Vailor : l'alternative GRC IA souveraine à Egerie

L'atelier 3 construit les scénarios stratégiques : une source de risque poursuivant un objectif visé atteint une valeur métier en empruntant l'écosystème, fournisseurs, prestataires, partenaires. La gravité s'apprécie à ce niveau, dans le prolongement des événements redoutés cotés en atelier 1. L'atelier 4 descend d'un cran et décrit les modes opératoires techniques sur les biens supports, et c'est là que s'évalue la vraisemblance. L'atelier 5 réunit les deux : gravité et vraisemblance donnent le niveau de risque et orientent le plan de traitement. Traiter un seul niveau produit soit une analyse déconnectée du terrain, soit une liste de vulnérabilités sans portée métier.

Aucun nombre n'est attendu par la méthode. Un chemin d'attaque ne mérite d'être modélisé que s'il change une décision : il révèle un bien support non protégé, une partie prenante trop exposée ou une mesure manquante. Trois chemins correctement décrits sur un scénario critique valent mieux que quinze variantes du même mode opératoire, qui alourdissent le livrable sans déplacer le niveau de risque. Un critère d'arrêt utile : quand un chemin supplémentaire ne fait plus apparaître de mesure nouvelle, le scénario est traité.

L'IA de Vailor lit les documents du projet (dossiers d'architecture, cartographies, contrats, analyses précédentes) et préremplit les champs des ateliers 3 et 4 : scénarios stratégiques, parties prenantes de l'écosystème, chemins d'attaque. Chaque proposition cite les extraits sur lesquels elle s'appuie et reste soumise à validation : l'arbitrage appartient à vos experts. Les objets restent liés d'un atelier à l'autre, des valeurs métier et biens supports de l'atelier 1 jusqu'aux mesures de l'atelier 5, et chaque décision est tracée dans le journal d'audit.

L'homologation est une décision : une autorité désignée accepte, pour un périmètre défini et une durée limitée, les risques résiduels d'un système avant sa mise en service. Le dossier qui la soutient rassemble le périmètre, l'analyse de risque, la politique et les mesures de sécurité, les résultats d'audit ou de tests, et le plan d'action sur les écarts. L'ANSSI publie une démarche d'homologation en neuf étapes et recommande EBIOS RM pour conduire l'analyse de risque. Le point sensible reste la traçabilité : l'autorité signe des risques résiduels, elle doit pouvoir voir d'où ils sortent.

La reprise commence par un atelier de cadrage qui inventorie l'existant : valeurs métier, biens supports, échelles de gravité et de vraisemblance, scénarios déjà validés, plan de traitement en cours. Vos échelles se paramètrent dans Vailor telles qu'elles sont, et les documents disponibles (tableurs, comptes rendus d'atelier, notes de synthèse) servent de matière à l'IA pour préremplir l'analyse plutôt que de tout ressaisir. Un point de vigilance : réécrire les échelles pendant la reprise rend les niveaux de risque historiques incomparables. Mieux vaut les reprendre telles quelles, puis les faire évoluer à l'itération suivante.

L'homologation couvre un périmètre et une durée, elle ne clôt pas le sujet. Il faut tenir le plan d'action attaché à la décision, suivre les écarts acceptés et leurs échéances, et réexaminer le dossier dès que le système change d'architecture, d'hébergeur ou de périmètre, sans attendre l'échéance. Cela suppose que chaque risque résiduel accepté reste rattaché au scénario qui l'a produit et à la mesure censée le réduire. Vailor conserve ce rattachement, ce qui rend le réexamen incrémental au lieu d'une reprise complète.