Le Plan d’Assurance Sécurité (PAS) est le document contractuel clé par lequel un prestataire IT démontre sa conformité aux exigences de cybersécurité de son client. Il ne s’agit ni d’une fiche entreprise (PAS’ INFORMATIQUE), ni d’un manuel pour débutant. C’est un document stratégique pour remporter des appels d’offres et sécuriser la relation de sous-traitance, notamment dans le cadre du RGPD.

Pourquoi ce guide est différent des autres ? Les articles existants listent le sommaire d’un PAS. Ce guide vous donne la méthode de rédaction, les pièges à éviter et les évolutions réglementaires 2026 (NIS 2, DORA) pour que votre document passe l’audit de vos clients les plus exigeants.

Le 2 octobre 2026, GitLab a publié un correctif pour une vulnérabilité classée 9,9 sur 10 dans sa passerelle AI (AI Gateway). Ce score, quasi maximal, traduit une faille d’exécution de commande à distance qui pourrait compromettre les serveurs hébergeant la passerelle. Pour les organisations françaises qui ont choisi d’héberger elles-mêmes cette composante - souvent par souci de souveraineté des données - la mise à jour est impérative.

Selon les informations communiquées par GitLab, un utilisateur authentifié disposant d’un accès à la plateforme Duo Agent peut, sous certaines conditions, exploiter la vulnérabilité référencée CVE-2026-90970 pour échapper au bac à sable du modèle de prompt d’un flux personnalisé (custom flow). L’attaque aboutit à une exécution arbitraire de commandes sur la passerelle. Bien qu’aucune exploitation active n’ait été signalée à ce jour, l’agence américaine CISA a déjà ajouté la vulnérabilité à son catalogue avec une évaluation initiale d’absence de preuve de concept publique. Toutefois, la gravité du score CVSS impose une action immédiate.

Chef de projet cybersécurité : le pilote de la sécurité informatique

Le chef de projet cybersécurité conçoit, pilote et sécurise les systèmes d’information. Il transforme les exigences de sécurité (RGPD, ISO 27001, NIS2) en plans d’action concrets, en coordonnant les équipes techniques, la direction et les prestataires. Sans lui, les projets de sécurité restent des vœux pieux.

Exemple concret : il pilote le déploiement d’un SOC (Security Operations Center) pour surveiller 10 000 postes, en respectant un budget de 500 k€ et un délai de 9 mois.