La pré-analyse sécurité par IA, lancée par vos équipes métier

C'est le questionnaire court rempli par l'équipe qui porte un projet, avant toute validation sécurité. Il décrit l'usage prévu, les données manipulées, les personnes qui y accéderont, l'hébergement et les interconnexions. Son objectif n'est pas de statuer sur le risque, mais de rassembler assez d'éléments pour décider de la suite : projet à faible enjeu qui passe en revue simplifiée, ou projet qui justifie une analyse de risque complète. C'est un outil de tri, pas une décision de mise en production.

Le plus tôt possible : dès que le besoin métier est formulé, et avant que la solution ne soit choisie ou le contrat signé. Passé ce point, chaque exigence de sécurité devient une demande de modification : chiffrement à rajouter, localisation des données à renégocier, journalisation absente du produit retenu. Une pré-analyse lancée en phase d'idée coûte quelques dizaines de minutes au métier ; la même question posée après la mise en service peut remettre en cause l'architecture.

Le métier, avec la sécurité en relecture. C'est le porteur du projet qui sait quelles données seront traitées, qui y accédera et pour quel usage : ces informations ne sont pas dans le système d'information, elles sont chez lui. Faire remplir le questionnaire par le RSSI revient à lui demander de deviner, puis à corriger ensuite. La qualification du risque et l'arbitrage, en revanche, restent du ressort de l'équipe sécurité, qui reprend le dossier une fois les réponses collectées.

Aucun texte ne prescrit de questionnaire de pré-analyse en tant que tel, et aucune certification ne porte dessus. Plusieurs obligations le rendent pourtant difficile à éviter, chacune dans son périmètre : l'ISO/IEC 27001:2022 attend, dans son annexe A, que la sécurité de l'information soit intégrée à la gestion de projet ; le RGPD impose une analyse d'impact avant tout traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes ; NIS2 demande aux entités qui relèvent de son champ de maîtriser le risque lié à leurs fournisseurs. La pré-analyse sert à savoir lequel de ces cas s'applique.

La pré-analyse répond à une question binaire : ce projet mérite-t-il un examen approfondi, et de quelle ampleur ? L'analyse de risque vient ensuite, en EBIOS Risk Manager ou en analyse flash : elle cadre le périmètre, identifie les valeurs métier et les biens supports, construit des scénarios de risque, puis décide de leur traitement. Dans Vailor, les réponses de la pré-analyse alimentent directement ce cadrage initial, qui correspond au premier atelier d'EBIOS RM. L'une trie les projets, l'autre justifie les décisions.

C'est l'un des usages les plus utiles du questionnaire. Quelques questions suffisent à repérer les critères qui orientent vers une analyse d'impact relative à la protection des données : données sensibles, surveillance systématique, évaluation ou profilage, personnes vulnérables, croisement de fichiers, usage à grande échelle. Un traitement qui en cumule plusieurs appelle une AIPD. La CNIL publie par ailleurs la liste des traitements pour lesquels elle est obligatoire et celle des traitements qui en sont dispensés : situer le projet dès le départ évite de découvrir l'obligation pendant un contrôle. Dans Vailor, la pré-analyse signale ces obligations, RGPD comme AI Act.

Parce qu'un formulaire statique pose les mêmes questions à tout le monde : le métier décroche devant des champs sans rapport avec son projet, et la sécurité récupère des réponses partielles qu'elle relance une par une. Un tableur, lui, ne conserve ni l'historique des réponses ni le lien entre le questionnaire, le projet et l'analyse de risque qui en découle. Un outil dédié maintient ce fil, trace qui a répondu quoi et à quelle date, et signale les dossiers en attente. Sur Vailor, la pré-analyse, la qualification par la sécurité et l'analyse de risque vivent dans la même plateforme, et l'IA préremplit à partir des documents du projet.