Page traduite et vérifiée automatiquement. La version anglaise fait foi. Certaines parties restent en anglais le temps que leur traduction soit vérifiée. Voir en anglais · Signaler une erreur de traduction
Digital Trust Common Framework · Édition 2026.1
Un langage de contrôle unique pour tous les référentiels auxquels vous devez répondre.
SOC 2, ISO 27001, NIST, PCI, HIPAA, le GDPR et les règles sur l’IA demandent tous bon nombre des mêmes choses avec des mots différents. Le DTCF formule chaque exigence une seule fois, sous forme d’objectif, et montre exactement où chaque référentiel l’exige, où il ne l’exige qu’en partie, et où il n’en dit rien.
Utilisation libre sous licence CC BY 4.0, avec attribution.
Comment lire le DTCF
Un objectif, 8 réponses.
Chaque objectif du DTCF fonctionne de la même manière. En voici un parmi les 39, exactement tel que le référentiel le consigne.
Authentification forte
L’authentification est proportionnée au risque, avec une authentification multifacteur pour les accès d’administration et à distance.
Configuration de l’authentification, rapport de couverture MFA, exceptions.
Le vol d’identifiants reste le point d’entrée le plus courant.
- SOC 2ComplèteCC6.1
- ISO 27001ComplèteA.8.5
- NIST CSFComplètePR.AA-03
- PCI DSSComplète8.4
- HIPAAPartielle164.312(d) Authentification des personnes ou des entités sans préciser les facteurs.
- GDPRPartielleArt. 32 Au moyen de mesures appropriées.
- Règlement européen sur l’IAAbsente Non traité.
- NIST AI RMFAbsente Non traité au niveau des contrôles.
Lisez-le ainsi : construisez le contrôle une seule fois au regard de l’objectif, conservez les preuves une seule fois, et citez la clause que chaque auditeur demande. Lorsqu’un référentiel est partiel, la note indique ce qu’il omet. Lorsqu’il est absent, c’est un constat sur le référentiel, pas une lacune de votre programme.
La carte de couverture
Les 39 objectifs au regard des 8 référentiels.
Chaque carré représente une correspondance graduée. Survolez-le pour voir la clause, ou la raison de son absence. Sélectionnez un objectif pour l’ouvrir.
Ce que montre la carte
Trois choses que la plupart des programmes apprennent à leurs dépens.
SOC 2 et ISO 27001 se recoupent presque entièrement
Les deux couvrent entièrement les mêmes 30 objectifs. Une équipe disposant d’un rapport SOC 2 sans réserve applique déjà la plupart des contrôles exigés par l’annexe A de l’ISO 27001. L’ISO exige en outre ses clauses relatives au système de management, que le DTCF ne couvre pas ; c’est là que se situe l’essentiel du travail restant.
Votre certification de sécurité ne dit rien de votre IA
SOC 2, l’annexe A de ISO 27001, PCI DSS et HIPAA ne couvrent aucun des 3 objectifs relatifs à l’IA. Le NIST CSF en touche 2, seulement en partie, au travers de pratiques générales de gestion des actifs et des risques. Le règlement européen sur l’IA et le NIST IA RMF les couvrent tous entièrement.
Un socle commun exigé par tous les référentiels
16 objectifs sont couverts, entièrement ou en partie, par les 8 référentiels, dans les domaines de la gouvernance et de la responsabilité, des risques et des décisions, des obligations et de la conformité, des données et de la vie privée, des opérations sécurisées, entre autres. Commencez par bien les maîtriser.
Déjà certifié ?
Voyez jusqu’où un référentiel vous mène vers un autre.
Chaque nombre indique combien d’objectifs du DTCF les deux référentiels couvrent entièrement. Lisez en ligne à partir de ce que vous avez, puis en colonne vers ce que l’on vous demandera ensuite. La diagonale correspond au total propre à chaque référentiel.
Exemple : de PCI DSS (27 objectifs) à SOC 2, 25 sont déjà communs. Du GDPR au règlement européen sur l’IA, seulement 3.
| SOC 2 | ISO 27001 | NIST CSF | PCI DSS | HIPAA | GDPR | Règlement européen sur l’IA | NIST AI RMF | |
|---|---|---|---|---|---|---|---|---|
| SOC 2 | 31 | 30 | 29 | 25 | 20 | 8 | 6 | 18 |
| ISO 27001 | 30 | 30 | 29 | 25 | 19 | 8 | 6 | 17 |
| NIST CSF | 29 | 29 | 31 | 24 | 19 | 8 | 6 | 17 |
| PCI DSS | 25 | 25 | 24 | 27 | 16 | 8 | 5 | 14 |
| HIPAA | 20 | 19 | 19 | 16 | 22 | 8 | 6 | 12 |
| GDPR | 8 | 8 | 8 | 8 | 8 | 11 | 3 | 5 |
| Règlement européen sur l’IA | 6 | 6 | 6 | 5 | 6 | 3 | 10 | 8 |
| NIST AI RMF | 18 | 17 | 17 | 14 | 12 | 5 | 8 | 22 |
Les 8 référentiels
Ce que chacun couvre, et ce qu’il vous laisse.
31 complètes · 5 partielles · 3 absentes
Complet surGouvernance et responsabilité, Obligations et conformité, Identités et accès
Muet surIA et décisions automatisées
30 complètes · 6 partielles · 3 absentes
Complet surObligations et conformité, Identités et accès, Opérations sécurisées
Muet surIA et décisions automatisées
31 complètes · 6 partielles · 2 absentes
Complet surObligations et conformité, Identités et accès, Opérations sécurisées
27 complètes · 7 partielles · 5 absentes
Complet surDonnées et vie privée, Identités et accès, Opérations sécurisées
Muet surIA et décisions automatisées
22 complètes · 10 partielles · 7 absentes
Complet surGouvernance et responsabilité, Résilience et réponse
Muet surIA et décisions automatisées
11 complètes · 19 partielles · 9 absentes
Complet surDonnées et vie privée, Tiers et chaîne d’approvisionnement
10 complètes · 16 partielles · 13 absentes
Complet surIA et décisions automatisées
Muet surIdentités et accès
22 complètes · 10 partielles · 7 absentes
Complet surGouvernance et responsabilité, Obligations et conformité, IA et décisions automatisées
Les 10 familles
Tout ce qu’un programme de confiance doit atteindre, en 10 parties.
Quelqu’un est responsable, les décisions sont consignées et le programme est piloté plutôt qu’improvisé.
GOV-01Responsable désigné de la confiance numériqueGOV-02Ensemble de politiques approuvéGOV-03Rôles et responsabilités définisGOV-04Code de conduite et déclaration d’adhésion à l’éthique
L’incertitude est identifiée, appréciée et traitée, et les acceptations expirent.
RSK-01Évaluation des risques réalisée et renouveléeRSK-02Registre des risques avec responsables et traitementRSK-03Les acceptations expirentRSK-04Appétit pour le risque et indicateurs
Les obligations applicables sont connues, ont des responsables et sont respectées de manière démontrable.
OBL-01Inventaire des obligationsOBL-02Périmètre défini et documentéOBL-03Formation et sensibilisation
Les données sont connues, classifiées, minimisées, partagées délibérément et éliminées entièrement.
DAT-01Inventaire et classification des donnéesDAT-02Traitement licite et minimiséDAT-03Partage délibéré des donnéesDAT-04Élimination complète
Les accès sont accordés délibérément, revus et retirés.
ACC-01Arrivées, mobilités, départsACC-02Accès revus selon une cadence définieACC-03Authentification forteACC-04Accès à privilèges contrôlés
Les changements, la configuration, la journalisation, les vulnérabilités et les terminaux sont gérés.
OPS-01Gestion des changementsOPS-02Gestion des vulnérabilitésOPS-03Journalisation et surveillanceOPS-04Protection des terminaux et des appareilsOPS-05Développement sécurisé
Les tiers sont évalués, encadrés par contrat, surveillés et font l’objet d’une sortie maîtrisée.
TPR-01Inventaire des tiersTPR-02Diligence raisonnable proportionnée au risqueTPR-03Clauses contractuelles et fin de relation
Les incidents sont détectés et traités ; l’organisation peut poursuivre ses activités et se rétablir.
RES-01Plan de réponse aux incidents et rôlesRES-02Notification des violations dans le délai légalRES-03Des sauvegardes qui se restaurentRES-04Objectifs de continuité et de reprise
Les systèmes d’IA sont inventoriés, évalués, gouvernés et surveillés.
AIG-01Inventaire des systèmes d’IAAIG-02Risques liés à l’IA évalués avant le déploiementAIG-03Supervision humaine et transparence
Les contrôles ont des responsables, sont testés, documentés par des preuves et rapportés honnêtement.
ASR-01Les contrôles ont des responsablesASR-02Les populations sont complètesASR-03Les preuves sont datées, attribuables et conservéesASR-04Tests et rapports indépendantsASR-05Les constats sont clôturés avec des preuves
L’utiliser
Gratuit, ouvert et à vous de le développer.
Téléchargez le référentiel complet, avec chaque correspondance, chaque clause et chaque absence consignée, sous licence CC BY 4.0. Utilisez-le pour cadrer un audit, planifier une deuxième certification ou expliquer à un conseil d’administration pourquoi un seul contrôle satisfait cinq exigences.
- Cadrer un auditVoyez quels objectifs un référentiel teste réellement avant l’arrivée de l’auditeur.
- Planifier la prochaine certificationPartez de ce que vous avez en commun et ne construisez que la différence.
- Mettre en correspondance vos propres contrôlesAssociez une fois chaque contrôle à un objectif et produisez des rapports au regard de n’importe quel référentiel.
- Apprendre le travailChaque famille renvoie aux cours de l’Académie qui l’enseignent.
Gouvernance du DTCF
Première édition. Les objectifs sont des énoncés normalisés de ce qu’une organisation doit atteindre. Les correspondances sont graduées : complète, partielle, ou absence consignée avec sa justification. Une cellule vide est un constat sur le référentiel, pas sur l’objectif.
- auteurAssociation of Digital Trust Practitioners Rédige et tient à jour le DTCF. Le référentiel est publié gratuitement sous licence CC BY 4.0 et n’est lié à aucun produit.
- contributeur parrainUn contributeur parrain Un contributeur parrain de l’édition 2026.1 a apporté des travaux de recherche et de revue sur les correspondances. Les parrains ne possèdent ni ne contrôlent le DTCF ; comme tout fournisseur, ils peuvent déclarer s’y conformer.
DTCF 2026.1, published September 10, 2026. Framework names and references are the property of their publishers. DTCF is an independent mapping and is not endorsed by them. Corrections are welcome through the contact form and are published in the edition changelog.