels tiers et la nomenclature SBOM (ASVS 5.0 V15.1.2, CRA annexe I partie II ch. 1). Le développement, le test et la production doivent être séparés (ISO 27001 Annexe A 8.31). - **Journalisation et detection readiness :** nous vérifions la journalisation et les chemins d'attaque non détectés (ASVS 5.0 V16 et OWASP Top 10:2025 A09). En cas de traitement à grande échelle de données personnelles sensibles, l'obligation de journalisation de l'art. 4 OPDo s'applique. Les infrastructures critiques doivent annoncer les cyberattaques à l'Office fédéral de la cybersécurité dans les 24 heures (art. 74e LSI). Nous vérifions si les journaux le permettent. - **Sauvegarde et résilience :** les sauvegardes doivent être immuables, inaccessibles aux comptes d'exploitation et restaurables de manière vérifiée. Nous recherchons les dépendances envers des personnes, systèmes ou fournisseurs uniques (DORA art. 12, art. 9 par. 3 let. b et c). - **Conception des API et des intégrations :** nous examinons les autorisations, les champs exposés, les tokens d'accès et les accès des prestataires et de télémaintenance. Nous montrons les risques de concentration chez les tiers (ASVS 5.0 V4 et V9, NIS2 art. 21 par. 2 let. d). - **Composants IA :** nous vérifions les accès aux modèles et agents d'IA et les flux de données vers les fournisseurs de LLM. Nous cherchons l'IA fantôme non autorisée et les failles dues à l'IA (OWASP Top 10 for LLM Applications 2025, NIST SP 800-218A). Les tests d'attaque sont assurés par nos [tests de sécurité IA](https://www.sidd.swiss/fr/services/securite-ia). Chaque constat est rattaché à ISO/IEC 27001:2022 Annexe A, aux art. 7 et 8 LPD et aux art. 25 et 32 RGPD. Constats, risques et preuves peuvent être déposés sur demande dans la [Plateforme Priverion](https://www.sidd.swiss/fr/priverion-plateforme) et alimenter votre [SMSI](https://www.sidd.swiss/fr/services/iso-27001-smsi). ## Ce qu'une revue trouve et qu'un scanner ne trouve pas > **Constats typiques** > > **Réseau plat malgré un concept de zones :** le pare-feu n'applique pas les zones. **Sauvegardes à portée des comptes d'exploitation :** un compte admin piraté atteint aussi les sauvegardes. **Règles d'accès différentes dans chaque service :** les lacunes entre services passent inaperçues. **Données clients séparées, clé partagée :** une seule erreur de clé touche tous les clients. ## Pourquoi la conception compte Trois chiffres issus de sources primaires montrent que la conception et la configuration déterminent l'ampleur du dommage. Ils décrivent des schémas d'attaque généraux, pas votre système. - **31 %** des violations de sécurité confirmées ont commencé par une vulnérabilité exploitée, désormais le point d'entrée le plus fréquent. Zones réseau, autorisations et sauvegardes accessibles décident ensuite de la portée de l'attaque (Verizon DBIR 2026). - **près de 8 mois** ont été nécessaires aux fournisseurs tiers pour corriger la moitié de leurs constats. En cause : mots de passe faibles et autorisations erronées (Verizon DBIR 2026). - **2e rang** pour les erreurs de configuration de sécurité dans l'OWASP Top 10:2025. La catégorie était encore au 5e rang en 2021. ## Formules Trois profondeurs d'examen avec prix d'entrée. Nous convenons du prix fixe après un premier entretien de cadrage. ### Architecture Check Prix fixe convenu dès CHF 6'900 1 système Examen de base d'un système avant un pentest ou une demande enterprise. 2–3 semaines, environ quatre jours de conseil. - Étude documentaire : design système, plan réseau, interfaces, concept des droits d'accès - Atelier d'une demi-journée avec l'architecture, le développement et l'exploitation - Threat model allégé avec diagramme de flux de données : STRIDE vérifie six types d'attaque sur jusqu'à trois trust boundaries. - Top 10 des constats avec contre-mesures et brève qualification juridique selon la LPD. Esquisse de la vision cible sur une page. - Rapport PDF, entrées dans la Plateforme Priverion, réunion de clôture d'une heure ### Architecture Review Prix fixe convenu dès CHF 14'000 recommandé · plateforme ou 2–3 systèmes centraux Pour les SaaS B2B et les PME avant ISO 27001, un questionnaire enterprise ou un grand appel d'offres. 4–6 semaines, 8–12 jours de conseil. Les systèmes supplémentaires font l'objet d'une offre séparée. - Tout le contenu de l'Architecture Check - Threat model sur toutes les trust boundaries, arbres d'attaque pour les 2–3 actifs les plus précieux - IAM et séparation des tenants, secrets et clés, journalisation et détection, sauvegarde et restauration - Sondages cloud, chaîne de livraison CI/CD et nomenclature logicielle SBOM - Qualification juridique par l'équipe de Dr. Staiger : LPD, art. 1–5 OPDo, art. 25, 28 et 32 RGPD. CRA et NIS2 lorsqu'ils s'appliquent. - Executive summary, rapport technique, architecture cible et feuille de route par phases. S'y ajoutent le registre des risques et une revérification de votre plan de remédiation. ### Architecture Programme Prix fixe convenu dès CHF 30'000 secteur réglementé · groupe Pour les prestataires financiers, la santé, les fournisseurs d'infrastructures critiques et les groupes comptant plusieurs équipes produit. 6–10 semaines, 15–25 jours de conseil. - Tout le contenu de l'Architecture Review, pour l'ensemble du paysage de systèmes - Vision cible zero trust : aucun accès n'est fiable sans contrôle. Avec concept de zones, sans design détaillé. - Catalogue d'exigences de sécurité pour appels d'offres et contrats fournisseurs (NIS2) - Feuille de route de conformité CRA pour les produits comportant des éléments numériques. Mapping DORA et Circ. FINMA 2023/01 lorsque applicable. - Briefing du conseil d'administration et de la direction sur leur obligation d'approbation et de surveillance (NIS2 art. 20). Assuré par l'équipe d'Oliver Stutz et l'équipe de Dr. Staiger, avec suivi à 90 jours. Sur demande, l'**Architecture Advisory Retainer**prend le relais : prix fixe convenu dès CHF 1'900/mois pour six mois minimum. Un jour mensuel de revue d'architecture, le suivi du threat model et un siège à votre Architecture Board. Nous fixons la profondeur d'examen lors de l'[entretien initial](https://www.sidd.swiss/fr/contact). ## Notre démarche Six étapes avec chacune un résultat documenté, sans bloquer de release. ### Cadrage Nous clarifions les limites du système, les catégories de données et vos besoins de preuve. Nous fixons le périmètre par écrit. Nous convenons du prix fixe après un premier entretien de cadrage. L'entretien initial gratuit dure 30 minutes. ### Étude documentaire et atelier Lors d'un atelier, nous comparons vos documents à la pratique. ### Modélisation des menaces (threat modelling) STRIDE vérifie chaque trust boundary. Pour les données personnelles, LINDDUN examine en plus les risques de protection des données. Chaque risque est soit traité, soit accepté en connaissance de cause. ### Analyse et sondages Nous mesurons votre architecture réelle à l'aune de NIST SP 800-207 et des CIS Benchmarks. S'y ajoutent des sondages dans la console cloud, les droits d'accès et le pipeline. Nous rattachons les chemins d'attaque à MITRE ATT&CK. ### Rapport et architecture cible La direction et le conseil d'administration reçoivent un executive summary. Le rapport technique indique gravité et mesure pour chaque constat. S'y ajoute la vision cible. L'équipe de Dr. Staiger assure la qualification juridique. ### Accompagnement de la remédiation Nous revérifions votre plan de remédiation et tenons registre des risques et preuves à jour dans la [Plateforme Priverion](https://www.sidd.swiss/fr/priverion-plateforme). Votre gestion de la sécurité ou votre [RSSI](https://www.sidd.swiss/fr/services/ciso-externe)prend ensuite le relais. L'implémentation reste chez votre équipe, pour que conseil et audit restent séparés. ## Pourquoi SIDD Ce que les trois disciplines vous apportent : ### L'expérience de nos propres systèmes Nous prenons et assumons nous-mêmes des choix de conception comme les vôtres : Plateforme Priverion, cloud et systèmes d'IA. ### Constat plus qualification juridique Chaque constat indique sa gravité et l'obligation juridique qu'il touche, par exemple les exigences minimales de sécurité des données. Quiconque les enfreint intentionnellement s'expose personnellement à une amende jusqu'à CHF 250'000 (art. 61 let. c LPD). Les résultats tiennent ainsi face aux clients, aux auditeurs et au conseil d'administration. ### Dans le langage de votre auditeur Nous rattachons constats et architecture cible à l'Annexe A de l'ISO 27001. Ils alimentent directement votre [SMSI](https://www.sidd.swiss/fr/services/iso-27001-smsi), par exemple l'appréciation des risques et le plan de traitement. ### Confidentiel, documents conservés en Suisse Vos documents d'architecture restent en Suisse sous NDA et obligation de confidentialité. Là où l'équipe de Dr. Staiger donne un conseil juridique, le secret professionnel de l'avocat s'applique en plus (art. 321 CP). ### Conseil et audit séparés Si un système que nous avons contribué à concevoir doit ensuite être testé de manière indépendante, nous séparons les mandats. Ainsi, le [test d'intrusion](https://www.sidd.swiss/fr/services/test-intrusion) reste crédible. ### Des preuves prêtes pour l'audit Constats, risques et statut de remédiation sont prêts pour l'audit dans la [Plateforme Priverion](https://www.sidd.swiss/fr/priverion-plateforme). Vous les utilisez directement pour les questionnaires de sécurité des grands clients et les audits ISO. ## Scan de vulnérabilités, pentest et revue comparés Les trois examens se complètent. La revue trouve la décision de conception qui transforme une erreur en incident. | Critère | Scan de vulnérabilités · Test d'intrusion | Revue architecture sécurité | | --- | --- | --- | | Ce qui est trouvé | Scan : failles connues. Pentest : erreurs exploitables, chaînes d'attaque | Défauts de conception : trust boundaries, accès, isolation des tenants, sauvegardes | | Objet de l'examen | Systèmes en exploitation, pour le pentest aussi le code | Documents et entretiens, même avant la construction | | Moment | Scan : en continu ou trimestriel. Pentest : avant la mise en production et chaque année | Avant migration ou nouvelle construction, ensuite lors de changements majeurs | | Vocabulaire | Constats selon la gravité CVSS et l'exploitabilité | Flaws plutôt que bugs, chemins d'attaque selon MITRE ATT&CK | | Résultat | Scan : constats évalués. Pentest : rapport avec reproduction. Retest inclus | Threat model, registre des risques, vision cible ou architecture cible avec plan de mise en œuvre, correspondance avec les normes | | Référence réglementaire | DORA art. 25 par. 1, Circ. FINMA 2023/01 | ISO 27001 Annexe A 8.27, NIS2, DORA, CRA, LPD | | Effet | Une correction par constat, la structure reste la même | L'architecture cible ferme toute la classe d'erreurs | | Prix chez SIDD | Scan dès CHF 5'000. Pentest dès CHF 1'490 (projets 8'000–28'000) | Prix fixe convenu dès CHF 6'900 | L'ordre habituel : revue avant la construction, [test d'intrusion](https://www.sidd.swiss/fr/services/test-intrusion) avant la mise en production, [scan de vulnérabilités](https://www.sidd.swiss/fr/services/analyse-vulnerabilites) en exploitation. Pour les fonctions IA s'ajoutent les [tests de sécurité IA](https://www.sidd.swiss/fr/services/securite-ia). Les applications générées par IA relèvent de la [revue de sécurité pour projets en vibe coding](https://www.sidd.swiss/fr/services/audit-securite-vibe-coding). Notre outil : LexCommand ## Pourquoi nous travaillons avec LexCommand, notre propre IA juridique suisse LexCommand est notre IA juridique interne, adossée à des citations, pour le droit de la Suisse, de l'Allemagne, de l'Autriche et de l'UE. Développée et exploitée de manière souveraine en Suisse par Priverion GmbH, l'entreprise derrière SIDD. Nous ne faisons pas que prôner la souveraineté des données et la traçabilité, nous les avons intégrées dans notre propre outil, en complément de la [Plateforme Priverion](https://www.sidd.swiss/fr/priverion-plateforme). ### Souverain en Suisse L'IA fonctionne en auto-hébergement sur une infrastructure suisse, sans LLM cloud externes. En tant qu'entreprise suisse indépendante sans société mère étrangère, nous traitons vos documents dans un environnement que nous maîtrisons. ### Pas de citation, pas d'affirmation Chaque affirmation juridique renvoie à une source primaire consultable, sinon elle n'apparaît pas. Nos recommandations deviennent ainsi vérifiables et auditables, au lieu de seulement paraître plausibles. ### De l'effort au jugement LexCommand prend en charge la recherche, le recoupement et le sourcing. Cela réduit les délais et libère nos conseillers seniors pour le jugement et l'échange avec le client, sans rien céder sur la rigueur. ### Trois disciplines, une seule vue Nous examinons la protection des données, la sécurité de l'information et la sécurité de l'IA sur une base de sources partagée avec un crosswalk de référentiels. Vous voyez ainsi les obligations qui se recoupent dans une vue consolidée, au lieu de trois analyses isolées. LexCommand documente pour chaque constat l'obligation juridique avec sa source. Un crosswalk des référentiels montre où le même défaut touche aussi ISO 27001. Déterministe dans le temps (à la date du jour ou à toute date de référence), avec cloisonnement des juridictions (CH/DE/AT/EU) et un vérificateur de citations à la fin de chaque réponse. ## Questions fréquentes ### Combien coûte une revue d'architecture de sécurité ? Architecture Check pour un système : prix fixe convenu dès CHF 6'900. Architecture Review pour une plateforme ou deux à trois systèmes centraux : prix fixe convenu dès CHF 14'000. Architecture Programme pour les paysages réglementés : prix fixe convenu dès CHF 30'000. Nous convenons du prix fixe après un premier entretien de cadrage. ### Combien de temps dure la revue ? Architecture Check : 2–3 semaines pour environ quatre jours de conseil. Architecture Review : 4–6 semaines pour 8–12 jours. Architecture Programme : 6–10 semaines. Votre équipe consacre une à quatre demi-journées d'atelier, en parallèle du projet en cours. ### Que devons-nous fournir ? Il nous faut diagrammes d'architecture, plans réseau, descriptions d'interfaces, concept de droits d'accès (IAM) et analyses de risques ou rapports de pentest. Pour les ateliers, vous désignez une personne de l'architecture, du développement et de l'exploitation. Pour les sondages, il suffit d'un accès en lecture à la console cloud ou au pipeline ou d'un partage d'écran. Les ateliers comblent les lacunes de documentation, et celles qui touchent la sécurité deviennent elles-mêmes des constats. ### Pentest ou Architecture Review : de quoi avons-nous besoin en premier ? Si votre système est encore en conception ou en refonte, commencez par la revue. Elle trouve des défauts de conception qu'un pentest ne signalera plus tard que comme symptôme. Si le système tourne déjà sans test, le [test d'intrusion](https://www.sidd.swiss/fr/services/test-intrusion)passe en premier. Si ses constats pointent vers la conception, la revue suit. ### La revue nous rend-elle conformes à ISO 27001, NIS2 ou au CRA ? Non, la conformité n'est jamais garantie et seuls des organismes accrédités délivrent des certificats. La revue fournit des preuves : revue de conception (ISO 27001 Annexe A 8.27) et sécurité du développement (NIS2 art. 21 par. 2 let. e). S'y ajoute la sécurité dès la conception, le secure by design (CRA annexe I partie I). Nous accompagnons la certification dans le [conseil SMSI](https://www.sidd.swiss/fr/services/iso-27001-smsi)et les clauses fournisseurs de l'UE dans le [conseil NIS2](https://www.sidd.swiss/fr/services/conseil-nis2). ### Qu'apporte un regard extérieur si nous avons notre propre équipe sécurité ? Une équipe interne néglige plus facilement les hypothèses derrière ses propres décisions. Nous apportons des comparaisons avec d'autres architectures et la qualification juridique. Auditeurs et clients enterprise apprécient en outre un regard indépendant. Threat model et architecture cible appartiennent ensuite à votre équipe et s'intègrent à votre SMSI. ### Le Well-Architected Review de notre fournisseur cloud certifié suffit-il ? Le fournisseur ne sécurise que l'infrastructure : comptes, autorisations, règles réseau et clés relèvent de vous. C'est là que naissent les erreurs de configuration, que le [Verizon DBIR 2025](https://www.verizon.com/business/resources/reports/2025-dbir-data-breach-investigations-report.pdf) classe parmi les trois types d'erreurs les plus fréquents. Le Well-Architected Review vérifie selon les bonnes pratiques du fournisseur, sans connaître votre logique métier ni vos obligations de notification. Comme travail préparatoire, il raccourcit toutefois notre cadrage. ### Nous avons des composants IA dans l'architecture. Revue ou tests de sécurité IA ? Chaque modèle IA, chaque recherche IA dans vos documents et chaque agent doté d'outils forme sa propre frontière de confiance (trust boundary). Nous y examinons les accès, les flux de données, les secrets et les obligations de transparence du règlement IA (art. 50). Dès CHF 8'000 par application, les [tests de sécurité IA](https://www.sidd.swiss/fr/services/securite-ia) attaquent ensuite le système construit avec des méthodes comme la prompt injection. Si votre application vient surtout d'outils IA, la [revue de sécurité pour projets en vibe coding](https://www.sidd.swiss/fr/services/audit-securite-vibe-coding) est l'entrée la plus rapide. ### Que se passe-t-il après la revue ? Vous recevez le rapport et la vision cible, et dès l'Architecture Review aussi l'architecture cible et la feuille de route. Pendant la mise en œuvre, nous revérifions une fois votre design de remédiation et mettons à jour les preuves. Ensuite, nous proposons l'Architecture Advisory Retainer pour des revues continues (prix fixe convenu dès CHF 1'900/mois). Autre option : un [test d'intrusion](https://www.sidd.swiss/fr/services/test-intrusion) avant la mise en production. Nous menons aussi les fournisseurs SaaS vers [ISO 27001 et la préparation SOC 2](https://www.sidd.swiss/fr/services/saas-iso-27001-soc2) . *Cette page ne remplace pas un conseil juridique au cas par cas.* Sur cette page - Qu'est-ce que la revue ? - Quand est-ce utile ? - Trois disciplines - Ce que nous examinons - Constats typiques - Chiffres et sources - Formules - Démarche - Pourquoi SIDD - Comparaison des audits - LexCommand - FAQ --- Ce document est la version Markdown de la page liée ci-dessus. Merci de citer l'URL HTML.