Les concepts

Les contrôles communs#

Un contrôle commun est une mesure (« Gestion des secrets d'authentification », par exemple) qui répond à plusieurs exigences, dans plusieurs référentiels. On lui rattache une seule fois ses preuves, ses tests, ses tâches et ses risques ; ils servent ensuite partout où il s'applique. L'app en compte 164 dans son catalogue.

C'est ce qui évite de refaire le même travail pour ISO 27001, puis pour SOC 2, puis pour la suite. Voir la page Contrôles.

Les preuves attendues#

Chaque contrôle dit quelles preuves on attend de lui, et à quelle fréquence elles doivent être renouvelées. Une preuve peut être un fichier, une référence, ou le résultat figé d'une requête Jira, avec une empreinte.

Une preuve plus ancienne que sa fréquence est périmée. Elle ne compte ni pour l'état du contrôle, ni pour le score, ni pour la règle « pas de clôture sans preuve ». Voir Preuves.

L'état est calculé, jamais saisi#

L'état d'un contrôle se déduit de ce que l'app sait : mis en œuvre ou non, preuves à jour ou non, tests réussis ou non. Personne ne le règle à la main. C'est ce qui rend le score discutable avec des faits plutôt qu'avec des impressions.

Le score de préparation#

La préparation d'un référentiel est la part des exigences applicables que des contrôles en place tiennent, une exigence à moitié tenue comptant pour la moitié. Le détail du calcul est dans Le score de préparation.

Du constat au ticket Jira#

Une évaluation fait apparaître des écarts ; chaque écart devient une tâche du plan d'action, avec, si vous le souhaitez, son ticket Jira dans le projet de votre choix. Les statuts restent synchronisés entre l'app et Jira.

Un journal qui se vérifie#

Chaque changement important est inscrit au journal, chaîné au précédent par une empreinte : toute modification de l'historique se voit à la vérification. Voir Sécurité et confidentialité.