Dossier d'audit

À quoi sert l'écran#

La page « Dossier d'audit » réunit deux blocs côte à côte : le dossier d'audit (un zip à remettre à l'organisme de certification ou à l'auditeur, édition Advanced) et l'export de vos données (toutes les éditions). Trois chiffres en tête disent ce que contient le dossier : ses fichiers, ses étapes de génération et les tables de l'export. On y arrive aussi depuis la page Rapports.

Qui peut faire quoi#

Le droit de générer le dossier et d'exporter vos données est celui d'exporter le journal : les auditeurs, les responsables conformité et les administrateurs (dont les administrateurs Jira). L'édition est vérifiée par le serveur. Chaque ouverture du dossier, par n'importe laquelle de ces personnes, est inscrite au journal (« Dossier d'audit ouvert » : qui, quand, rien d'autre). Avec une licence inactive, l'export de vos données reste ouvert.

Générer le dossier d'audit#

Le dossier d'audit est un zip à remettre à l'organisme de certification ou à l'auditeur.

1. Sous « Dossier d'audit », cliquez sur « Générer le dossier d'audit ». Ce bouton demande l'édition Advanced.
2. Suivez les étapes : lecture de chaque section, « Vérification de l'intégrité du journal… », assemblage, puis inscription de la génération au journal.
3. Le zip dossier-audit-AAAA-MM-JJ.zip est téléchargé. Il contient :
   • des fichiers CSV (données brutes) : déclaration d'applicabilité, contrôles communs, correspondance entre contrôles et exigences, risques, actifs, plan d'action, preuves, requêtes Jira (une ligne par instantané), revues d'accès, audits internes, constats, incidents, suivi, journal ;
   • dans le fichier des contrôles, la colonne « Comment nous le mettons en œuvre » (le texte écrit dans le tiroir du contrôle) ;
   • rapport.html : un rapport mis en page, à ouvrir dans un navigateur et à imprimer en PDF ;
   • dossier.xlsx : un classeur Excel, une feuille par section ;
   • un dossier politiques/ : le PDF de chaque politique et procédure approuvée, à la version en vigueur (voir Télécharger une politique en Word et en PDF) ;
   • manifeste.json : la date, le compte, la version, la vérification du journal, l'empreinte SHA-256 de chaque fichier et le nombre de politiques incluses ;
   • LISEZMOI.txt : le contenu, le format et la commande pour revérifier les empreintes.
4. Les fichiers de preuve eux-mêmes ne sont pas dans le zip : le zip en donne le nom, la taille et l'empreinte.
5. Si la vérification du journal a trouvé une altération, le dossier est quand même prêt, mais le manifeste et le LISEZMOI.txt le disent : faites examiner le journal avant de le remettre.
6. Si l'annuaire Jira n'a pas répondu pour certaines sections, les colonnes « (nom) » y sont vides. Régénérez le dossier avant de le remettre si les noms comptent.

Pour revérifier les empreintes hors de l'app, extrayez le zip, puis lancez la commande donnée dans le LISEZMOI.txt (shasum -a 256 …) et comparez avec le manifeste.

Exporter vos données#

Le bloc « Vos données » donne tout ce que l'app garde pour cette installation : le droit d'accès à ses données, qui n'est pas une option payante.

1. Cliquez sur « Exporter mes données ». Le bloc est ouvert aux auditeurs, aux responsables conformité et aux administrateurs, même avec une licence inactive.
2. Le zip donnees-AAAA-MM-JJ.zip contient des fichiers CSV (les sections du dossier d'audit, plus les réglages et l'historique du tableau de bord) et un manifeste d'empreintes. Les fichiers de preuve n'y sont pas : ils se téléchargent dans l'app.
3. Cet export n'est pas inscrit au journal.

Ce que l'auditeur en tirera#

Un dossier complet qu'il peut recompter sans l'app : les empreintes de chaque fichier sont dans le manifeste, et l'empreinte du manifeste lui-même est inscrite au journal (action « Dossier d'audit généré »).

Limites connues#

• Les sections du dossier sont lues l'une après l'autre : ce n'est pas un instantané unique.
• La génération du dossier est inscrite au journal après coup : elle n'est donc pas dans le fichier du journal du dossier.
• Les fichiers de preuve eux-mêmes ne sont pas dans le zip ; le zip en donne le nom, la taille et l'empreinte.