Conformité et GRC

À quoi sert ce rayon

Des logiciels qui suivent les obligations de sécurité et de confidentialité : les contrôles que vous affirmez appliquer, les preuves qu’ils fonctionnent, les politiques que les gens doivent lire, et les questionnaires que les clients envoient avant de signer.

Les acheteurs arrivent ici pour l’une de deux raisons. Un contrat est bloqué faute de certificat, ou un régulateur s’est intéressé à vous. La première est courante et s’accompagne d’une échéance, ce qui explique que cette catégorie vende autant sur la rapidité.

Les outils qui appliquent réellement les accès et les secrets se trouvent dans sécurité. La signature de contrats et les circuits de validation relèvent de signature électronique et contrats.

Ce que font vraiment ces produits

Personne ici ne délivre de certificat. Le logiciel collecte des preuves, les rattache à un référentiel et les tient à jour entre deux audits. Un auditeur accrédité examine toujours votre pratique et forme son opinion.

Comprendre cette frontière évite la déception coûteuse de cette catégorie. Une plateforme peut supprimer des mois de captures d’écran à rassembler. Elle ne peut pas raccourcir la période pendant laquelle un auditeur doit voir vos contrôles fonctionner, et elle ne peut pas réussir un audit à la place d’une entreprise qui ne fait pas ce qu’elle prétend.

Le travail se découpe en quatre parties : rédiger les politiques, mettre en œuvre les contrôles, prouver qu’ils fonctionnent, et répondre aux questions sur les trois. Les produits diffèrent par la part qu’ils couvrent de chacune.

Les référentiels, et leur part de recoupement

Partez des référentiels que vos clients demandent réellement, pas de la liste la plus longue d’un site.

• Attestations de sécurité demandées dans les ventes aux grandes entreprises, avec une période d’observation avant que le rapport existe.
• Normes certifiables avec un cycle d’audit formel et des visites de surveillance entre deux.
• Réglementation sur la vie privée, où les obligations sont juridiques plutôt que certifiées.
• Règles sectorielles pour la santé, les données de cartes de paiement, le secteur public ou la finance, qui l’emportent sur les conseils généraux.
• Questionnaires clients, non standardisés, interminables, et la raison d’être des bibliothèques de réponses.

La plupart des contrôles se répètent d’un référentiel à l’autre. Les bonnes plateformes rattachent une même preuve à chaque référentiel qu’elle satisfait, ce qui rend la deuxième norme bien moins chère que la première. Vérifiez cette correspondance pour votre combinaison précise.

La surveillance continue est la partie qui vaut son prix

Des preuves rassemblées une fois par an sont une photographie. Les contrôles dérivent dès le lendemain de la prise de vue.

Connectez la plateforme à votre fournisseur d’identité, à vos comptes cloud, à vos dépôts de code et à vos outils de postes de travail, et elle peut vérifier en continu que les revues d’accès ont eu lieu, que les machines sont chiffrées, que les partants ont été retirés et que les changements en production ont été relus.

Posez trois questions à ce sujet. Quelles intégrations existent pour les systèmes que vous exploitez vraiment. Que se passe-t-il quand une vérification échoue, car une alerte dont personne n’est responsable est une décoration. Et si les constats peuvent être attribués, suivis et clos dans l’outil plutôt que recopiés dans un tableur.

Personnes, politiques et formation

Des politiques que personne ne lit sont un constat en attente.

Cherchez la diffusion avec accusé de lecture, un versionnement qui résiste à un auditeur demandant ce que disait la politique en mars, et des rappels qui vont à la personne plutôt qu’à une boîte partagée. La formation à la sensibilisation à la sécurité est incluse chez certains éditeurs et vendue à part chez d’autres, et la version incluse suffit souvent.

Les listes de contrôle d’arrivée et de départ lient l’ensemble, car les accès laissés en place après le départ de quelqu’un sont le constat le plus fréquent d’un premier audit.

Ce que l’année coûte vraiment

L’abonnement à la plateforme n’est qu’une ligne sur trois. L’auditeur en est une deuxième, souvent plus grosse. Les tests d’intrusion, si le référentiel ou un client les attend, en sont une troisième.

La tarification de la plateforme évolue généralement avec le nombre de salariés, de référentiels et de systèmes connectés, la collecte automatisée de preuves étant parfois rangée au-dessus de la formule d’entrée. Demandez le chiffre complet de la première année, frais d’intégration compris, puis ce à quoi ressemble le renouvellement une fois la mise en place terminée. Les habitudes derrière ces chiffres sont décortiquées dans ce que cachent les pages de tarifs.

Ordonner une première certification

L’ordre des tâches compte plus que la plateforme, car l’essentiel du retard vient de ce que le logiciel ne peut pas accélérer.

Commencez par le périmètre. Les systèmes, les sites et les parties de l’entreprise couverts déterminent la quantité de preuves à collecter, et un périmètre trop large est le coût le plus souvent infligé à soi-même.

Corrigez ensuite les contrôles qui échoueront à coup sûr : revues d’accès que personne ne mène, partants dont le compte est resté actif, machines non chiffrées, et politiques écrites il y a des années et jamais lues. Cela prend des semaines et aucun outil ne peut le raccourcir.

Faites intervenir la plateforme une fois ces chantiers lancés, afin qu’elle collecte des preuves de pratiques qui existent déjà plutôt que de documenter leur absence.

Réservez l’auditeur tôt. C’est souvent la disponibilité, et non la préparation, qui fixe la date.