Vailor Control Framework : un contrôle, plusieurs référentiels

Le Vailor Control Framework (VCF) est le socle de contrôles de la plateforme Vailor. C'est un catalogue bilingue de 232 contrôles de sécurité (227 actifs) répartis en 19 domaines, accompagné de 217 preuves et de 400 actions types. Chaque contrôle est relié aux exigences des référentiels intégrés, ce qui permet de savoir, pour une exigence donnée, quels contrôles y répondent et quelles preuves produire. La version en vigueur est la 24.15.

Quatre référentiels sont intégrés, découpés en exigences : le NIST CSF 2.0 (106 exigences), le guide d'hygiène informatique de l'ANSSI (42 mesures, 132 exigences), le Référentiel Cyber France (ReCyF) v2.5 de l'ANSSI, document de travail lié à la transposition française de NIS2, encore en cours (152 exigences), et DORA, soit le règlement (UE) 2022/2554 et huit de ses actes de niveau 2 (431 exigences). Cela fait 821 exigences reliées aux contrôles par 2 140 correspondances. ISO/IEC 27001, la LPM et l'AI Act sont sur la feuille de route.

Chaque correspondance porte trois informations. Un type de relation dit comment le contrôle et l'exigence se recouvrent : équivalente, incluse dans le contrôle, plus large que le contrôle ou recoupement partiel. Une force indique le poids du lien. Une justification, rédigée en français et en anglais, explique ce que le contrôle porte de l'exigence et, souvent, ce qu'il ne porte pas. Un auditeur ou un RSSI peut ainsi relire chaque lien au lieu de devoir faire confiance à une table de correspondance muette.

Parce que toutes les exigences d'un texte ne prescrivent pas un dispositif. Sur les 821 exigences intégrées, 16 ne sont reliées à aucun contrôle : 15 dans DORA et 1 dans le ReCyF. Chacune porte un motif écrit. Exemples : l'article 4 de DORA est une règle d'interprétation (la proportionnalité) qui se vérifie dans le calibrage des autres contrôles ; une mesure du ReCyF énonce une dispense d'authentification pour l'information diffusée au public. Les autres relèvent surtout du champ d'application ou d'une obligation déjà portée par une autre exigence du même texte ; quelques-unes sont un chapeau, un renvoi interne ou une simple règle de remplissage de modèles.

C'est une question de granularité et de périmètre. Le Secure Controls Framework est un projet ouvert qui vise une couverture mondiale très large, avec un grand nombre de contrôles et de textes. Le VCF a une granularité volontairement intermédiaire : plus fine qu'une liste de thèmes, sans viser cette exhaustivité. Il est orienté Europe et France (NIS2 via le ReCyF, DORA, ANSSI), avec le NIST CSF 2.0 comme pont international.

Non. Un catalogue de contrôles ne rend personne conforme : la conformité dépend de ce que l'organisation met réellement en œuvre, et c'est l'autorité compétente ou l'auditeur qui l'apprécie. Le VCF sert à structurer ce travail. Il montre quels contrôles répondent à quelles exigences, quelles preuves les démontrent et quelles actions types les mettent en place. Il évite aussi de traiter chaque texte séparément quand plusieurs demandent la même chose.

Oui. ISO/IEC 27001, la loi de programmation militaire (LPM) et l'AI Act sont prévus. Au-delà de cette feuille de route, l'équipe Vailor peut ajouter d'autres référentiels en étendant le VCF. Leurs exigences sont alors reliées aux mêmes contrôles, avec la même méthode : type de relation, force, justification bilingue, et un motif écrit pour toute exigence laissée sans contrôle. Une politique de sécurité interne (PSSI) n'est pas suivie comme référentiel : elle se dépose comme document, et l'IA s'en sert comme source.