Vailor : l'alternative GRC IA souveraine à All4Tec

Par la nature des impacts. Sur un système d'information, on raisonne perte de données et indisponibilité de service. Sur une ligne de production, un scénario abouti peut arrêter un procédé, dégrader la qualité d'un produit ou toucher la sécurité des personnes et l'environnement. L'ordre des critères s'inverse : la disponibilité et l'intégrité passent devant la confidentialité, et la sûreté de fonctionnement prime sur le reste. Les échelles de gravité doivent donc être réécrites en termes métier et physiques, en heures de production perdues ou en conséquences humaines, pas en catégories informatiques.

Les deux ne jouent pas le même rôle. EBIOS RM, la méthode publiée par l'ANSSI, structure le raisonnement en cinq ateliers : cadrage et socle de sécurité, sources de risque, scénarios stratégiques, scénarios opérationnels, traitement du risque. L'IEC 62443, la série de normes dédiée aux systèmes d'automatisation et de contrôle industriels, apporte le découpage en zones et conduits et un niveau de sécurité cible par zone. En pratique, EBIOS RM justifie le niveau visé, l'IEC 62443 décrit les exigences à mettre en face. Vailor porte EBIOS RM nativement et garde la trace de chaque arbitrage.

En amenant l'outil aux données plutôt que l'inverse. Beaucoup de sites industriels interdisent toute sortie de données vers un cloud. Vailor s'installe dans votre infrastructure, ou s'utilise en SaaS avec des données stockées en France. Vous choisissez le modèle d'IA utilisé, y compris un modèle auto-hébergé.

Sans scan actif. Un balayage réseau classique peut faire décrocher un automate ancien, et une fenêtre d'intervention se négocie souvent des mois à l'avance. La cartographie se construit donc à partir de ce qui existe déjà : schémas d'architecture, inventaires de maintenance, listes de fournisseurs et relevés passifs. Vailor sert de point de consolidation : vous y reprenez votre organisation, vos périmètres et vos actifs, et chaque site suit les paramètres du groupe ou garde les siens. L'inventaire redevient un référentiel vivant au lieu d'un tableur figé le jour où l'audit s'est terminé.

En capitalisant sur ce qui se répète. Deux usines partagent souvent les mêmes familles d'automates, les mêmes fournisseurs et des scénarios d'attaque très proches, mais diffèrent par leur procédé et leur criticité. L'approche qui tient consiste à maintenir un socle commun de scénarios et de mesures, puis à ne décliner par site que ce qui est réellement spécifique. Dans Vailor, chaque site ou entité hérite des paramètres du groupe (échelles, matrices, sources de risque) ou garde les siens, des droits fins limitent chacun à son périmètre, et l'IA préremplit chaque analyse à partir des documents du site.

Sans repartir de zéro. Vos analyses existantes contiennent des années de connaissance du terrain : échelles de gravité négociées avec les métiers, scénarios validés en comité, risques résiduels formellement acceptés par la direction. La reprise consiste à conserver vos échelles plutôt qu'à les remplacer, à partir de vos fichiers et documents existants, puis à rejouer une analyse sur un site pilote pour comparer les résultats. Notre équipe accompagne cette reprise, et chaque décision reprise reste tracée pour l'audit.