Le glossaire Kaliteq

L'ANSSI est l'autorité française de référence en matière de cybersécurité : elle publie des recommandations, qualifie des prestataires et intervient en soutien des organisations victimes d'attaques majeures.

Un agent IA est un système capable de planifier et d'exécuter une suite d'actions de façon autonome pour atteindre un objectif, en s'appuyant sur un LLM et des outils externes, plutôt que de se limiter à répondre à une seule question.

Le fine-tuning consiste à ré-entraîner partiellement un modèle d'IA existant sur un jeu de données spécifique à l'entreprise, afin de spécialiser son comportement sans repartir de zéro.

L'AIPD est une analyse formalisée, exigée pour les traitements de données susceptibles d'engendrer un risque élevé pour les personnes, qui évalue la nécessité, la proportionnalité et les mesures pour réduire ce risque.

L'architecture hexagonale (ou "ports et adaptateurs") isole la logique métier d'une application des détails techniques externes (base de données, interface, API tierces), reliés par des interfaces bien définies.

La MFA exige au moins deux preuves d'identité indépendantes pour accéder à un compte : un mot de passe combiné à un code temporaire, une clé physique ou une empreinte biométrique.

La base légale est le fondement juridique, parmi les six prévus par le RGPD (consentement, contrat, obligation légale, intérêt vital, mission d'intérêt public, intérêt légitime), qui justifie un traitement de données personnelles.

Le NIST Cybersecurity Framework est un référentiel américain largement adopté qui structure la gestion de la cybersécurité autour de cinq fonctions : identifier, protéger, détecter, répondre et récupérer.

Le CMMI est un modèle de maturité qui décrit cinq niveaux de progression (initial, défini, géré, quantitativement géré, en optimisation) pour évaluer la maîtrise des processus d'une organisation, historiquement dans le développement logiciel puis étendu à d'autres domaines.

Le SOC est l'équipe (interne ou externalisée) et les outils dédiés à la surveillance continue, la détection et la première réponse aux incidents de sécurité, 24h/24 ou en heures ouvrées selon la maturité de l'organisation.

Les CIS Controls sont une liste priorisée de mesures de sécurité concrètes, publiée par le Center for Internet Security, conçue pour être mise en œuvre progressivement en commençant par les contrôles à plus fort impact.

COBIT (Control Objectives for Information and Related Technologies) est un référentiel de gouvernance IT qui relie les objectifs métier aux objectifs informatiques et propose des pratiques de pilotage et de contrôle pour chaque domaine.

Une CVE est un identifiant public unique attribué à une vulnérabilité logicielle connue, permettant à tous les acteurs de la sécurité de désigner sans ambiguïté la même faille.

Le CVSS est une échelle standardisée de 0 à 10 qui note la gravité d'une vulnérabilité selon des critères objectifs (facilité d'exploitation, impact sur la confidentialité, l'intégrité et la disponibilité).

Au sens du RGPD, le consentement est une manifestation libre, spécifique, éclairée et univoque par laquelle une personne accepte un traitement de ses données, et qui doit pouvoir être retirée aussi facilement qu'elle a été donnée.

Une Data Room est un espace sécurisé, souvent numérique, où sont centralisés les documents nécessaires à une due diligence, une levée de fonds ou un audit, avec un contrôle fin des accès et de la traçabilité des consultations.

Le DPO est la personne chargée de veiller au respect du RGPD au sein de l'organisation : il conseille, contrôle, forme les équipes et constitue le point de contact avec l'autorité de protection des données.

Le Design Thinking est une méthode de résolution de problèmes centrée sur l'utilisateur, structurée en étapes d'empathie, de définition du problème, d'idéation, de prototypage et de test.

La dette technique désigne le coût futur généré par des choix techniques rapides ou imparfaits pris pour aller plus vite à court terme, qui devront tôt ou tard être corrigés.

DevOps désigne un ensemble de pratiques culturelles et techniques qui rapprochent les équipes de développement et d'exploitation pour livrer des logiciels plus rapidement et plus fiablement.

La due diligence technologique est l'examen approfondi du système d'information, de l'architecture logicielle, de la sécurité et des équipes techniques d'une entreprise, réalisé avant une levée de fonds, une acquisition ou un investissement.

Un EDR est un agent logiciel installé sur les postes et serveurs qui surveille en continu les comportements suspects, alerte et permet d'isoler automatiquement une machine compromise.

ESG désigne les trois familles de critères extra-financiers utilisés pour évaluer la responsabilité et la durabilité d'une organisation : son impact environnemental, ses pratiques sociales et la qualité de sa gouvernance.

Une roadmap présente, dans le temps, les grandes priorités et jalons d'une stratégie IT, produit ou sécurité, pour aligner les parties prenantes sur ce qui sera fait et dans quel ordre.

Le RAG combine un moteur de recherche documentaire et un LLM : avant de répondre, le système va chercher les passages les plus pertinents dans une base de connaissances propre à l'entreprise, puis les injecte dans le contexte du modèle.

L'IAM regroupe les processus et outils qui gèrent le cycle de vie complet des identités numériques : création de compte, attribution de droits, revue périodique des accès et révocation à la sortie.

GitOps est une pratique qui utilise un dépôt Git comme unique source de vérité pour l'état souhaité de l'infrastructure et des déploiements, tout changement passant par une validation (pull request) avant application automatique.

Un LLM est un modèle d'intelligence artificielle entraîné sur d'immenses volumes de texte, capable de comprendre et de générer du langage naturel pour répondre à des questions, résumer ou rédiger du contenu.

Un KPI est une mesure quantifiable utilisée pour évaluer si un objectif stratégique ou opérationnel est atteint, suivie régulièrement pour orienter les décisions.

Les métriques DORA (issues du programme DevOps Research and Assessment) mesurent la performance d'une équipe logicielle sur quatre indicateurs : fréquence de déploiement, délai de mise en œuvre, taux d'échec des changements et délai de restauration.

Le prompt engineering consiste à formuler et structurer les instructions données à un modèle d'IA générative pour obtenir des réponses plus pertinentes, fiables et exploitables.

La CI/CD désigne l'automatisation des étapes de build, de test et de déploiement du code, permettant de livrer des changements en production fréquemment et de façon fiable.

L'IA générative désigne les systèmes capables de produire du contenu original (texte, image, code, audio) plutôt que de simplement classer ou prédire des données existantes.

Une API est un ensemble de règles qui permet à deux logiciels de communiquer entre eux, en exposant des fonctionnalités ou des données sans que l'un ait besoin de connaître le fonctionnement interne de l'autre.

ITIL (Information Technology Infrastructure Library) est un ensemble de bonnes pratiques pour la gestion des services informatiques : gestion des incidents, des changements, des problèmes et des demandes.

Le cadre Jobs To Be Done part du principe que les utilisateurs "embauchent" un produit pour accomplir une tâche précise dans un contexte donné, et invite à concevoir le produit autour de ce besoin fonctionnel plutôt que d'un profil d'utilisateur.

La matrice RACI clarifie, pour chaque tâche ou décision d'un projet, qui est Responsable de la réaliser (R), qui est Accountable du résultat (A), qui doit être Consulté (C) et qui doit être Informé (I).

Les méthodes agiles (Scrum, Kanban notamment) organisent le travail en cycles courts et itératifs, avec des livraisons fréquentes et des ajustements continus en fonction des retours obtenus.

Le MCP est un protocole ouvert qui standardise la façon dont un modèle d'IA se connecte à des outils, bases de données et services externes, plutôt que de développer une intégration propriétaire pour chaque source.

La North Star Metric est l'indicateur unique qui capture le mieux la valeur qu'un produit apporte à ses utilisateurs, utilisé comme boussole commune pour prioriser les décisions produit.

Les OKR sont une méthode de fixation d'objectifs qui associe un objectif qualitatif ambitieux à trois ou quatre résultats clés mesurables permettant de juger s'il est atteint.

La PSSI est le document de référence qui formalise les règles, principes et responsabilités en matière de sécurité de l'information au sein d'une organisation. Elle sert de socle à toutes les mesures techniques et organisationnelles mises en œuvre ensuite.

Un POC est une démonstration limitée, réalisée rapidement et à faible coût, destinée à vérifier qu'une idée ou une technologie est techniquement réalisable avant d'investir davantage.

Le Product Discovery regroupe les activités de recherche menées avant de construire une fonctionnalité, pour vérifier qu'elle est désirable pour les utilisateurs, viable pour l'entreprise et réalisable techniquement.

Un MVP est la version la plus simple d'un produit qui permet de tester une hypothèse auprès de vrais utilisateurs avec un minimum d'investissement, avant de décider s'il faut aller plus loin.

Le registre des traitements liste, pour chaque activité impliquant des données personnelles, la finalité, les données concernées, les destinataires, la durée de conservation et les mesures de sécurité associées.

L'AI Act est le règlement européen qui classe les systèmes d'IA par niveau de risque (inacceptable, élevé, limité, minimal) et impose des obligations proportionnées, notamment de transparence et de gestion des risques, pour les usages les plus sensibles.

Le RSSI pilote la stratégie de cybersécurité de l'organisation : il définit la PSSI, coordonne la gestion des risques et des incidents, et rend compte à la direction de l'exposition de l'entreprise.

Un SIEM centralise et corrèle les journaux d'événements de l'ensemble du système d'information pour détecter des schémas d'attaque invisibles source par source.

Le modèle Zero Trust part du principe qu'aucun utilisateur ni appareil n'est fiable par défaut, même à l'intérieur du réseau de l'entreprise : chaque accès est vérifié, authentifié et limité au strict nécessaire.