Glossaire GRC IA : Toutes les Définitions
Les termes de la GRC IA, de la cybersécurité et de l'intelligence artificielle, expliqués simplement. Un lexique pour parler le même langage en gouvernance, risque et conformité.
GRC IA (Gouvernance, Risque, Conformité par IA)
La GRC IA désigne l'utilisation de l'intelligence artificielle pour accélérer les processus de gouvernance, de gestion des risques et de conformité réglementaire. Dans une plateforme GRC IA comme Vailor, l'IA (LLM, RAG) lit vos documents et préremplit les analyses à partir d'extraits cités, puis vos experts valident chaque proposition.
Cyber GRC (GRC Cybersécurité)
Le Cyber GRC est l'application des principes de Gouvernance, Risque et Conformité spécifiquement au domaine de la cybersécurité. Il englobe la gestion des risques cyber, la conformité aux normes de sécurité (ISO 27001, ANSSI, NIS2), et la gouvernance de la sécurité informatique.
Gouvernance
La gouvernance désigne l'ensemble des processus, règles et pratiques par lesquels une organisation est dirigée et contrôlée. En GRC, la gouvernance inclut la définition des politiques, la supervision des risques, et l'assurance de la conformité réglementaire.
Conformité (Compliance)
La conformité désigne le respect des lois, réglementations, normes et politiques internes applicables à une organisation. En cybersécurité, cela inclut la conformité au RGPD, NIS2, ISO 27001, et autres référentiels de sécurité.
Analyse de risque
L'analyse de risque est le processus d'identification, d'évaluation et de priorisation des risques auxquels une organisation est exposée. En cybersécurité, elle inclut l'identification des menaces, des vulnérabilités, et l'évaluation de l'impact potentiel sur les actifs informationnels.
EBIOS RM (Expression des Besoins et Identification des Objectifs de Sécurité - Risk Manager)
EBIOS RM est la méthode d'analyse de risque de référence publiée par l'ANSSI (Agence nationale de la sécurité des systèmes d'information). Elle structure l'analyse en 5 ateliers : cadrage et socle de sécurité, sources de risque, scénarios stratégiques, scénarios opérationnels, et traitement du risque.
Valeur métier
Dans EBIOS RM, une valeur métier est une composante importante pour l'organisation dans l'accomplissement de sa mission : un service, une fonction support, une étape de projet, une information ou un savoir-faire. On l'identifie dès l'atelier 1, avec son responsable, puis on lui associe des événements redoutés (atteinte à la disponibilité, à l'intégrité ou à la confidentialité) dont on évalue la gravité. Les valeurs métier ne sont pas des éléments techniques : elles reposent sur des biens supports. Bien les choisir conditionne toute la suite de l'analyse, car elles fixent ce que l'on cherche réellement à protéger.
Bien support
Un bien support est une composante du système d'information sur laquelle reposent une ou plusieurs valeurs métier. Dans EBIOS RM, il peut être numérique (serveur, application, réseau, service cloud), physique (locaux, équipements) ou organisationnel (équipe, prestataire, processus). Les biens supports sont recensés à l'atelier 1 et deviennent la cible des modes opératoires décrits dans les scénarios opérationnels de l'atelier 4. C'est sur eux que portent la plupart des mesures de sécurité. Un inventaire à jour des biens supports, relié aux valeurs métier, permet de savoir quelle activité est exposée quand un composant technique est vulnérable.
Source de risque et objectif visé (SR/OV)
Une source de risque est une personne, un groupe ou une organisation susceptible de porter atteinte à l'organisation : État, cybercriminel, activiste, concurrent, employé malveillant. L'objectif visé est la finalité qu'elle poursuit : gain financier, espionnage, sabotage, atteinte à l'image. Dans l'atelier 2 d'EBIOS RM, on forme des couples SR/OV, on les évalue notamment selon la motivation et les ressources de la source, puis on retient les plus pertinents. Ces couples alimentent les scénarios stratégiques de l'atelier 3. Cette étape oriente l'analyse vers des menaces plausibles pour votre contexte plutôt que vers une liste générique.
Scénario stratégique
Un scénario stratégique décrit, à haut niveau, le chemin qu'une source de risque peut emprunter pour atteindre son objectif. Il est construit dans l'atelier 3 d'EBIOS RM à partir des couples source de risque et objectif visé retenus. Il peut passer par l'écosystème : un fournisseur, un prestataire, un partenaire ou un client utilisé comme point d'entrée. L'atelier 3 cartographie donc les parties prenantes et leur niveau de menace, puis évalue la gravité de chaque scénario au regard des événements redoutés. On y décide aussi de premières mesures sur l'écosystème, avant de détailler les modes opératoires dans les scénarios opérationnels.
Scénario opérationnel
Un scénario opérationnel détaille le mode opératoire technique d'un scénario stratégique : quels biens supports sont visés et par quelles actions élémentaires l'attaquant progresse. Le guide EBIOS RM propose de les enchaîner en quatre phases : connaître, rentrer, trouver, exploiter. Ces scénarios sont élaborés dans l'atelier 4, souvent en s'appuyant sur des bases de connaissance comme MITRE ATT&CK. On évalue ensuite leur vraisemblance, qui, combinée à la gravité du scénario stratégique associé, donne le niveau de risque. Le niveau de détail dépend de l'enjeu : un scénario opérationnel reste un outil de décision, pas un inventaire exhaustif des techniques d'attaque.
Risque résiduel
Le risque résiduel est le risque qui subsiste après l'application des mesures de traitement. Aucune mesure ne ramène un risque à zéro : il faut donc l'estimer, le documenter et le faire accepter formellement par la direction ou le propriétaire du risque. Dans EBIOS RM, l'atelier 5 évalue les risques résiduels une fois la stratégie de traitement définie et les présente dans une cartographie finale. Dans le secteur public, cette acceptation s'inscrit dans la démarche d'homologation de sécurité. Un risque résiduel doit être revu dans le temps, car la menace, le périmètre et l'efficacité des mesures évoluent.
Plan de traitement du risque (plan d'action)
Le plan de traitement du risque regroupe les décisions prises pour chaque risque : le réduire, le partager, l'éviter ou l'accepter. Il se traduit en plan d'action : des mesures concrètes, un responsable, une échéance, un coût et une priorité. Dans EBIOS RM, il prend la forme du plan d'amélioration continue de la sécurité (PACS), établi à l'atelier 5. Un bon plan relie chaque mesure aux risques qu'elle couvre, ce qui permet de justifier les budgets et de suivre la baisse du risque. Dans Vailor, le registre des risques est relié aux mesures du plan d'action, avec effort en jours-homme, coût et priorité de P1 à P4.
SMSI (Système de Management de la Sécurité de l'Information)
Un SMSI est l'ensemble des politiques, processus, rôles et outils par lesquels une organisation pilote la sécurité de l'information dans la durée. La norme ISO/IEC 27001 en fixe les exigences : définition du périmètre, appréciation et traitement des risques, choix des mesures de sécurité, déclaration d'applicabilité, audits internes, revue de direction et amélioration continue. Un SMSI peut être certifié par un organisme accrédité. Son intérêt dépasse la certification : il donne un cadre stable pour décider, mesurer et corriger. L'analyse de risque en est le moteur, puisque c'est elle qui justifie les mesures retenues.
PSSI (Politique de Sécurité des Systèmes d'Information)
La PSSI est le document de référence qui fixe les objectifs, les principes et les règles de sécurité de l'information d'une organisation. Validée par la direction, elle couvre par exemple la gestion des accès, la classification des informations, la sécurité des postes, la sauvegarde, la gestion des incidents et les responsabilités de chacun. Elle se décline ensuite en procédures et en exigences opérationnelles. Une PSSI n'a de valeur que si son application est vérifiée : ses règles doivent être traduites en contrôles mesurables. Dans Vailor, la PSSI du client peut être déposée comme document source des analyses ; elle n'est pas suivie comme référentiel de conformité.
Contrôle de sécurité
Un contrôle de sécurité est une mesure technique, organisationnelle ou physique destinée à réduire un risque ou à satisfaire une exigence : authentification multifacteur, revue des droits d'accès, sauvegarde testée, sensibilisation du personnel. Chaque référentiel (NIS2, DORA, NIST CSF, PSSI interne) formule ses propres exigences, mais beaucoup se recoupent. D'où l'intérêt d'un référentiel de contrôles unifié, qui décrit chaque contrôle une seule fois et le relie à toutes les exigences qu'il couvre. C'est le principe du Vailor Control Framework (VCF) : un contrôle maintenu une fois, relié à chaque référentiel qui le demande.
Preuve de conformité
Une preuve de conformité est un élément vérifiable qui démontre qu'un contrôle est réellement en place et fonctionne : extrait de configuration, rapport de scan, procès-verbal de revue des accès, attestation de formation, contrat signé. Un auditeur ou un régulateur juge sur preuves, pas sur déclarations. Une bonne preuve est datée, rattachée à un contrôle précis, conservée avec son historique et renouvelée à la bonne fréquence. Quand plusieurs référentiels demandent la même chose, collecter la même preuve plusieurs fois coûte cher. Dans Vailor, une preuve est collectée une fois et réutilisée pour chaque référentiel concerné, via le contrôle auquel elle est rattachée.
Conformité continue
La conformité continue consiste à vérifier l'état des contrôles de façon régulière, voire automatisée, plutôt qu'une fois par an à l'approche d'un audit. Elle s'appuie sur des indicateurs reliés aux contrôles, des preuves renouvelées à une fréquence définie et, lorsque c'est possible, sur des vérifications techniques connectées aux systèmes. L'approche « compliance as code » va plus loin en exprimant certaines exigences sous forme de règles vérifiables par des outils. L'objectif est de détecter un écart au moment où il apparaît, et non des mois plus tard. Elle suppose un référentiel de contrôles stable et un responsable clairement désigné pour chaque contrôle.
NIS2 (directive européenne sur la cybersécurité)
NIS2 est la directive (UE) 2022/2555, qui renforce le niveau commun de cybersécurité dans l'Union européenne et remplace la directive NIS de 2016. Elle élargit fortement le périmètre : des entités essentielles et importantes dans 18 secteurs, dont l'énergie, la santé, les transports, le numérique et une partie de l'industrie. Son article 21 impose des mesures de gestion des risques, parmi lesquelles l'analyse des risques, la gestion des incidents, la continuité d'activité et la sécurité de la chaîne d'approvisionnement. L'article 23 encadre la notification des incidents importants. Les organes de direction doivent approuver ces mesures et en répondent.
DORA (Digital Operational Resilience Act)
DORA est le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, applicable depuis le 17 janvier 2025. Il concerne les banques, les assurances, les entreprises d'investissement, les prestataires de services de paiement et de nombreux autres acteurs financiers. Il s'organise autour de cinq piliers : gestion du risque lié aux TIC, gestion et notification des incidents, tests de résilience opérationnelle numérique, gestion du risque lié aux prestataires tiers de TIC et partage d'informations sur les menaces. Il crée aussi un cadre de surveillance européen des prestataires TIC critiques. Étant un règlement, il s'applique directement, sans transposition nationale.
Gestion des tiers (TPRM)
La gestion des tiers, ou TPRM (Third-Party Risk Management), consiste à identifier, évaluer et suivre les risques introduits par les fournisseurs, prestataires et partenaires qui accèdent à vos données ou à vos systèmes. Elle couvre tout le cycle de la relation : recensement et classement des tiers selon leur criticité, évaluation avant contrat, clauses de sécurité, suivi dans la durée et sortie. NIS2 et DORA en font une exigence explicite. Dans Vailor, le registre des tiers relié à l'organisation et aux actifs est disponible ; les questionnaires analysés par l'IA, le volet contractuel et le scoring en temps réel sont prévus.
Risque cyber de la supply chain
Le risque cyber de la supply chain désigne les menaces qui atteignent une organisation par l'intermédiaire de sa chaîne d'approvisionnement : éditeur de logiciel compromis, infogérant dont les accès sont détournés, fournisseur cloud indisponible, composant open source vulnérable. L'attaquant vise le maillon le moins protégé pour rebondir vers sa cible réelle. L'article 21 de la directive NIS2 cite explicitement la sécurité de la chaîne d'approvisionnement parmi les mesures de gestion des risques. Dans EBIOS RM, l'atelier 3 traite ce sujet en cartographiant l'écosystème et les parties prenantes critiques. La réponse passe par la gestion des tiers et par des exigences contractuelles suivies dans la durée.
Plan d'Assurance Sécurité (PAS)
Le Plan d'Assurance Sécurité (PAS) est le document contractuel par lequel un prestataire décrit les mesures de sécurité qu'il s'engage à appliquer pour le service rendu : organisation, gestion des accès, sauvegardes, gestion des incidents, conditions d'audit, réversibilité. Il est généralement annexé au contrat et répond aux exigences de sécurité exprimées par le client. Le guide de l'ANSSI consacré à la maîtrise des risques de l'infogérance en recommande l'usage. Pour le client, le PAS sert de référence pour contrôler le prestataire dans la durée. Il fait partie intégrante d'une démarche de gestion des tiers.
Registre d'information DORA
Le registre d'information est une obligation du règlement DORA (article 28) : chaque entité financière doit tenir à jour, au niveau de l'entité comme aux niveaux sous-consolidé et consolidé, la liste de tous ses accords contractuels portant sur des services TIC fournis par des prestataires tiers. Il précise notamment le prestataire, les services concernés, les fonctions qu'ils soutiennent et leur criticité. Son format est fixé par des normes techniques d'exécution européennes. Les autorités compétentes le collectent, notamment pour identifier les prestataires TIC critiques soumis à une surveillance européenne. C'est la base de la gestion du risque lié aux tiers TIC exigée par DORA.
IA Native
Une architecture IA native signifie qu'un logiciel a été conçu dès le départ avec l'intelligence artificielle au cœur de son fonctionnement, et non ajoutée en surcouche d'un outil existant. Dans une plateforme GRC IA native comme Vailor, l'IA intervient au cœur du parcours d'analyse, et chaque proposition reste soumise à la validation d'un expert.
LLM (Large Language Model)
Un LLM (Grand Modèle de Langage) est un type d'intelligence artificielle entraîné sur de vastes corpus de texte pour comprendre et générer du langage naturel. Les LLM comme GPT, Claude ou Mistral sont utilisés dans les plateformes GRC IA pour automatiser l'analyse de documents et la génération de contenus.
RAG (Retrieval-Augmented Generation)
Le RAG est une technique d'IA qui combine la recherche d'information (retrieval) avec la génération de texte. En GRC IA, le RAG permet à l'IA de baser ses réponses sur les documents et données spécifiques de l'organisation, plutôt que sur ses connaissances générales.
IA Agentique (Agentic AI)
L'IA agentique désigne des systèmes d'intelligence artificielle capables d'enchaîner plusieurs étapes pour accomplir une tâche : planifier, appeler des outils, vérifier un résultat, puis recommencer si besoin. Contrairement à un assistant conversationnel qui répond à une question, un agent agit avec une part d'autonomie. En GRC, cette autonomie doit rester encadrée : une décision de risque ou de conformité engage l'organisation et doit pouvoir être justifiée devant un auditeur ou un régulateur. C'est pourquoi le principe retenu par Vailor est que l'IA propose et que vos experts décident, chaque décision étant tracée.
Souveraineté Numérique
La souveraineté numérique désigne la capacité d'une organisation ou d'un État à maîtriser ses données et systèmes informatiques. En GRC IA, cela implique l'hébergement en France/UE, l'utilisation de modèles IA auditables, et l'indépendance vis-à-vis des fournisseurs extra-européens.
Multi-tenant
Une architecture multi-tenant permet à une même instance logicielle de servir plusieurs clients (tenants) en isolant les données de chacun. C'est le modèle courant du SaaS. Les organisations les plus exigeantes lui préfèrent parfois une instance dédiée ou un déploiement dans leur propre infrastructure.
Explorez la GRC IA avec Vailor
Nos ressources sur la gouvernance, le risque et la conformité assistés par l'intelligence artificielle.
Par métier, et pour aller plus loin
Pages à découvrir
Articles recommandés
Logiciels EBIOS RM labellisés ANSSI : le panorama 2026
Les logiciels EBIOS Risk Manager labellisés par l'ANSSI au 9 octobre 2026, ce que le label garantit, ce qu'il ne garantit pas, et comment le vérifier.
Risque cyber supply chain : maîtriser vos fournisseurs
Risque cyber de la supply chain : ce qu'exigent NIS2, DORA et EBIOS RM, comment cartographier vos tiers critiques et quoi demander à vos fournisseurs.
Analyse de risque cyber : méthode et étapes clés
Mener une analyse de risque cyber : définitions, étapes, échelles et matrice, choix entre EBIOS RM, ISO 27005 ou analyse flash, et suivi dans la durée.
EBIOS RM ou ISO 27005 : quelle méthode choisir ?
EBIOS RM ou ISO 27005 ? L'une est la méthode de l'ANSSI, l'autre une norme de gestion du risque. Différences, cas d'usage et façon de les combiner.
Étude de cas EBIOS RM : les 5 ateliers sur un exemple
Un cas fictif complet pour voir comment s'enchaînent les cinq ateliers EBIOS RM, quels livrables sortent de chacun, et où le travail se bloque en pratique.
Guide complet de la GRC IA en 2026
La GRC IA expliquée : définition, bénéfices réels, mise en œuvre et bonnes pratiques pour outiller la gouvernance, le risque et la conformité avec l'IA.
Comment choisir sa plateforme cyber GRC IA ?
Les critères pour choisir une plateforme cyber GRC IA : architecture, souveraineté, expertise métier, pilote et réversibilité. Le guide d'achat complet.
EBIOS RM accéléré par l'IA : guide pratique
Comment utiliser l'intelligence artificielle pour accélérer vos analyses EBIOS RM, atelier par atelier, sans renoncer à la rigueur de la méthode.
Top 10 des fonctionnalités d'une plateforme GRC IA
Les 10 fonctionnalités à exiger d'une plateforme GRC IA, et comment les vérifier. Une checklist pour évaluer les solutions du marché.
ROI de la GRC IA : cas pratique chiffré et métriques clés
Comment calculer le ROI d'une plateforme GRC IA : méthode, cas pratique chiffré sur des hypothèses explicites et indicateurs à suivre dans la durée.
GRC IA et NIS2 : guide complet de conformité
Comment utiliser une plateforme GRC IA pour atteindre et maintenir la conformité NIS2 : périmètre, exigences, sanctions, signalement et pilotage.
Passez à la GRC IA avec Vailor
Vous avez le vocabulaire. Voyez maintenant comment Vailor l'applique à vos analyses de risque et à votre conformité.