Document partagé

Rapport de progression en relecture de code

Société Exemple

Agrégats d’entreprise — aucune donnée personnelle.

Période couverte: novembre 2025 → octobre 2026
Généré le: 11 octobre 2026
Identifiant du document: DEMO-0000-0000

Périmètre

Développeurs inscrits

Effectif déclaré

93 %

Taux de couverture

Le compte propriétaire n’est pas compté : il n’occupe pas un poste de développeur.

Engagement

Participants actifs

82 %

Taux de participation

412

Évaluations réalisées

Médiane par participant actif

médiane, pas moyenne : un profil très actif ne la fausse pas

Sur les trois derniers mois : 26 participants actifs, 148 évaluations.

Régularité

11/12

Mois actifs sur la période

Plus longue série de mois consécutifs

octobre 2026

Dernière activité

au mois près

La régularité est ce que réclament littéralement les textes : une formation « continue » (DORA), « régulière » (NIS2), « au moins tous les douze mois » (PCI-DSS).

Progression

118

Indice de progression

+7,3

Écart premier / dernier tiers

74 %

Participants en progrès

sur 31 présents aux deux périodes

Évolution du niveau moyen, en indice base 100
Mois	Indice
nov. 25	100
déc. 25	103
janv. 26	101
févr. 26	106
mars 26	109
avr. 26	sans donnée
mai 26	108
juin 26	112
juil. 26	110
août 26	115
sept. 26	114
oct. 26	118

Les mois sans donnée publiable apparaissent comme des interruptions : soit aucune activité, soit trop peu de participants pour publier une moyenne.

Le premier mois de la période comportant des données vaut 100. Les niveaux absolus ne sont pas publiés.

Familles relues, sur dix

Ce que l’équipe a relu, réparti selon les dix familles de l’OWASP Top 10:2025.

A01 Contrôle d’accès défaillant relue
A02 Mauvaise configuration relue
A03 Chaîne d’approvisionnement logicielle non relue
A04 Défaillances cryptographiques relue
A05 Injection relue
A06 Conception non sécurisée relue
A07 Défaillances d’authentification relue
A08 Intégrité des logiciels et des données peu relue
A09 Journalisation et alertes relue
A10 Gestion des conditions exceptionnelles non relue

Il s’agit d’une couverture, pas d’un taux de réussite : ce bloc dit quelles familles ont été relues, jamais à quel point elles l’ont été.

Correspondance réglementaire

Ce document constitue un élément probant parmi d’autres. Chaque ligne indique aussi ce qu’il n’établit pas.

Référentiel	Ce qu’il exige	Ce que ce rapport apporte	Ce qu’il n’apporte pas
PCI-DSS 4.0 req. 6.2.2	Les développeurs sont formés au moins tous les douze mois à la sécurité logicielle pertinente pour leur fonction, conception et codage sécurisés inclus.	Une trace datée d’activité de formation sur douze mois glissants, par famille OWASP, avec le taux de participation de l’équipe.	La formation elle-même, ni la preuve nominative que chaque développeur a été formé : le rapport est agrégé.
DORA (UE 2022/2554) art. 13(6)	Programmes de sensibilisation à la sécurité TIC et formation à la résilience opérationnelle numérique, obligatoires pour le personnel.	La preuve qu’un programme existe et qu’il est suivi dans la durée, avec sa régularité mesurée.	Le caractère obligatoire des modules, ni la couverture de l’ensemble du personnel et des dirigeants.
NIS2 (UE 2022/2555) art. 21(2)(g)	Pratiques d’hygiène informatique de base et formation à la cybersécurité.	Un élément probant de la formation cyber des équipes de développement, daté et vérifiable.	La couverture des autres populations, ni les neuf autres mesures de l’article 21.
ISO/IEC 27001:2022 A.6.3 · art. 7.2	A.6.3 : sensibilisation, apprentissage et formation. Article 7.2 : compétences, et conservation d’informations documentées comme preuve.	Une information documentée, datée et vérifiable, versable au dossier d’audit.	La matrice de compétences, ni l’évaluation d’efficacité au sens de l’article 7.2.

Ces références situent le rapport dans vos obligations. NakamaCyber n’atteste d’aucune conformité : l’appréciation revient à votre auditeur.

Maturité OWASP SAMM

Gouvernance › Éducation et accompagnement › flux A (formation et sensibilisation)

1

Sensibilisation générale
2

Formation adaptée au rôle
3

Efficacité mesurée

Critères remplis

Au moins la moitié des inscrits participent
Activité sur au moins six mois
Au moins six familles OWASP abordées
Au moins 80 % des inscrits participent
Activité sur au moins dix mois
Progression mesurable (indice ≥ 105)
Au moins quatre évaluations médianes par participant

Critères manquants

Au moins neuf familles OWASP abordées

OWASP SAMM couvre quinze pratiques ; ce rapport n’en documente qu’une.

SAMM est un modèle d’auto-évaluation. NakamaCyber ne la valide pas.

Comment ce document est établi

Les évaluations se passent en ligne et se répètent dans le temps.
La mesure repose sur la répétition : vingt questions tirées au hasard à chaque évaluation, jamais la même série, et une progression suivie sur plusieurs mois.
Le document atteste l’engagement des développeurs de l’entreprise et leur progression : des évaluations de sécurité passées régulièrement, sur un référentiel reconnu, avec des résultats qui s’améliorent dans le temps.
Le document ne contient que des agrégats d’entreprise : aucun nom, aucune adresse électronique, aucun résultat individuel. En dessous de 5 participants actifs, les taux et la courbe ne sont pas publiés.
Les chiffres sont calculés automatiquement à partir des données de la plateforme. L’entreprise déclenche le partage ; elle ne saisit aucun chiffre.
La banque de questions est mise à jour régulièrement, au fil de la veille ; dernier enrichissement le 17 septembre 2026.

Identifiant du document : DEMO-0000-0000 · généré automatiquement par NakamaCyber