Vailor : l'alternative GRC IA souveraine à ServiceNow

Chaque objet doit avoir une seule source de vérité. Votre ITSM reste maître des tickets, des changements et de l'exploitation ; la plateforme GRC reste maîtresse des risques, des mesures, des preuves et des échéances. Le lien se fait par identifiant : une action de traitement pointe vers la demande qui l'exécute, et son avancement remonte sans ressaisie. Ces correspondances s'établissent par identifiant ou par API, plutôt qu'en recopiant des données qui vieilliraient aussitôt. La règle pratique : ce qui se pilote au quotidien reste du côté de l'exploitation, ce qui se démontre à un auditeur reste du côté de la GRC.

Non. La méthode EBIOS RM part des missions et des valeurs métier de l'objet de l'étude, puis rattache à chacune les biens supports qui la portent. Vous ne décrivez donc que la part du système d'information qui soutient le périmètre étudié, ce qui reste atteignable même quand le parc complet n'est pas cartographié. Attendre un inventaire exhaustif avant toute analyse a d'ailleurs un défaut : il est daté avant d'être utile. Dans Vailor, le périmètre s'étoffe à mesure que de nouvelles études sont menées, et l'IA préremplit chaque analyse à partir des documents du projet plutôt que d'attendre un référentiel parfait.

Le grain utile est celui auquel une décision de sécurité se prend. Un service applicatif, une base de données, un flux d'échange ou un poste d'administration se traitent dans une analyse ; une ligne de configuration matérielle, rarement. Reprendre l'inventaire technique au complet alourdit la maintenance sans améliorer les décisions. Conservez en revanche l'identifiant d'origine de chaque élément importé : c'est lui qui permet de retrouver la fiche complète dans le référentiel qui en est maître, et de réconcilier les deux côtés lors des mises à jour suivantes.

En choisissant un premier périmètre qui produit vite une preuve utile : une obligation réglementaire à échéance proche, un périmètre certifié à maintenir, ou les applications qui soutiennent une activité critique. Vous y menez le cycle complet, de l'identification des risques au suivi du plan de traitement, avant d'élargir. Cette première boucle fixe les conventions de nommage, les rôles et le grain d'analyse que les vagues suivantes reprendront. Dans Vailor, chaque nouvelle entité hérite des paramètres du groupe (échelles, matrices, sources de risque) ou garde les siens, ce qui compte quand les vagues se comptent en dizaines de périmètres.

Tout ne se reprend pas, et dans un grand SI la reprise suit les vagues de déploiement plutôt qu'un basculement unique. Ce qui a une valeur de preuve se migre : le registre des risques avec ses niveaux et ses décisions de traitement, la couverture des mesures par référentiel, les plans d'action avec leur responsable et leur échéance, et les preuves déjà collectées avec leur date. Le reste peut rester archivé là où il se trouve. La reprise passe par des exports structurés ou par API, avec une période où le premier périmètre est tenu des deux côtés jusqu'à ce que les écarts soient expliqués. Vailor accompagne cette reprise.

Dans un grand système d'information, l'essentiel des informations dont la GRC a besoin est détenu ailleurs : propriétaires d'applications, responsables d'exploitation, achats, métiers, audit interne. Un déploiement qui ne prévoit des comptes que pour l'équipe sécurité transforme celle-ci en centre de saisie. Il faut donc des rôles distincts, un accès limité au périmètre de chacun et des sollicitations courtes et datées. Dans Vailor, des droits fins et des rôles sur mesure limitent chacun à son périmètre, et en pré-analyse le métier répond à des questions simples plutôt qu'à un questionnaire d'expert.