Vailor : l'alternative GRC IA souveraine à RiskHunter

Elle ne se limite pas à une liste de menaces. Une cartographie exploitable relie quatre éléments : les valeurs métier et les actifs qui les supportent, les scénarios de risque qui les visent, une évaluation de vraisemblance et d’impact sur des échelles définies à l’avance, et un propriétaire nommé pour chaque risque. Sans ce dernier point, la cartographie reste un document ; avec lui, elle devient un outil de décision. La restitution visuelle, matrice ou heatmap, vient à la fin : c’est une vue, pas une méthode.

Le niveau de risque brut ne suffit pas à ordonner un plan. Trois critères se combinent : la gravité pour les missions de l’organisation, le coût et l’effort de la mesure envisagée, et le caractère obligatoire de certaines exigences réglementaires ou contractuelles. Vient ensuite l’arbitrage entre les options de traitement décrites par l’ISO/IEC 27005 : réduire, partager, éviter ou accepter le risque. Prioriser, c’est aussi assumer ce que l’on ne traitera pas cette année, et l’écrire noir sur blanc.

Pas l’équipe sécurité seule. L’ISO/IEC 27001 attend que le propriétaire du risque approuve le plan de traitement et accepte formellement les risques résiduels : la décision revient à celui qui porte l’activité concernée. En pratique, cela suppose des critères d’acceptation définis avant l’analyse, une trace horodatée de qui a accepté quoi et sur quelle base, puis un réexamen à date fixée. C’est ce dossier qui rend la démarche défendable devant un auditeur ou un comité des risques.

Vailor prend en charge nativement EBIOS RM : le cadrage des valeurs métier, les sources de risque, les scénarios stratégiques puis opérationnels, jusqu’au plan de traitement. L’IA lit les documents du projet et préremplit les champs en citant les extraits sur lesquels elle s’appuie ; vos équipes valident, corrigent ou écartent. Les mesures retenues rejoignent le plan d’action avec leur effort, leur coût et leur priorité, et le registre des risques reste relié à ce plan plutôt que figé dans un livrable.

Un rythme annuel fixe suit rarement les changements réels. La pratique utile combine une revue périodique et des mises à jour déclenchées par les événements : mise en service d’une application, recours à un nouveau prestataire, incident significatif, évolution réglementaire, refonte d’architecture. Chacun de ces faits peut créer un scénario, déplacer une vraisemblance ou périmer une mesure. La vraie question n’est pas la date de la dernière revue, mais quels risques n’ont pas été réexaminés depuis trop longtemps.

Oui, et cela commence par un inventaire : le registre des risques, les échelles utilisées, les mesures en cours et les décisions d’acceptation déjà prises. Vos échelles et matrices se paramètrent dans Vailor telles qu’elles sont, pour que l’historique reste comparable aux nouvelles évaluations. La plupart des équipes démarrent sur un périmètre restreint, le temps de vérifier que les niveaux obtenus se comportent comme prévu, avant d’étendre. Vailor se déploie en SaaS ou dans votre infrastructure, et vos données sont hébergées en France par défaut.