Vailor : l'alternative GRC IA souveraine à Mitratech

Parce que ces trois chantiers décrivent souvent le même fournisseur sans jamais se parler : un questionnaire de sécurité côté achats, une exigence à couvrir côté conformité, un scénario de menace côté risque. Tant que ces objets restent séparés, la réponse d'un tiers ne met à jour ni la couverture réglementaire ni le niveau de risque, et personne ne sait quelle décision en découle. Reliés, ils forment une chaîne unique : le tiers porte une criticité, cette criticité alimente un scénario, le scénario justifie une mesure, et la mesure produit la preuve attendue par l'auditeur.

Une évaluation ne vaut que si elle change quelque chose. Chaque écart relevé doit se rattacher à ce que le tiers rend possible : un accès au système d'information, des données qui lui sont confiées, une dépendance opérationnelle. C'est ce rattachement qui transforme une réponse déclarative en scénario de risque évalué, puis en plan de traitement doté d'un responsable et d'une échéance. Dans Vailor, le registre des tiers est déjà relié à votre organisation et à vos actifs. L'analyse des questionnaires par l'IA est prévue.

Pas sur le montant du contrat. Ce qui compte, c'est ce que le tiers rend possible : les valeurs métier qu'il soutient, les données qui lui sont confiées, la profondeur de son accès et la facilité avec laquelle vous pourriez vous en passer. La méthode EBIOS RM formalise cette lecture à son atelier 3, qui évalue les parties prenantes de l'écosystème selon leur dépendance, leur pénétration, leur maturité cyber et le niveau de confiance accordé. Dans Vailor, cet atelier fait partie de l'analyse EBIOS RM, et le registre des tiers montre quels actifs reposent sur quels fournisseurs.

Oui, et c'est ce qui rend l'exercice soutenable. La directive NIS2 demande des mesures sur la sécurité de la chaîne d'approvisionnement, l'ISO/IEC 27001 traite les relations avec les fournisseurs dans les mesures de son annexe A, et le RGPD impose un contrat encadrant chaque sous-traitant qui traite des données personnelles pour votre compte. Le fournisseur est le même, les questions se recoupent largement, seule la formulation attendue diffère. L'enjeu est donc de rattacher une preuve unique à toutes les exigences qu'elle couvre, plutôt que de solliciter trois fois le même tiers.

En traitant l'évaluation comme un état, pas comme un livrable annuel. Un tiers évolue : nouveau sous-traitant, certificat arrivé à échéance, incident rendu public, contrat renégocié. Il faut donc savoir en permanence quelle évaluation a vieilli, quelle exigence n'est plus couverte et quel scénario de risque doit être rejoué, sans tout reprendre à zéro. Aujourd'hui, Vailor relie chaque tiers à votre organisation et à vos actifs, et une preuve de conformité collectée une fois sert à chaque référentiel qui la demande. Le suivi de la posture fournisseur et le scoring en temps réel sont prévus.

La reprise commence par l'inventaire : liste des tiers, criticité retenue, responsable du contrat, date de dernière évaluation, clauses et documents associés. Ces éléments se reprennent tels quels. Ce qui se reconstruit, ce sont les liens : quelle exigence chaque tiers touche, quel scénario de risque il alimente, quelle preuve reste valable et laquelle doit être redemandée. Nos équipes cadrent ce périmètre avec vous et recommandent de démarrer par les tiers critiques, puis d'étendre au reste du parc une fois le premier cycle bouclé.