La plateforme et le logiciel cyber GRC IA pour les RSSI

La GRC d'entreprise couvre l'ensemble des risques d'une organisation : financiers, juridiques, opérationnels. La GRC cybersécurité en est une déclinaison centrée sur le système d'information : actifs, menaces, vulnérabilités, mesures de sécurité, avec ses méthodes (EBIOS Risk Manager) et ses référentiels (ISO/IEC 27001, NIS2). Les deux partagent la même mécanique (identifier, évaluer, traiter, suivre), mais ni le même vocabulaire ni les mêmes preuves. Un outil GRC généraliste sait rarement modéliser un scénario d'attaque de bout en bout.

Trois populations. Les entités visées par une réglementation : la directive NIS2 (UE) 2022/2555 pour les entités essentielles et importantes des secteurs listés à ses annexes I et II, le règlement DORA pour le secteur financier. Les organisations engagées dans une certification ISO/IEC 27001. Et celles à qui un client, un donneur d'ordre ou un assureur réclame des preuves de maîtrise du risque. Ces deux derniers cas ne relèvent d'aucune obligation réglementaire, mais le niveau de preuve attendu est comparable.

Pour une première cartographie, oui. Ensuite le tableur atteint vite ses limites : aucun lien vivant entre un actif, un scénario de risque, une mesure et son plan d'action, pas d'historique des décisions, des versions qui circulent par mail, et un travail de consolidation à refaire avant chaque comité ou chaque audit. Le coût réel n'est pas la licence, ce sont les heures passées à reconstituer l'état du risque au lieu de le traiter.

Un inventaire des actifs et des valeurs métier, un registre des risques relié à ces actifs, une bibliothèque de mesures rattachée aux référentiels appliqués, des plans d'action avec un responsable nommé et une échéance, un journal des décisions horodaté et des restitutions lisibles en comité. Si l'un de ces éléments vit ailleurs, dans un fichier ou une boîte mail, la chaîne de preuve casse au moment où l'auditeur demande à la remonter.

Non. Dans Vailor, l'IA prépare le travail : elle propose des sources de risque, des scénarios, des rattachements de mesures et des rédactions, à partir du contexte que vous lui fournissez. La validation reste humaine, et chaque élément retenu conserve la trace de qui l'a accepté ou corrigé. C'est ce qui rend le résultat défendable en audit : un livrable non relu ne prouve rien, quelle que soit la qualité du modèle qui l'a produit.

Oui, à condition de raisonner par mesure et non par référentiel. L'annexe A de l'ISO/IEC 27001 dans sa version 2022 compte 93 mesures. L'article 21 de la directive NIS2 énumère, lui, des mesures minimales de gestion des risques : gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, contrôle d'accès, cryptographie, cyberhygiène. Les recoupements sont larges. Une mesure mise en œuvre une fois peut donc répondre à plusieurs exigences, si l'outil sait porter ces correspondances. C'est le principe du Vailor Control Framework : un contrôle maintenu une fois, relié à chaque référentiel qui le demande.

Par un périmètre étroit et réel : une activité critique, les actifs qui la supportent et les personnes qui la font tourner. On produit une première analyse de risque sur ce périmètre, on en tire quelques mesures prioritaires avec des responsables nommés, puis on élargit. Une cartographie exhaustive construite avant toute décision vieillit plus vite qu'elle ne s'achève. La méthode EBIOS Risk Manager, publiée par l'ANSSI, est conçue pour ce fonctionnement itératif.