CoreSec 🛡️

La passerelle de cyber-résilience et de conformité continue (ISO 27001, NIS 2, CRA)
Réconcilier les exigences strictes des multinationales avec la réalité opérationnelle des PME et startups sous-traitantes.

---

🎯 Vision & Thèse Fondamentale

Entre 2024 et 2027, le séisme réglementaire européen (NIS 2 - Article 21, Cyber Resilience Act - CRA, DORA) contraint légalement les grandes entreprises à auditer et sécuriser rigoureusement l'ensemble de leur chaîne de sous-traitance logicielle.

• Le Problème : Les multinationales exigent la norme ISO/IEC 27001:2022 ou submergent leurs fournisseurs de questionnaires bureaucratiques de 300 questions (via des plateformes GRC complexes et hors de prix comme ServiceNow, OneTrust ou Qualys). Les PME et startups n'ont ni le budget ni les RSSI dédiés pour y faire face : l'effort à venir est monumental.
• La Solution CoreSec : Remplacer la bureaucratie déclarative invérifiable par de la preuve technique automatisée (« Evidence-as-Code »), stockée dans un registre déterministe d'autorité (Modaka-Hub), pour produire en 1 clic un Passeport Sécurité Fournisseur opposable aux auditeurs et donneurs d'ordre.

---

🏛️ Les 3 Piliers de CoreSec

1. ISO/IEC 27001:2022 & Synergie Réglementaire (NIS 2 / CRA / DORA)

• Couverture native des 93 mesures opérationnelles de l'Annexe A (Organisationnel, Humain, Physique, Technologique).
• L'adoption du socle ISO 27001 couvre plus de 80 % des exigences de l'Article 21 de NIS 2 et prépare la conformité CRA.

2. Modaka-Hub : Le Coffre-fort d'Autorité Déterministe (Indépendant des LLMs)

• Ingestion multiformat de l'existant : chartes, contrats sous-traitants, schémas d'architecture réseau, factures cloud, PV de contrôle, polices d'assurance.
• Single Source of Authority (SOA) : journal de bord inaltérable et horodaté de tous les actifs cyber (hardware, code, conteneurs, SaaS) et de toutes les actions de sécurité (revues d'accès, tests de backup, rotations de clés).
• Déterminisme absolu : aucune dépendance à des LLMs probabilistes pour l'intégrité et la traçabilité des preuves. Les LLMs (via @quatrain/ai) ne servent que d'assistants de rédaction périphérique.

3. Modèle Hybride : Open Core & Corporate Enterprise

• Offre Community (Open Source) : 100 % gratuite, locale (local-first) et souveraine pour les PME/startups (CLI, scanners d'hygiène de surface, autodiagnostic ISO 27001/NIS 2, génération du Passeport Sécurité).
• Offre Corporate (Enterprise) : Console multi-fournisseurs (TPRM) pour les multinationales et cabinets d'audit, ingestion et vérification cryptographique des passeports, connecteurs GRC (ServiceNow, Jira, SIEM) et hébergement SecNumCloud qualifié.

---

📂 Architecture du Monorepo

CoreSec/
├── docs/
│   ├── CORESEC_STRATEGIC_SPECIFICATION.fr.md  # Livre blanc stratégique & spécification complète
│   ├── coresec_export.html                    # Gabarit HTML pour export PDF haute fidélité
│   └── generate_coresec_pdf.mjs               # Script de compilation PDF via Chrome Headless
├── packages/
│   ├── model/           # @coresec/model : Entités DDD (ISO 27001, NIS 2, Actifs, Vulns)
│   ├── scanners/        # @coresec/scanners : EASM (DNS/TLS), SBOM (CycloneDX), Secrets, Infra
│   ├── compliance/      # @coresec/compliance : Moteur d'évaluation des 93 contrôles ISO 27001
│   ├── writer/          # @coresec/writer : Génération de PSSI, PCA/PRA, VEX et livrables PDF
│   ├── passport/        # @coresec/passport : Format d'échange B2B signé cryptographiquement (Cosign)
│   └── cli/             # @coresec/cli : Outil en ligne de commande autonome
└── apps/
    ├── studio/          # CoreSec Studio (Web App locale pour PME basée sur CoreUX)
    └── corporate/       # Console Corporate TPRM (Supervision multi-fournisseurs grands comptes)

---

📖 Documentation Stratégique

Consultez le dossier complet destiné aux partenaires et auditeurs :
👉 Livre Blanc Stratégique CoreSec

---

📄 Licence

Ce projet est sous licence AGPL-3.0-only pour son cœur open-source.
© Quatrain Technologies — Tous droits réservés.