(function() {
  'use strict';

  window._csiFrameworks = window._csiFrameworks || {};
  window._csiFrameworks['open-security-controls'] = {
    meta: {
      id: 'open-security-controls',
      name: 'Open Security Controls',
      nameFr: 'Contrôles Ouverts de Sécurité',
      shortName: 'OSC',
      version: '1.0',
      organization: 'Open Security Framework Project',
      description: 'A comprehensive set of 93 security controls for protecting organizational information assets',
      descriptionFr: 'Un ensemble complet de 93 contrôles de sécurité pour la protection des actifs informationnels',
      basedOn: 'Inspired by industry best practices for information security management',
      license: 'open',
      disclaimer: 'This framework provides security control guidance based on widely accepted industry practices. It is not affiliated with or endorsed by any standards organization. Organizations should assess applicability to their specific context.',
      disclaimerFr: 'Ce référentiel fournit des recommandations de contrôles de sécurité fondées sur les bonnes pratiques largement reconnues. Il n\'est affilié à aucun organisme de normalisation. Les organisations doivent évaluer l\'applicabilité à leur contexte spécifique.',
      controlCount: 93,
      icon: 'fa-shield-halved',
      color: '#2563eb',
      categories: [
        { id: 'org', label: 'Organisationnel', labelEn: 'Organisational', prefix: '5' },
        { id: 'hum', label: 'Humain', labelEn: 'People', prefix: '6' },
        { id: 'phy', label: 'Physique', labelEn: 'Physical', prefix: '7' },
        { id: 'tech', label: 'Technologique', labelEn: 'Technological', prefix: '8' }
      ],
      statusField: 'status',
      maturityField: 'cmm',
      mandatory: true,
      aliasOf: 'iso27002',
      nav: {
        categories: [],
        tabs: []
      }
    },
    controls: [
      // ===== 5.x - Organisationnel (37 controls) =====
      {
        ref: '5.1',
        isoMapping: '5.1',
        title: 'Cadre directeur de la sécurité de l\'information',
        titleEn: 'Information security governance framework',
        description: 'L\'organisation doit établir un corpus documentaire de sécurité comprenant une politique générale et des directives thématiques. Ce corpus doit être validé au plus haut niveau hiérarchique, diffusé à l\'ensemble des collaborateurs et parties prenantes, et révisé selon un calendrier prédéfini ou lors de toute évolution majeure de l\'environnement.',
        descriptionEn: 'The organization shall establish a body of security documentation including an overarching policy and topic-specific directives. This documentation set shall be endorsed by senior leadership, disseminated to all staff and stakeholders, and reviewed on a scheduled basis or whenever the operating environment changes significantly.',
        category: 'org',
        tags: ['gouvernance']
      },
      {
        ref: '5.2',
        isoMapping: '5.2',
        title: 'Attribution des rôles de protection de l\'information',
        titleEn: 'Assignment of information protection roles',
        description: 'Des rôles et périmètres de responsabilité dédiés à la protection de l\'information doivent être formellement définis et assignés, en cohérence avec la structure organisationnelle et les enjeux métier.',
        descriptionEn: 'Dedicated roles and areas of responsibility for information protection shall be formally defined and assigned, consistent with the organizational structure and business objectives.',
        category: 'org',
        tags: ['gouvernance']
      },
      {
        ref: '5.3',
        isoMapping: '5.3',
        title: 'Cloisonnement des fonctions',
        titleEn: 'Separation of functions',
        description: 'Les fonctions et périmètres de responsabilité susceptibles de créer des conflits d\'intérêts doivent être cloisonnés pour prévenir les abus de pouvoir et les erreurs non détectées.',
        descriptionEn: 'Functions and responsibility areas that could create conflicts of interest shall be separated to prevent abuse of authority and undetected errors.',
        category: 'org',
        tags: ['gouvernance']
      },
      {
        ref: '5.4',
        isoMapping: '5.4',
        title: 'Engagement de la hiérarchie',
        titleEn: 'Leadership commitment',
        description: 'La direction doit veiller à ce que chaque membre du personnel applique les mesures de protection de l\'information conformément au cadre directeur, aux directives thématiques et aux procédures opérationnelles en vigueur.',
        descriptionEn: 'Leadership shall ensure that every staff member applies information protection measures in accordance with the governance framework, topic-specific directives, and operational procedures in force.',
        category: 'org',
        tags: ['gouvernance']
      },
      {
        ref: '5.5',
        isoMapping: '5.5',
        title: 'Relations avec les autorités compétentes',
        titleEn: 'Engagement with competent authorities',
        description: 'Des canaux de communication permanents doivent être établis avec les autorités pertinentes (régulateurs, forces de l\'ordre, organismes sectoriels) afin de permettre une réaction rapide et coordonnée face aux incidents de sécurité.',
        descriptionEn: 'Standing communication channels shall be established with relevant authorities (regulators, law enforcement, sector bodies) to enable a swift and coordinated response to security incidents.',
        category: 'org',
        tags: ['gouvernance']
      },
      {
        ref: '5.6',
        isoMapping: '5.6',
        title: 'Participation aux communautés de sécurité',
        titleEn: 'Participation in security communities',
        description: 'L\'organisation doit entretenir des liens actifs avec des communautés professionnelles, forums techniques et groupes de veille spécialisés en cybersécurité, afin de se tenir informée des menaces émergentes et des meilleures pratiques.',
        descriptionEn: 'The organization shall maintain active ties with professional communities, technical forums, and specialized cybersecurity watch groups to stay informed about emerging threats and best practices.',
        category: 'org',
        tags: ['gouvernance']
      },
      {
        ref: '5.7',
        isoMapping: '5.7',
        title: 'Veille et analyse des cybermenaces',
        titleEn: 'Cyber threat monitoring and analysis',
        description: 'Un processus structuré de collecte, corrélation et analyse des données relatives aux cybermenaces doit être mis en place afin de produire des renseignements exploitables et d\'anticiper les attaques potentielles.',
        descriptionEn: 'A structured process for collecting, correlating, and analyzing cyber threat data shall be established to produce actionable intelligence and anticipate potential attacks.',
        category: 'org',
        tags: ['gouvernance', 'gestion_des_menaces_et_des_vulnerabilites']
      },
      {
        ref: '5.8',
        isoMapping: '5.8',
        title: 'Intégration de la sécurité dans les projets',
        titleEn: 'Security integration in projects',
        description: 'Chaque projet — qu\'il soit technique, organisationnel ou métier — doit intégrer les enjeux de sécurité de l\'information dès sa phase de cadrage et tout au long de son cycle de vie, au travers d\'analyses de risques et de jalons de validation dédiés.',
        descriptionEn: 'Every project — whether technical, organizational, or business-driven — shall incorporate information security concerns from the scoping phase through to completion, using risk assessments and dedicated validation milestones.',
        category: 'org',
        tags: ['gouvernance']
      },
      {
        ref: '5.9',
        isoMapping: '5.9',
        title: 'Cartographie des actifs informationnels',
        titleEn: 'Information asset mapping',
        description: 'Un registre structuré des actifs informationnels et des ressources associées doit être tenu à jour, avec une granularité adaptée, afin de disposer d\'une vision claire et actualisée du patrimoine à protéger.',
        descriptionEn: 'A structured register of information assets and associated resources shall be maintained at an appropriate level of granularity, providing a clear and up-to-date view of the estate requiring protection.',
        category: 'org',
        tags: ['gestion_des_actifs']
      },
      {
        ref: '5.10',
        isoMapping: '5.10',
        title: 'Règles d\'usage des actifs informationnels',
        titleEn: 'Rules for use of information assets',
        description: 'Des règles d\'utilisation acceptable des actifs informationnels doivent être documentées, communiquées aux utilisateurs et régulièrement actualisées pour refléter l\'évolution des usages et des risques.',
        descriptionEn: 'Acceptable use rules for information assets shall be documented, communicated to users, and regularly updated to reflect evolving usage patterns and risks.',
        category: 'org',
        tags: ['gestion_des_actifs']
      },
      {
        ref: '5.11',
        isoMapping: '5.11',
        title: 'Récupération des actifs en fin de mission',
        titleEn: 'Asset recovery upon departure',
        description: 'Un processus formalisé doit garantir la restitution de tous les actifs de l\'organisation détenus par le personnel lors de la fin de contrat, d\'un changement de poste ou de la cessation d\'une collaboration.',
        descriptionEn: 'A formal process shall ensure the return of all organizational assets held by personnel upon contract termination, role change, or end of collaboration.',
        category: 'org',
        tags: ['gestion_des_actifs']
      },
      {
        ref: '5.12',
        isoMapping: '5.12',
        title: 'Catégorisation des informations',
        titleEn: 'Information categorization',
        description: 'Les informations doivent être catégorisées selon leur valeur, leur sensibilité et leur criticité métier, en tenant compte des exigences de confidentialité, d\'intégrité et de disponibilité.',
        descriptionEn: 'Information shall be categorized according to its value, sensitivity, and business criticality, considering confidentiality, integrity, and availability requirements.',
        category: 'org',
        tags: ['gestion_des_actifs']
      },
      {
        ref: '5.13',
        isoMapping: '5.13',
        title: 'Identification visuelle du niveau de sensibilité',
        titleEn: 'Sensitivity level visual identification',
        description: 'Un système d\'étiquetage cohérent doit être appliqué aux supports d\'information afin que leur niveau de sensibilité soit immédiatement identifiable par tout utilisateur habilité.',
        descriptionEn: 'A consistent labelling system shall be applied to information carriers so that their sensitivity level is immediately identifiable by any authorized user.',
        category: 'org',
        tags: ['gestion_des_actifs']
      },
      {
        ref: '5.14',
        isoMapping: '5.14',
        title: 'Sécurisation des échanges d\'information',
        titleEn: 'Securing information exchanges',
        description: 'Les échanges d\'information — internes et externes — doivent être encadrés par des règles, procédures et moyens techniques assurant la protection contre l\'interception, l\'altération ou la perte de données pendant le transit.',
        descriptionEn: 'Information exchanges — internal and external — shall be governed by rules, procedures, and technical means that protect against interception, alteration, or data loss during transit.',
        category: 'org',
        tags: ['protection_des_informations']
      },
      {
        ref: '5.15',
        isoMapping: '5.15',
        title: 'Maîtrise des accès aux ressources',
        titleEn: 'Resource access governance',
        description: 'L\'accès aux ressources informationnelles doit être régi par des règles formelles garantissant que seules les entités dûment autorisées (personnes, processus, dispositifs) puissent interagir avec les actifs protégés.',
        descriptionEn: 'Access to information resources shall be governed by formal rules ensuring that only duly authorized entities (people, processes, devices) can interact with protected assets.',
        category: 'org',
        tags: ['gestion_des_identites_et_des_acces']
      },
      {
        ref: '5.16',
        isoMapping: '5.16',
        title: 'Cycle de vie des identités numériques',
        titleEn: 'Digital identity lifecycle',
        description: 'L\'ensemble du cycle de vie des identités numériques — de la création à la révocation — doit être piloté par un processus formalisé garantissant la traçabilité et la cohérence des droits associés.',
        descriptionEn: 'The entire digital identity lifecycle — from creation to revocation — shall be governed by a formal process ensuring traceability and consistency of associated rights.',
        category: 'org',
        tags: ['gestion_des_identites_et_des_acces']
      },
      {
        ref: '5.17',
        isoMapping: '5.17',
        title: 'Protection des moyens d\'authentification',
        titleEn: 'Authentication credential protection',
        description: 'Les moyens d\'authentification (mots de passe, jetons, certificats, clés) doivent être protégés tout au long de leur cycle de vie par des mesures techniques et organisationnelles empêchant leur compromission.',
        descriptionEn: 'Authentication credentials (passwords, tokens, certificates, keys) shall be protected throughout their lifecycle by technical and organizational measures preventing their compromise.',
        category: 'org',
        tags: ['gestion_des_identites_et_des_acces']
      },
      {
        ref: '5.18',
        isoMapping: '5.18',
        title: 'Gestion des habilitations',
        titleEn: 'Entitlement management',
        description: 'L\'octroi, la modification et la suppression des habilitations d\'accès doivent suivre un processus formalisé intégrant le principe du moindre privilège et une revue périodique des droits attribués.',
        descriptionEn: 'The granting, modification, and removal of access entitlements shall follow a formal process that integrates the principle of least privilege and periodic review of assigned rights.',
        category: 'org',
        tags: ['gestion_des_identites_et_des_acces']
      },
      {
        ref: '5.19',
        isoMapping: '5.19',
        title: 'Exigences de sécurité envers les prestataires',
        titleEn: 'Security requirements for service providers',
        description: 'Des exigences de sécurité de l\'information doivent être définies et imposées à tout prestataire, sous-traitant ou partenaire ayant accès aux actifs de l\'organisation ou intervenant dans leur traitement.',
        descriptionEn: 'Information security requirements shall be defined and imposed on any service provider, subcontractor, or partner that accesses organizational assets or participates in their processing.',
        category: 'org',
        tags: ['securite_des_relations_fournisseurs']
      },
      {
        ref: '5.20',
        isoMapping: '5.20',
        title: 'Clauses de sécurité dans les contrats tiers',
        titleEn: 'Security clauses in third-party contracts',
        description: 'Les contrats conclus avec des tiers doivent contenir des clauses de sécurité explicites formalisant les obligations réciproques en matière de protection des informations partagées ou accessibles.',
        descriptionEn: 'Contracts with third parties shall contain explicit security clauses formalizing mutual obligations regarding the protection of shared or accessible information.',
        category: 'org',
        tags: ['securite_des_relations_fournisseurs']
      },
      {
        ref: '5.21',
        isoMapping: '5.21',
        title: 'Sécurité de la chaîne d\'approvisionnement numérique',
        titleEn: 'Digital supply chain security',
        description: 'Des mesures de sécurité spécifiques doivent être appliquées à l\'ensemble de la chaîne d\'approvisionnement numérique (matériel, logiciel, services cloud) pour prévenir les risques d\'altération, de compromission ou de dépendance critique.',
        descriptionEn: 'Specific security measures shall be applied across the digital supply chain (hardware, software, cloud services) to prevent risks of tampering, compromise, or critical dependency.',
        category: 'org',
        tags: ['securite_des_relations_fournisseurs']
      },
      {
        ref: '5.22',
        isoMapping: '5.22',
        title: 'Suivi et revue des prestations externalisées',
        titleEn: 'Monitoring and review of outsourced services',
        description: 'Les prestations externalisées doivent faire l\'objet d\'un suivi continu, de revues régulières et d\'une gestion formelle des changements pour garantir le maintien du niveau de sécurité convenu.',
        descriptionEn: 'Outsourced services shall be subject to continuous monitoring, regular reviews, and formal change management to ensure the agreed security level is maintained.',
        category: 'org',
        tags: ['securite_des_relations_fournisseurs']
      },
      {
        ref: '5.23',
        isoMapping: '5.23',
        title: 'Sécurité des services en nuage',
        titleEn: 'Cloud service security',
        description: 'Le recours à des services en nuage doit être encadré par des processus couvrant la sélection, l\'intégration, l\'exploitation et la réversibilité, en conformité avec les exigences de sécurité de l\'organisation.',
        descriptionEn: 'The use of cloud services shall be governed by processes covering selection, onboarding, operation, and exit, in compliance with the organization\'s security requirements.',
        category: 'org',
        tags: ['securite_des_relations_fournisseurs']
      },
      {
        ref: '5.24',
        isoMapping: '5.24',
        title: 'Préparation à la gestion des incidents',
        titleEn: 'Incident management preparedness',
        description: 'L\'organisation doit anticiper la gestion des incidents de sécurité en définissant des processus de détection, d\'escalade, de traitement et de communication, soutenus par des rôles clairement identifiés et des plans d\'intervention testés.',
        descriptionEn: 'The organization shall anticipate security incident management by defining detection, escalation, handling, and communication processes, supported by clearly identified roles and tested response plans.',
        category: 'org',
        tags: ['reglementation_et_conformite']
      },
      {
        ref: '5.25',
        isoMapping: '5.25',
        title: 'Qualification et tri des événements de sécurité',
        titleEn: 'Security event triage and qualification',
        description: 'Un processus structuré doit permettre d\'évaluer les événements de sécurité signalés, de les qualifier selon leur gravité et leur impact potentiel, et de déclencher le niveau de réponse approprié.',
        descriptionEn: 'A structured process shall enable the evaluation of reported security events, their qualification by severity and potential impact, and the activation of the appropriate response level.',
        category: 'org',
        tags: ['gestion_des_evenements_de_securite_de_l_information']
      },
      {
        ref: '5.26',
        isoMapping: '5.26',
        title: 'Traitement des incidents de sécurité',
        titleEn: 'Security incident handling',
        description: 'Les incidents de sécurité confirmés doivent être traités selon des procédures prédéfinies visant à contenir la menace, limiter les dommages, préserver les preuves et informer les parties prenantes dans les délais requis.',
        descriptionEn: 'Confirmed security incidents shall be handled according to predefined procedures aimed at containing the threat, limiting damage, preserving evidence, and notifying stakeholders within required timelines.',
        category: 'org',
        tags: ['gestion_des_evenements_de_securite_de_l_information']
      },
      {
        ref: '5.27',
        isoMapping: '5.27',
        title: 'Capitalisation post-incident',
        titleEn: 'Post-incident learning',
        description: 'Chaque incident de sécurité doit faire l\'objet d\'un retour d\'expérience formalisé dont les enseignements alimentent l\'amélioration continue des contrôles et des processus de sécurité.',
        descriptionEn: 'Every security incident shall be subject to a formal lessons-learned review whose findings feed the continuous improvement of security controls and processes.',
        category: 'org',
        tags: ['gestion_des_evenements_de_securite_de_l_information']
      },
      {
        ref: '5.28',
        isoMapping: '5.28',
        title: 'Collecte et préservation des preuves numériques',
        titleEn: 'Digital evidence collection and preservation',
        description: 'Des procédures doivent encadrer l\'identification, la collecte, la conservation et la présentation des preuves numériques liées aux événements de sécurité, afin de garantir leur recevabilité juridique et leur intégrité.',
        descriptionEn: 'Procedures shall govern the identification, collection, preservation, and presentation of digital evidence related to security events, ensuring legal admissibility and integrity.',
        category: 'org',
        tags: ['gestion_des_evenements_de_securite_de_l_information']
      },
      {
        ref: '5.29',
        isoMapping: '5.29',
        title: 'Maintien de la sécurité en situation de crise',
        titleEn: 'Security continuity during crisis',
        description: 'Des dispositions spécifiques doivent garantir le maintien d\'un niveau de sécurité adéquat pendant les périodes de perturbation ou de crise affectant les activités de l\'organisation.',
        descriptionEn: 'Specific provisions shall ensure the maintenance of an adequate security level during periods of disruption or crisis affecting organizational activities.',
        category: 'org',
        tags: ['continuite']
      },
      {
        ref: '5.30',
        isoMapping: '5.30',
        title: 'Résilience numérique et continuité d\'activité',
        titleEn: 'Digital resilience and business continuity',
        description: 'La capacité de résilience des infrastructures numériques doit être planifiée, mise en œuvre, maintenue et régulièrement testée pour répondre aux objectifs de continuité d\'activité fixés par l\'organisation.',
        descriptionEn: 'The resilience capacity of digital infrastructure shall be planned, implemented, maintained, and regularly tested to meet the business continuity objectives set by the organization.',
        category: 'org',
        tags: ['continuite']
      },
      {
        ref: '5.31',
        isoMapping: '5.31',
        title: 'Conformité aux obligations légales et contractuelles',
        titleEn: 'Compliance with legal and contractual obligations',
        description: 'L\'organisation doit identifier, documenter et maintenir à jour l\'inventaire des obligations légales, réglementaires et contractuelles applicables à la sécurité de l\'information, et démontrer sa conformité.',
        descriptionEn: 'The organization shall identify, document, and keep current the inventory of legal, regulatory, and contractual obligations applicable to information security, and demonstrate compliance.',
        category: 'org',
        tags: ['reglementation_et_conformite']
      },
      {
        ref: '5.32',
        isoMapping: '5.32',
        title: 'Respect de la propriété intellectuelle',
        titleEn: 'Intellectual property compliance',
        description: 'Des mesures appropriées doivent être en place pour assurer le respect des droits de propriété intellectuelle et des conditions de licence lors de l\'utilisation de logiciels, contenus et informations protégés.',
        descriptionEn: 'Appropriate measures shall be in place to ensure compliance with intellectual property rights and licensing terms when using protected software, content, and information.',
        category: 'org',
        tags: ['reglementation_et_conformite']
      },
      {
        ref: '5.33',
        isoMapping: '5.33',
        title: 'Sauvegarde et intégrité des enregistrements',
        titleEn: 'Records safeguarding and integrity',
        description: 'Les enregistrements critiques (journaux, archives, documents officiels) doivent être protégés contre la perte, la destruction, la falsification et tout accès ou divulgation non autorisé pendant toute leur durée de rétention.',
        descriptionEn: 'Critical records (logs, archives, official documents) shall be protected against loss, destruction, falsification, and any unauthorized access or disclosure throughout their retention period.',
        category: 'org',
        tags: ['reglementation_et_conformite']
      },
      {
        ref: '5.34',
        isoMapping: '5.34',
        title: 'Protection des données personnelles',
        titleEn: 'Personal data protection',
        description: 'La protection des données à caractère personnel doit être assurée conformément aux législations et réglementations en vigueur, en intégrant les principes de minimisation, de finalité et de protection dès la conception.',
        descriptionEn: 'Personal data protection shall be ensured in compliance with applicable laws and regulations, integrating the principles of minimization, purpose limitation, and protection by design.',
        category: 'org',
        tags: ['reglementation_et_conformite']
      },
      {
        ref: '5.35',
        isoMapping: '5.35',
        title: 'Évaluation indépendante du dispositif de sécurité',
        titleEn: 'Independent security assessment',
        description: 'Le dispositif de sécurité de l\'information doit faire l\'objet d\'évaluations indépendantes à intervalles planifiés ou lors de changements significatifs, afin de vérifier son efficacité et sa conformité.',
        descriptionEn: 'The information security framework shall undergo independent assessments at planned intervals or upon significant changes, to verify its effectiveness and compliance.',
        category: 'org',
        tags: ['gouvernance', 'assurance_de_securite_de_l_information']
      },
      {
        ref: '5.36',
        isoMapping: '5.36',
        title: 'Vérification de la conformité interne',
        titleEn: 'Internal compliance verification',
        description: 'La conformité effective aux politiques, directives et normes de sécurité internes doit être contrôlée régulièrement au moyen d\'audits et de vérifications, avec traitement systématique des écarts identifiés.',
        descriptionEn: 'Effective compliance with internal security policies, directives, and standards shall be verified regularly through audits and checks, with systematic remediation of identified gaps.',
        category: 'org',
        tags: ['gouvernance', 'assurance_de_securite_de_l_information']
      },
      {
        ref: '5.37',
        isoMapping: '5.37',
        title: 'Formalisation des procédures opérationnelles',
        titleEn: 'Operational procedure formalization',
        description: 'Les procédures d\'exploitation des systèmes d\'information doivent être documentées, tenues à jour et mises à disposition des personnels concernés. Toute modification doit être autorisée et tracée.',
        descriptionEn: 'Operating procedures for information systems shall be documented, kept current, and made available to relevant personnel. Any modification shall be authorized and tracked.',
        category: 'org',
        tags: ['configuration_securisee']
      },

      // ===== 6.x - Humain (8 controls) =====
      {
        ref: '6.1',
        isoMapping: '6.1',
        title: 'Vérification des antécédents des collaborateurs',
        titleEn: 'Personnel background verification',
        description: 'Des vérifications d\'antécédents proportionnées aux responsabilités et au niveau d\'accès prévu doivent être réalisées pour tout candidat avant son intégration, puis renouvelées périodiquement, dans le respect du cadre légal et éthique applicable.',
        descriptionEn: 'Background checks proportionate to responsibilities and planned access level shall be conducted for all candidates prior to onboarding and renewed periodically, in compliance with the applicable legal and ethical framework.',
        category: 'hum',
        tags: ['securite_des_ressources_humaines']
      },
      {
        ref: '6.2',
        isoMapping: '6.2',
        title: 'Obligations contractuelles de sécurité',
        titleEn: 'Contractual security obligations',
        description: 'Le contrat d\'engagement doit définir clairement les obligations de l\'employé et de l\'organisation en matière de protection de l\'information, y compris les engagements de confidentialité et le respect des règles de sécurité.',
        descriptionEn: 'The engagement contract shall clearly define the obligations of both the employee and the organization regarding information protection, including confidentiality commitments and adherence to security rules.',
        category: 'hum',
        tags: ['securite_des_ressources_humaines']
      },
      {
        ref: '6.3',
        isoMapping: '6.3',
        title: 'Programmes de sensibilisation et montée en compétences',
        titleEn: 'Awareness and competency programs',
        description: 'Des programmes de sensibilisation, de formation et de montée en compétences en cybersécurité doivent être dispensés à l\'ensemble du personnel, adaptés à chaque profil de poste, et actualisés régulièrement pour intégrer les nouvelles menaces.',
        descriptionEn: 'Cybersecurity awareness, training, and competency-building programs shall be delivered to all staff, tailored to each role profile, and regularly updated to incorporate new threats.',
        category: 'hum',
        tags: ['securite_des_ressources_humaines']
      },
      {
        ref: '6.4',
        isoMapping: '6.4',
        title: 'Régime de sanctions en cas de manquement',
        titleEn: 'Sanctions for security violations',
        description: 'Un régime de sanctions clair et communiqué doit être instauré pour traiter les manquements aux obligations de sécurité de l\'information, proportionné à la gravité de l\'infraction.',
        descriptionEn: 'A clear and communicated sanctions regime shall be established to address failures to comply with information security obligations, proportionate to the severity of the violation.',
        category: 'hum',
        tags: ['securite_des_ressources_humaines']
      },
      {
        ref: '6.5',
        isoMapping: '6.5',
        title: 'Obligations persistantes après la fin de mission',
        titleEn: 'Persisting obligations after assignment end',
        description: 'Les obligations de sécurité qui perdurent au-delà de la fin ou du changement de mission (confidentialité, non-concurrence, restitution d\'actifs) doivent être formellement définies et notifiées à la personne concernée.',
        descriptionEn: 'Security obligations that persist beyond the end or change of assignment (confidentiality, non-competition, asset return) shall be formally defined and notified to the individual concerned.',
        category: 'hum',
        tags: ['securite_des_ressources_humaines']
      },
      {
        ref: '6.6',
        isoMapping: '6.6',
        title: 'Engagements de confidentialité et de non-divulgation',
        titleEn: 'Confidentiality and non-disclosure commitments',
        description: 'Des engagements de confidentialité ou de non-divulgation adaptés aux besoins de l\'organisation doivent être documentés, signés par les parties concernées et révisés régulièrement.',
        descriptionEn: 'Confidentiality or non-disclosure commitments tailored to the organization\'s needs shall be documented, signed by relevant parties, and reviewed regularly.',
        category: 'hum',
        tags: ['securite_des_ressources_humaines']
      },
      {
        ref: '6.7',
        isoMapping: '6.7',
        title: 'Sécurité du travail à distance et du nomadisme',
        titleEn: 'Remote and mobile working security',
        description: 'Des mesures de sécurité spécifiques doivent encadrer le travail à distance et le nomadisme numérique, couvrant la sécurisation des connexions, le chiffrement des terminaux et la protection des données hors site.',
        descriptionEn: 'Specific security measures shall govern remote and mobile working, covering connection security, device encryption, and off-site data protection.',
        category: 'hum',
        tags: ['securite_des_ressources_humaines']
      },
      {
        ref: '6.8',
        isoMapping: '6.8',
        title: 'Signalement des événements de sécurité',
        titleEn: 'Security event reporting',
        description: 'Un mécanisme simple et accessible doit permettre à tout collaborateur ou prestataire de signaler rapidement tout événement de sécurité observé ou suspecté, sans crainte de représailles.',
        descriptionEn: 'A simple and accessible mechanism shall enable any staff member or contractor to promptly report any observed or suspected security event without fear of reprisal.',
        category: 'hum',
        tags: ['securite_des_ressources_humaines', 'gestion_des_evenements_de_securite_de_l_information']
      },

      // ===== 7.x - Physique (14 controls) =====
      {
        ref: '7.1',
        isoMapping: '7.1',
        title: 'Délimitation des zones de sécurité physique',
        titleEn: 'Physical security zone demarcation',
        description: 'Des périmètres de sécurité physique doivent être définis autour des locaux et zones critiques, avec des protections adaptées (barrières, contrôles d\'accès, signalétique) empêchant toute intrusion non autorisée.',
        descriptionEn: 'Physical security perimeters shall be defined around premises and critical zones, with appropriate protections (barriers, access controls, signage) preventing unauthorized entry.',
        category: 'phy',
        tags: ['securite_physique']
      },
      {
        ref: '7.2',
        isoMapping: '7.2',
        title: 'Contrôle des accès physiques',
        titleEn: 'Physical access control',
        description: 'Les points d\'entrée des zones sécurisées doivent être équipés de dispositifs de contrôle d\'accès garantissant que seules les personnes autorisées puissent y pénétrer.',
        descriptionEn: 'Entry points to secure zones shall be equipped with access control devices ensuring that only authorized persons can enter.',
        category: 'phy',
        tags: ['securite_physique']
      },
      {
        ref: '7.3',
        isoMapping: '7.3',
        title: 'Protection des espaces de travail et installations',
        titleEn: 'Workspace and facility protection',
        description: 'Des mesures de sécurité physique doivent être conçues et mises en œuvre pour protéger les bureaux, salles serveurs et autres installations abritant des actifs informationnels sensibles.',
        descriptionEn: 'Physical security measures shall be designed and implemented to protect offices, server rooms, and other facilities housing sensitive information assets.',
        category: 'phy',
        tags: ['securite_physique']
      },
      {
        ref: '7.4',
        isoMapping: '7.4',
        title: 'Surveillance des locaux',
        titleEn: 'Premises surveillance',
        description: 'Les locaux doivent faire l\'objet d\'une surveillance continue (vidéosurveillance, détection d\'intrusion, rondes) pour détecter et dissuader toute tentative d\'accès physique non autorisé.',
        descriptionEn: 'Premises shall be subject to continuous surveillance (CCTV, intrusion detection, patrols) to detect and deter any unauthorized physical access attempts.',
        category: 'phy',
        tags: ['securite_physique']
      },
      {
        ref: '7.5',
        isoMapping: '7.5',
        title: 'Protection contre les menaces environnementales',
        titleEn: 'Environmental threat protection',
        description: 'Des dispositifs de protection contre les risques environnementaux (incendie, inondation, séisme, conditions climatiques extrêmes) doivent être déployés pour préserver les installations et les actifs qu\'elles abritent.',
        descriptionEn: 'Protection devices against environmental risks (fire, flood, earthquake, extreme weather) shall be deployed to preserve facilities and the assets they house.',
        category: 'phy',
        tags: ['securite_physique']
      },
      {
        ref: '7.6',
        isoMapping: '7.6',
        title: 'Protocoles de travail en zone sécurisée',
        titleEn: 'Secure area working protocols',
        description: 'Des protocoles spécifiques doivent régir le travail dans les zones à accès restreint, incluant les règles de présence, d\'accompagnement des visiteurs et de manipulation des informations sensibles.',
        descriptionEn: 'Specific protocols shall govern work in restricted access zones, including rules for presence, visitor escort, and handling of sensitive information.',
        category: 'phy',
        tags: ['securite_physique']
      },
      {
        ref: '7.7',
        isoMapping: '7.7',
        title: 'Politique d\'espace de travail épuré',
        titleEn: 'Clean workspace policy',
        description: 'Une politique d\'espace de travail épuré et d\'écran verrouillé doit être appliquée pour empêcher l\'exposition d\'informations sensibles sur les bureaux ou les écrans laissés sans surveillance.',
        descriptionEn: 'A clean workspace and locked screen policy shall be enforced to prevent exposure of sensitive information on desks or unattended screens.',
        category: 'phy',
        tags: ['securite_physique']
      },
      {
        ref: '7.8',
        isoMapping: '7.8',
        title: 'Implantation et protection du matériel',
        titleEn: 'Equipment siting and safeguarding',
        description: 'Le matériel informatique doit être installé dans des emplacements appropriés et protégé contre les accès non autorisés, les risques environnementaux et les défaillances d\'alimentation.',
        descriptionEn: 'Computing equipment shall be sited in appropriate locations and protected against unauthorized access, environmental hazards, and power supply failures.',
        category: 'phy',
        tags: ['securite_physique']
      },
      {
        ref: '7.9',
        isoMapping: '7.9',
        title: 'Sécurité des actifs en dehors des locaux',
        titleEn: 'Off-site asset security',
        description: 'Des mesures de protection adaptées doivent être appliquées aux équipements et informations utilisés ou stockés en dehors des locaux de l\'organisation, incluant le chiffrement, le transport sécurisé et les règles de manipulation.',
        descriptionEn: 'Appropriate protective measures shall be applied to equipment and information used or stored outside organizational premises, including encryption, secure transport, and handling rules.',
        category: 'phy',
        tags: ['securite_physique']
      },
      {
        ref: '7.10',
        isoMapping: '7.10',
        title: 'Gestion sécurisée des supports de données',
        titleEn: 'Secure data media management',
        description: 'Les supports de données (disques, clés USB, bandes) doivent être gérés de manière sécurisée tout au long de leur cycle de vie : accès contrôlé, stockage protégé, chiffrement si nécessaire, et destruction sécurisée en fin de vie.',
        descriptionEn: 'Data media (disks, USB drives, tapes) shall be managed securely throughout their lifecycle: controlled access, protected storage, encryption where needed, and secure destruction at end-of-life.',
        category: 'phy',
        tags: ['gestion_des_actifs', 'securite_physique']
      },
      {
        ref: '7.11',
        isoMapping: '7.11',
        title: 'Alimentation et services techniques de support',
        titleEn: 'Power supply and supporting utilities',
        description: 'Les services techniques essentiels (alimentation électrique, climatisation, connectivité) doivent être sécurisés et redondés pour prévenir les interruptions de service pouvant affecter les systèmes d\'information.',
        descriptionEn: 'Essential supporting utilities (power supply, air conditioning, connectivity) shall be secured and made redundant to prevent service interruptions that could affect information systems.',
        category: 'phy',
        tags: ['securite_physique']
      },
      {
        ref: '7.12',
        isoMapping: '7.12',
        title: 'Protection de l\'infrastructure de câblage',
        titleEn: 'Cabling infrastructure protection',
        description: 'L\'infrastructure de câblage réseau et télécommunications doit être protégée contre les écoutes, les interférences et les détériorations au moyen de mesures physiques adaptées (conduits sécurisés, chemins de câbles protégés).',
        descriptionEn: 'Network and telecommunications cabling infrastructure shall be protected against eavesdropping, interference, and damage through appropriate physical measures (secured conduits, protected cable trays).',
        category: 'phy',
        tags: ['securite_physique']
      },
      {
        ref: '7.13',
        isoMapping: '7.13',
        title: 'Maintenance préventive et corrective du matériel',
        titleEn: 'Preventive and corrective equipment maintenance',
        description: 'Un programme de maintenance préventive et corrective du matériel informatique doit être mis en place, réalisé par du personnel autorisé, pour garantir la disponibilité et l\'intégrité des équipements.',
        descriptionEn: 'A preventive and corrective maintenance program for computing equipment shall be established and performed by authorized personnel to ensure equipment availability and integrity.',
        category: 'phy',
        tags: ['securite_physique']
      },
      {
        ref: '7.14',
        isoMapping: '7.14',
        title: 'Mise au rebut et réemploi sécurisé des équipements',
        titleEn: 'Secure equipment disposal and reuse',
        description: 'Tout équipement en fin de vie ou réaffecté doit subir un processus d\'effacement ou de destruction sécurisé des données avant sa mise au rebut, son recyclage ou sa réutilisation.',
        descriptionEn: 'Any end-of-life or reassigned equipment shall undergo a secure data wiping or destruction process before disposal, recycling, or reuse.',
        category: 'phy',
        tags: ['securite_physique']
      },

      // ===== 8.x - Technologique (34 controls) =====
      {
        ref: '8.1',
        isoMapping: '8.1',
        title: 'Sécurisation des terminaux utilisateurs',
        titleEn: 'User endpoint hardening',
        description: 'Des mesures de durcissement doivent être appliquées aux terminaux utilisateurs (postes de travail, portables, smartphones, tablettes) pour protéger les données qu\'ils traitent ou stockent : antimalware, chiffrement, correctifs, contrôle des périphériques.',
        descriptionEn: 'Hardening measures shall be applied to user endpoints (workstations, laptops, smartphones, tablets) to protect the data they process or store: anti-malware, encryption, patching, peripheral control.',
        category: 'tech',
        tags: ['securite_systeme_et_reseau']
      },
      {
        ref: '8.2',
        isoMapping: '8.2',
        title: 'Encadrement des accès à privilèges élevés',
        titleEn: 'Privileged access governance',
        description: 'L\'attribution et l\'utilisation des comptes à privilèges élevés doivent être strictement encadrées par un processus formel, avec un suivi régulier et une révocation rapide des droits non justifiés.',
        descriptionEn: 'The allocation and use of high-privilege accounts shall be strictly governed by a formal process, with regular monitoring and prompt revocation of unjustified rights.',
        category: 'tech',
        tags: ['protection_des_informations']
      },
      {
        ref: '8.3',
        isoMapping: '8.3',
        title: 'Restriction d\'accès selon le besoin d\'en connaître',
        titleEn: 'Need-to-know access restriction',
        description: 'L\'accès aux informations et fonctionnalités des systèmes doit être restreint sur la base du besoin d\'en connaître, conformément aux règles de contrôle d\'accès de l\'organisation.',
        descriptionEn: 'Access to system information and functionality shall be restricted on a need-to-know basis, in accordance with the organization\'s access control rules.',
        category: 'tech',
        tags: ['protection_des_informations']
      },
      {
        ref: '8.4',
        isoMapping: '8.4',
        title: 'Protection des codes sources et bibliothèques',
        titleEn: 'Source code and library protection',
        description: 'L\'accès aux codes sources, outils de développement et bibliothèques logicielles doit être limité aux personnels autorisés et géré via des dépôts sécurisés avec traçabilité des modifications.',
        descriptionEn: 'Access to source code, development tools, and software libraries shall be limited to authorized personnel and managed through secured repositories with modification traceability.',
        category: 'tech',
        tags: ['gestion_des_identites_et_des_acces']
      },
      {
        ref: '8.5',
        isoMapping: '8.5',
        title: 'Mécanismes d\'authentification robuste',
        titleEn: 'Strong authentication mechanisms',
        description: 'Des mécanismes d\'authentification robustes — incluant l\'authentification multifacteur lorsque cela est justifié par le niveau de risque — doivent être déployés pour contrôler l\'accès aux systèmes et aux données.',
        descriptionEn: 'Strong authentication mechanisms — including multi-factor authentication where justified by the risk level — shall be deployed to control access to systems and data.',
        category: 'tech',
        tags: ['gestion_des_identites_et_des_acces']
      },
      {
        ref: '8.6',
        isoMapping: '8.6',
        title: 'Gestion des capacités et performances',
        titleEn: 'Capacity and performance management',
        description: 'La capacité et les performances des ressources informatiques doivent être surveillées et ajustées de manière proactive pour anticiper les évolutions de charge et prévenir toute dégradation de la disponibilité.',
        descriptionEn: 'Computing resource capacity and performance shall be monitored and proactively adjusted to anticipate workload changes and prevent any degradation of availability.',
        category: 'tech',
        tags: ['gestion_des_identites_et_des_acces']
      },
      {
        ref: '8.7',
        isoMapping: '8.7',
        title: 'Défense contre les logiciels malveillants',
        titleEn: 'Malicious software defense',
        description: 'Un dispositif de défense contre les logiciels malveillants doit être déployé, combinant solutions techniques (antimalware, filtrage, bac à sable), mises à jour régulières et sensibilisation des utilisateurs aux vecteurs d\'infection.',
        descriptionEn: 'A malicious software defense system shall be deployed, combining technical solutions (anti-malware, filtering, sandboxing), regular updates, and user awareness of infection vectors.',
        category: 'tech',
        tags: ['securite_systeme_et_reseau']
      },
      {
        ref: '8.8',
        isoMapping: '8.8',
        title: 'Gestion des vulnérabilités techniques',
        titleEn: 'Technical vulnerability management',
        description: 'Un processus de veille, d\'évaluation et de remédiation des vulnérabilités techniques doit être mis en place pour l\'ensemble des composants du système d\'information, avec application prioritaire des correctifs critiques.',
        descriptionEn: 'A vulnerability monitoring, assessment, and remediation process shall be established for all information system components, with priority application of critical patches.',
        category: 'tech',
        tags: ['configuration_securisee', 'gestion_des_menaces_et_des_vulnerabilites']
      },
      {
        ref: '8.9',
        isoMapping: '8.9',
        title: 'Maîtrise des configurations',
        titleEn: 'Configuration control',
        description: 'Les configurations des équipements, logiciels et services doivent être documentées, maintenues sous contrôle de version et soumises à un processus d\'approbation pour toute modification, avec application de profils de durcissement par défaut.',
        descriptionEn: 'Equipment, software, and service configurations shall be documented, maintained under version control, and subject to an approval process for any change, with default hardening profiles applied.',
        category: 'tech',
        tags: ['configuration_securisee']
      },
      {
        ref: '8.10',
        isoMapping: '8.10',
        title: 'Effacement sécurisé des données',
        titleEn: 'Secure data erasure',
        description: 'Les données devenues obsolètes ou non nécessaires doivent être effacées de manière sécurisée et irréversible des systèmes et supports de stockage, sauf obligation légale de conservation.',
        descriptionEn: 'Data that is no longer needed shall be securely and irreversibly erased from systems and storage media, unless subject to a legal retention obligation.',
        category: 'tech',
        tags: ['protection_des_informations']
      },
      {
        ref: '8.11',
        isoMapping: '8.11',
        title: 'Anonymisation et pseudonymisation des données',
        titleEn: 'Data anonymization and pseudonymization',
        description: 'Des techniques d\'anonymisation ou de pseudonymisation doivent être utilisées pour limiter l\'exposition des données sensibles ou personnelles dans les environnements non productifs ou lors des échanges d\'information.',
        descriptionEn: 'Anonymization or pseudonymization techniques shall be used to limit exposure of sensitive or personal data in non-production environments or during information exchanges.',
        category: 'tech',
        tags: ['protection_des_informations']
      },
      {
        ref: '8.12',
        isoMapping: '8.12',
        title: 'Prévention des exfiltrations de données',
        titleEn: 'Data exfiltration prevention',
        description: 'Des outils et règles de prévention des fuites de données (DLP) doivent être déployés pour surveiller et bloquer les tentatives de transfert non autorisé d\'informations sensibles via les canaux numériques.',
        descriptionEn: 'Data loss prevention (DLP) tools and rules shall be deployed to monitor and block unauthorized attempts to transfer sensitive information through digital channels.',
        category: 'tech',
        tags: ['protection_des_informations']
      },
      {
        ref: '8.13',
        isoMapping: '8.13',
        title: 'Stratégie de sauvegarde et restauration',
        titleEn: 'Backup and restoration strategy',
        description: 'Une stratégie de sauvegarde couvrant les données, les configurations et les systèmes critiques doit être mise en œuvre et régulièrement testée pour garantir la capacité de restauration dans les délais fixés.',
        descriptionEn: 'A backup strategy covering data, configurations, and critical systems shall be implemented and regularly tested to ensure restoration capability within defined timelines.',
        category: 'tech',
        tags: ['protection_des_informations']
      },
      {
        ref: '8.14',
        isoMapping: '8.14',
        title: 'Redondance des infrastructures critiques',
        titleEn: 'Critical infrastructure redundancy',
        description: 'Les infrastructures de traitement critiques doivent être dimensionnées avec un niveau de redondance suffisant pour maintenir la disponibilité des services en cas de défaillance d\'un composant.',
        descriptionEn: 'Critical processing infrastructure shall be sized with sufficient redundancy to maintain service availability in the event of a component failure.',
        category: 'tech',
        tags: ['securite_systeme_et_reseau', 'continuite']
      },
      {
        ref: '8.15',
        isoMapping: '8.15',
        title: 'Traçabilité et journalisation des activités',
        titleEn: 'Activity logging and traceability',
        description: 'Les événements de sécurité et les activités significatives sur les systèmes d\'information doivent être journalisés, les journaux protégés contre toute altération, et leur analyse effectuée régulièrement pour détecter les anomalies.',
        descriptionEn: 'Security events and significant activities on information systems shall be logged, logs protected against tampering, and analysis performed regularly to detect anomalies.',
        category: 'tech',
        tags: ['assurance_de_securite_de_l_information']
      },
      {
        ref: '8.16',
        isoMapping: '8.16',
        title: 'Détection et supervision des anomalies',
        titleEn: 'Anomaly detection and supervision',
        description: 'Un dispositif de supervision continue doit être en place pour détecter les comportements anormaux, les tentatives d\'accès non autorisé et les menaces émergentes sur les réseaux, systèmes et applications.',
        descriptionEn: 'A continuous supervision system shall be in place to detect abnormal behavior, unauthorized access attempts, and emerging threats on networks, systems, and applications.',
        category: 'tech',
        tags: ['assurance_de_securite_de_l_information']
      },
      {
        ref: '8.17',
        isoMapping: '8.17',
        title: 'Synchronisation temporelle des systèmes',
        titleEn: 'System time synchronization',
        description: 'Tous les systèmes d\'information doivent être synchronisés sur une source de temps de référence commune pour garantir la cohérence des horodatages dans les journaux et faciliter la corrélation des événements.',
        descriptionEn: 'All information systems shall be synchronized to a common reference time source to ensure timestamp consistency in logs and facilitate event correlation.',
        category: 'tech',
        tags: ['assurance_de_securite_de_l_information']
      },
      {
        ref: '8.18',
        isoMapping: '8.18',
        title: 'Encadrement des outils d\'administration',
        titleEn: 'Administration tool governance',
        description: 'L\'utilisation des outils d\'administration système capables de contourner les contrôles de sécurité doit être strictement limitée, autorisée et tracée pour prévenir tout usage abusif.',
        descriptionEn: 'The use of system administration tools capable of bypassing security controls shall be strictly limited, authorized, and traced to prevent any misuse.',
        category: 'tech',
        tags: ['configuration_securisee']
      },
      {
        ref: '8.19',
        isoMapping: '8.19',
        title: 'Maîtrise de l\'installation logicielle',
        titleEn: 'Software installation control',
        description: 'L\'installation de logiciels sur les systèmes opérationnels doit être soumise à un processus d\'autorisation, de test et de validation préalable pour prévenir l\'introduction de vulnérabilités ou de composants non conformes.',
        descriptionEn: 'Software installation on operational systems shall be subject to a prior authorization, testing, and validation process to prevent the introduction of vulnerabilities or non-compliant components.',
        category: 'tech',
        tags: ['configuration_securisee']
      },
      {
        ref: '8.20',
        isoMapping: '8.20',
        title: 'Sécurité de l\'infrastructure réseau',
        titleEn: 'Network infrastructure security',
        description: 'L\'infrastructure réseau doit être gérée et protégée au moyen de mesures adaptées (segmentation, pare-feux, chiffrement des flux sensibles, surveillance du trafic) pour préserver la confidentialité, l\'intégrité et la disponibilité des communications.',
        descriptionEn: 'Network infrastructure shall be managed and protected through appropriate measures (segmentation, firewalls, encryption of sensitive flows, traffic monitoring) to preserve the confidentiality, integrity, and availability of communications.',
        category: 'tech',
        tags: ['securite_systeme_et_reseau']
      },
      {
        ref: '8.21',
        isoMapping: '8.21',
        title: 'Maîtrise des services réseau',
        titleEn: 'Network service governance',
        description: 'Les exigences de sécurité, les niveaux de service et les responsabilités doivent être formalisés pour chaque service réseau utilisé, qu\'il soit interne ou externalisé.',
        descriptionEn: 'Security requirements, service levels, and responsibilities shall be formalized for each network service used, whether internal or outsourced.',
        category: 'tech',
        tags: ['securite_systeme_et_reseau', 'gestion_des_identites_et_des_acces']
      },
      {
        ref: '8.22',
        isoMapping: '8.22',
        title: 'Segmentation et isolation des réseaux',
        titleEn: 'Network segmentation and isolation',
        description: 'Le réseau de l\'organisation doit être segmenté en zones distinctes selon les niveaux de confiance et de criticité, avec des règles de filtrage strictes entre les segments pour limiter la propagation des incidents.',
        descriptionEn: 'The organization\'s network shall be segmented into distinct zones based on trust and criticality levels, with strict filtering rules between segments to limit incident propagation.',
        category: 'tech',
        tags: ['securite_systeme_et_reseau']
      },
      {
        ref: '8.23',
        isoMapping: '8.23',
        title: 'Contrôle de la navigation web',
        titleEn: 'Web browsing control',
        description: 'Un dispositif de filtrage et de contrôle de la navigation web doit être mis en place pour limiter l\'exposition aux contenus malveillants, aux sites d\'hameçonnage et aux ressources non autorisées.',
        descriptionEn: 'A web filtering and browsing control system shall be deployed to limit exposure to malicious content, phishing sites, and unauthorized resources.',
        category: 'tech',
        tags: ['securite_systeme_et_reseau']
      },
      {
        ref: '8.24',
        isoMapping: '8.24',
        title: 'Mise en œuvre de la cryptographie',
        titleEn: 'Cryptography implementation',
        description: 'Des mécanismes cryptographiques adaptés doivent être mis en œuvre pour protéger la confidentialité, l\'intégrité et l\'authenticité des données, selon une politique couvrant le choix des algorithmes, la gestion des clés et les cas d\'usage.',
        descriptionEn: 'Appropriate cryptographic mechanisms shall be implemented to protect data confidentiality, integrity, and authenticity, following a policy covering algorithm selection, key management, and use cases.',
        category: 'tech',
        tags: ['protection_des_informations']
      },
      {
        ref: '8.25',
        isoMapping: '8.25',
        title: 'Développement sécurisé tout au long du cycle de vie',
        titleEn: 'Secure development throughout the lifecycle',
        description: 'Des pratiques de sécurité doivent être intégrées à chaque phase du cycle de développement (conception, codage, test, déploiement, maintenance) pour réduire les vulnérabilités des systèmes et logiciels produits.',
        descriptionEn: 'Security practices shall be integrated into every phase of the development lifecycle (design, coding, testing, deployment, maintenance) to reduce vulnerabilities in produced systems and software.',
        category: 'tech',
        tags: ['securite_des_applications']
      },
      {
        ref: '8.26',
        isoMapping: '8.26',
        title: 'Spécification des exigences de sécurité applicative',
        titleEn: 'Application security requirement specification',
        description: 'Les exigences de sécurité pertinentes doivent être identifiées, documentées et validées dès les premières phases de conception ou d\'acquisition d\'une application, et intégrées dans les spécifications fonctionnelles.',
        descriptionEn: 'Relevant security requirements shall be identified, documented, and validated from the earliest design or procurement phases of an application, and integrated into functional specifications.',
        category: 'tech',
        tags: ['securite_systeme_et_reseau', 'securite_des_applications']
      },
      {
        ref: '8.27',
        isoMapping: '8.27',
        title: 'Principes d\'architecture sécurisée',
        titleEn: 'Secure architecture principles',
        description: 'Des principes d\'architecture sécurisée (défense en profondeur, moindre privilège, résilience, modularité) doivent être définis, documentés et appliqués systématiquement lors de la conception et de l\'acquisition de systèmes.',
        descriptionEn: 'Secure architecture principles (defense in depth, least privilege, resilience, modularity) shall be defined, documented, and systematically applied during system design and procurement.',
        category: 'tech',
        tags: ['securite_des_applications']
      },
      {
        ref: '8.28',
        isoMapping: '8.28',
        title: 'Pratiques de codage sécurisé',
        titleEn: 'Secure coding practices',
        description: 'Des normes de codage sécurisé doivent être appliquées par les équipes de développement, accompagnées d\'outils d\'analyse statique et de revues de code orientées sécurité pour détecter et corriger les failles de programmation.',
        descriptionEn: 'Secure coding standards shall be applied by development teams, supported by static analysis tools and security-focused code reviews to detect and fix programming flaws.',
        category: 'tech',
        tags: ['securite_des_applications']
      },
      {
        ref: '8.29',
        isoMapping: '8.29',
        title: 'Tests de sécurité et validation pré-production',
        titleEn: 'Security testing and pre-production validation',
        description: 'Des tests de sécurité (tests d\'intrusion, analyses de vulnérabilités, tests de résilience) doivent être réalisés avant la mise en production de tout nouveau système ou modification majeure.',
        descriptionEn: 'Security tests (penetration testing, vulnerability analysis, resilience testing) shall be performed before the production deployment of any new system or major change.',
        category: 'tech',
        tags: ['securite_des_applications']
      },
      {
        ref: '8.30',
        isoMapping: '8.30',
        title: 'Encadrement du développement externalisé',
        titleEn: 'Outsourced development oversight',
        description: 'Lorsque le développement est externalisé, l\'organisation doit imposer ses exigences de sécurité au prestataire, surveiller leur application et se réserver des droits d\'audit sur les livrables.',
        descriptionEn: 'When development is outsourced, the organization shall impose its security requirements on the provider, monitor their application, and retain audit rights over deliverables.',
        category: 'tech',
        tags: ['securite_des_applications']
      },
      {
        ref: '8.31',
        isoMapping: '8.31',
        title: 'Isolation des environnements techniques',
        titleEn: 'Technical environment isolation',
        description: 'Les environnements de développement, de test et de production doivent être séparés et isolés pour prévenir les modifications non autorisées des systèmes en production et la contamination des données réelles.',
        descriptionEn: 'Development, test, and production environments shall be separated and isolated to prevent unauthorized changes to production systems and contamination of real data.',
        category: 'tech',
        tags: ['securite_des_applications']
      },
      {
        ref: '8.32',
        isoMapping: '8.32',
        title: 'Processus de gestion des changements',
        titleEn: 'Change management process',
        description: 'Tout changement apporté aux systèmes d\'information doit suivre un processus formalisé incluant l\'évaluation d\'impact, l\'autorisation, le test et la documentation, pour garantir la stabilité et la sécurité des systèmes.',
        descriptionEn: 'Any change to information systems shall follow a formal process including impact assessment, authorization, testing, and documentation, to ensure system stability and security.',
        category: 'tech',
        tags: ['securite_des_applications']
      },
      {
        ref: '8.33',
        isoMapping: '8.33',
        title: 'Protection des données de test',
        titleEn: 'Test data protection',
        description: 'Les données utilisées dans les environnements de test doivent être soigneusement sélectionnées et protégées. Lorsque des données réelles sont utilisées, elles doivent être anonymisées ; les jeux de test doivent être supprimés une fois les tests achevés.',
        descriptionEn: 'Data used in test environments shall be carefully selected and protected. When real data is used, it shall be anonymized; test datasets shall be deleted once testing is complete.',
        category: 'tech',
        tags: ['protection_des_informations']
      },
      {
        ref: '8.34',
        isoMapping: '8.34',
        title: 'Préservation de la sécurité lors des audits techniques',
        titleEn: 'Security preservation during technical audits',
        description: 'Les tests d\'audit et activités d\'évaluation sur les systèmes opérationnels doivent être planifiés et encadrés pour ne pas compromettre la sécurité, la disponibilité ou l\'intégrité des systèmes audités.',
        descriptionEn: 'Audit tests and assessment activities on operational systems shall be planned and controlled to avoid compromising the security, availability, or integrity of audited systems.',
        category: 'tech',
        tags: ['securite_des_applications']
      }
    ]
  };

  // Self-register appData binding (aliased to iso27002 — shares appData.controls binding)
  window._csiAppDataBindings = window._csiAppDataBindings || {};
  window._csiAppDataBindings['open-security-controls'] = {
    appDataKey: 'controls',
    refField: 'numero',
    statusField: 'status',
    maturityFields: ['cmm'],
    aliasOf: 'iso27002'
  };

  void 0;
})();
