Vailor : l'alternative GRC IA souveraine à Cyber Sierra

En SaaS, il n'y a ni serveur à provisionner ni socle technique à installer : le délai réel dépend de la disponibilité de vos données de départ, c'est-à-dire le périmètre retenu, la liste des actifs, les propriétaires désignés et le référentiel visé. Vailor se déploie en SaaS sans infrastructure à gérer, ou dans votre infrastructure si votre contexte l'exige. La méthode qui tient dans la durée consiste à ouvrir un périmètre restreint, à produire une première analyse de risque exploitable, puis à étendre entité par entité.

Une croissance rapide ajoute des entités, des actifs, des fournisseurs et des clients qui réclament des preuves. Ce qui sature en premier n'est pas la plateforme, c'est le travail manuel de mise à jour. Dans Vailor, une nouvelle entité hérite des paramètres du groupe (échelles, matrices, sources de risque) ou garde les siens, et l'IA préremplit ses analyses de risque à partir de ses documents. Côté conformité, un contrôle déjà évalué compte pour chaque référentiel qui le demande. La charge suit alors le périmètre réel, pas le nombre de tableaux à tenir à jour.

Non, car les cadres se recoupent largement : gouvernance, gestion des accès, traitement des incidents, continuité d'activité, maîtrise des fournisseurs. L'annexe A d'ISO/IEC 27001:2022 décrit par exemple 93 mesures réparties en quatre thèmes, dont beaucoup répondent aussi aux attentes d'autres référentiels. L'enjeu est de rattacher chaque preuve à la mesure qui la porte, puis de réutiliser cette mesure partout où elle compte. C'est le rôle du Vailor Control Framework : chaque contrôle est maintenu à un seul endroit et relié à tous les référentiels qui le demandent, chaque preuve est collectée une fois et réutilisée partout.

L'ordre se décide sur vos clients et votre secteur, pas sur une liste théorique. ISO/IEC 27001 sert souvent de socle exigé en appel d'offres. Un rapport SOC 2, bâti sur les Trust Services Criteria de l'AICPA dont seul le critère sécurité est obligatoire, revient dès que vos clients sont nord-américains. La directive NIS2 (UE 2022/2555) s'applique selon le secteur et la taille, le règlement DORA (UE 2022/2554) aux entités financières depuis le 17 janvier 2025. En dessous, EBIOS RM, méthode de l'ANSSI, produit l'analyse de risque qui alimente ces cadres. Dans Vailor, NIS2, DORA, NIST CSF 2.0 et le guide d'hygiène de l'ANSSI sont disponibles ; ISO 27001 est prévu, et d'autres référentiels peuvent être ajoutés par l'équipe Vailor.

Trois éléments comptent : votre référentiel avec ses mesures et leurs propriétaires, les preuves déjà collectées avec leur date de validité, et les analyses de risque en cours avec leurs plans d'action. L'exercice consiste à les exporter dans un format tabulaire, à les rapprocher du périmètre cible, à les importer, puis à recontrôler par sondage. Un périmètre pilote mené en parallèle pendant un cycle de revue permet de vérifier que rien n'a été perdu avant de basculer l'ensemble.

Quand les contributeurs se multiplient, la question n'est plus de savoir ce qui a été fait, mais qui l'a décidé, sur quelle base et à quelle date. Chaque mesure a besoin d'un propriétaire nommé, d'une échéance de revue et d'un historique consultable. Vailor trace chaque décision dans un journal d'audit sans fonction d'effacement, et l'IA cite les extraits de vos documents sur lesquels elle s'appuie, vérifiés mot à mot : une décision reste justifiable devant un auditeur ou un comité plusieurs mois plus tard, sans avoir à rejouer une analyse dont personne ne retrouve les hypothèses.