# Documentation CISAPP > Guides fonctionnels pour les utilisateurs et administrateurs de CISAPP. Documentation française, fondée sur les fonctionnalités vérifiées. Les conditions d’accès et les fonctions indisponibles sont indiquées dans les articles. --- Source: https://docs.cisapp.eu/ Markdown: https://docs.cisapp.eu/index.md Bienvenue dans le centre d’aide CISAPP. Retrouvez les [premiers pas](https://docs.cisapp.eu/demarrer/bienvenue), les [parcours pratiques](https://docs.cisapp.eu/parcours/integrer-fournisseur), le [dépannage](https://docs.cisapp.eu/aide/depannage) et les [formats pour les assistants IA](https://docs.cisapp.eu/aide/utiliser-avec-ia). Consultez les [questions fréquentes sur les fournisseurs, les risques et la conformité](https://docs.cisapp.eu/aide/questions-frequentes). --- Source: https://docs.cisapp.eu/demarrer/bienvenue Markdown: https://docs.cisapp.eu/demarrer/bienvenue.md # Bienvenue dans CISAPP Comprendre les principaux espaces et choisir votre premier parcours. > **Accès :** membre. CISAPP relie les fournisseurs, les activités métier, les évaluations, les risques et les preuves de conformité. Vous pouvez partir d’un fournisseur pour comprendre son exposition, ou d’une activité pour identifier vos dépendances. ## Avant de commencer Vous devez disposer d’un compte activé et rattaché à votre entreprise. Les menus visibles dépendent de votre offre et de vos droits. Un menu absent ne signifie pas que vos données ont disparu. ## Votre premier parcours 1. [Connectez-vous](https://docs.cisapp.eu/demarrer/connexion) avec l’adresse utilisée pour votre invitation. 2. Vérifiez le nom de votre entreprise dans l’interface. 3. Découvrez les [menus et la recherche](https://docs.cisapp.eu/demarrer/navigation). 4. Consultez le registre **Fournisseurs**, puis ouvrez une fiche à laquelle vous avez accès. 5. Suivez le parcours [Intégrer un fournisseur](https://docs.cisapp.eu/parcours/integrer-fournisseur) si vous devez en ajouter un, ou [Répondre à un questionnaire](https://docs.cisapp.eu/parcours/repondre-questionnaire) si vous êtes répondant. ![Accueil de CISAPP et indicateurs de pilotage](https://docs.cisapp.eu/images/fr/dashboard.webp) *L’Accueil présente les indicateurs disponibles pour votre organisation. Les données illustrées sont fictives. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/dashboard.webp)* ## Comprendre les objets | Objet | À quoi sert-il ? | |---|---| | Activité métier | Décrire ce que votre organisation doit continuer à faire. | | Fournisseur | Identifier un tiers et centraliser ses informations. | | Évaluation | Examiner un périmètre à l’aide de questionnaires. | | Risque | Formaliser un scénario et suivre son traitement. | | Mesure | Décrire une action de maîtrise et son état d’avancement. | | Preuve | Appuyer une réponse ou une mesure par un document. | ## Si votre espace semble vide Commencez par vérifier vos [droits](https://docs.cisapp.eu/organisation/droits), puis la [disponibilité des fonctions](https://docs.cisapp.eu/aide/disponibilite). Le compte d’un répondant externe n’ouvre pas nécessairement les mêmes espaces que celui d’un administrateur. --- Source: https://docs.cisapp.eu/demarrer/connexion Markdown: https://docs.cisapp.eu/demarrer/connexion.md # Se connecter et activer son compte Activer une invitation, utiliser le mot de passe ou le SSO et résoudre un blocage de connexion. > **Accès :** membre. ## Prérequis Utilisez l’adresse exacte à laquelle votre entreprise vous a invité. Pour un premier accès, ouvrez le lien d’activation reçu par email et terminez les étapes affichées : définition du mot de passe, informations personnelles et acceptation des documents proposés. ## Se connecter 1. Ouvrez [l’application CISAPP](https://app.cisapp.eu/login). 2. Saisissez votre adresse email, puis cliquez sur **Continuer**. 3. Utilisez le mode proposé pour votre compte : mot de passe, Google, Microsoft ou authentification de votre entreprise. 4. Si une vérification supplémentaire apparaît, terminez-la avant de quitter l’écran. 5. Vérifiez que vous arrivez dans votre espace CISAPP. ![Première étape de connexion à CISAPP](https://docs.cisapp.eu/images/fr/login.webp) *La première étape identifie votre compte avant de proposer les méthodes de connexion disponibles. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/login.webp)* ## Invitation ou autorisation en attente Un compte peut être activé sans être encore autorisé à rejoindre l’entreprise. Si l’écran indique une autorisation en attente, contactez un administrateur de votre entreprise. Recréer un compte avec une autre adresse ne résout pas cette attente. Si le lien d’invitation a expiré ou a été révoqué, demandez à l’administrateur de le renvoyer depuis **Mon entreprise → Membres**. ## Mot de passe oublié Utilisez la récupération du mot de passe depuis la connexion. Vérifiez les courriers indésirables. Un compte utilisant uniquement le SSO doit suivre le parcours de son fournisseur d’identité. ## Résultat attendu Votre session est ouverte sur la bonne entreprise. Pour régler la langue et l’authentification de votre profil, consultez [Mon profil](https://docs.cisapp.eu/organisation/profil). --- Source: https://docs.cisapp.eu/demarrer/navigation Markdown: https://docs.cisapp.eu/demarrer/navigation.md # Se repérer et rechercher Utiliser les menus, la palette de commandes et les filtres des listes. > **Accès :** membre. ## Les principaux espaces | Espace | Usage | |---|---| | Accueil et Pilotage | Lire les indicateurs et explorer les dépendances. | | Registres | Retrouver activités, fournisseurs, projets, applications, risques, incidents et dérogations. | | Évaluations | Lancer une évaluation et gérer les questionnaires. | | Conformité | Suivre les exigences, mesures et éléments de confiance. | | Plans d’action | Organiser les plans d’action et suivre toutes les actions ou **Mes actions**. | | Fichiers | Centraliser et partager les documents. | | Sécurité opérationnelle | Consulter l’exposition et les actifs surveillés. | | Mon entreprise | Gérer le profil de l’entreprise et les accès. | ## Accéder rapidement à une action 1. Cliquez sur **Rechercher**, ou utilisez **⌘ K** sur Mac et **Ctrl K** sur Windows/Linux. 2. Tapez quelques mots correspondant à un écran ou une action. 3. Parcourez les propositions au clavier puis validez avec Entrée. 4. Fermez la palette avec Échap si vous ne souhaitez rien ouvrir. ![Palette de commandes et raccourcis](https://docs.cisapp.eu/images/fr/command-palette.webp) *La palette propose les destinations et actions autorisées pour votre compte. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/command-palette.webp)* ## Rechercher dans un registre La recherche d’une liste est distincte de la palette. Combinez le champ de recherche avec les filtres disponibles : statut, criticité, tags ou responsable selon le registre. Si la liste est vide, retirez les filtres avant de conclure qu’aucune donnée n’existe. ## Bouton ou menu absent Vérifiez d’abord les droits et le périmètre partagé avec vous. Certains modules sont conditionnés par l’offre ou leur activation. Consultez [Disponibilité des fonctions](https://docs.cisapp.eu/aide/disponibilite). --- Source: https://docs.cisapp.eu/registres/fournisseurs Markdown: https://docs.cisapp.eu/registres/fournisseurs.md # Le registre des fournisseurs Rechercher, filtrer et exporter les fournisseurs de votre entreprise. > **Accès :** membre, création de sous-traitant. Selon les modules activés et votre offre. Le registre centralise les tiers de votre entreprise. Une fiche fournisseur regroupe son identité, sa criticité et les informations accessibles à votre compte. ## Consulter le registre 1. Ouvrez **Registres → Fournisseurs**. 2. Recherchez un nom et appliquez, si nécessaire, les filtres **Statut**, **Niveau de criticité** et **Tags**. 3. Cliquez sur une ligne pour consulter la fiche. 4. Utilisez **Exporter en CSV** pour exploiter la liste dans un autre outil. Vérifiez les filtres et les colonnes souhaitées avant l’export. ![Registre des fournisseurs et filtres](https://docs.cisapp.eu/images/fr/vendors.webp) *Le registre permet de retrouver un tiers avant de consulter son détail. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/vendors.webp)* ## Comprendre la visibilité Vous pouvez voir l’existence d’un fournisseur sans avoir accès à toutes ses informations. Les accès à la fiche et aux objets associés dépendent des droits partagés avec vous ou votre équipe. Les indicateurs en haut du registre résument les fournisseurs visibles et leur engagement dans les évaluations. Un fournisseur jamais évalué n’a pas nécessairement un mauvais niveau de sécurité : il manque une évaluation. ## Ajouter ou retrouver un fournisseur Utilisez **Ajouter un fournisseur** et recherchez d’abord l’entreprise pour éviter les doublons. Consultez [Créer et qualifier un fournisseur](https://docs.cisapp.eu/registres/creer-fournisseur). ## Difficultés courantes - **Aucun résultat** : effacez la recherche et les filtres. - **Fiche inaccessible** : demandez au responsable de partager l’accès. - **Limite atteinte** : consultez le quota indiqué. Un fournisseur rendu inactif reste dans le registre et continue de compter dans le quota de fournisseurs créés. - **Export incomplet** : vérifiez le périmètre visible et les options de l’export. ## Résultat attendu Vous avez retrouvé le bon fournisseur et les informations de sa fiche correspondent au périmètre de travail. --- Source: https://docs.cisapp.eu/registres/creer-fournisseur Markdown: https://docs.cisapp.eu/registres/creer-fournisseur.md # Créer et qualifier un fournisseur Identifier une entreprise, renseigner sa criticité et ajouter ses contacts. > **Accès :** création de sous-traitant. Selon les modules activés et votre offre. ## Prérequis et droits Vous devez disposer du droit de création de sous-traitant ou d’un accès administratif approprié, et d’un quota de fournisseurs disponible. Préparez le nom, le site web et un contact du tiers. ## Identifier l’entreprise 1. Ouvrez **Fournisseurs → Créer un fournisseur**. 2. Recherchez par nom, domaine ou numéro d’identification. 3. Sélectionnez l’entreprise correspondante. Si elle n’existe pas, choisissez **Créer manuellement**. 4. Dans le formulaire, vérifiez le **Nom du fournisseur** et le **Site web**, obligatoires. Complétez les coordonnées utiles. 5. Cliquez sur **Suivant** pour passer à sa qualification. Selon la version affichée, ce bouton peut encore être nommé **Créer** ; la création complète intervient à la fin du parcours. ![Informations d’un fournisseur fictif](https://docs.cisapp.eu/images/fr/vendor-info.webp) *Vérifiez l’identité avant de créer la relation fournisseur. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/vendor-info.webp)* ## Qualifier la criticité Choisissez le mode de qualification proposé. En mode manuel, sélectionnez le niveau correspondant à l’impact de ce fournisseur sur votre activité. Le questionnaire de criticité permet une qualification guidée lorsqu’un questionnaire adapté est disponible. ![Choix de la criticité d’un fournisseur](https://docs.cisapp.eu/images/fr/vendor-criticality.webp) *La criticité décrit l’importance métier du fournisseur ; elle est distincte de son score de sécurité. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/vendor-criticality.webp)* ## Ajouter les contacts et les accès Renseignez les contacts utiles : prénom, nom, email et fonction. Vérifiez chaque adresse avant toute invitation. Si une étape de droits est proposée, attribuez uniquement les accès nécessaires aux personnes et équipes concernées. ## Résultat attendu La fiche est accessible depuis le registre. Vous pouvez vérifier ses informations, la rattacher à vos activités et préparer une [évaluation fournisseur](https://docs.cisapp.eu/evaluations/fournisseur). ## Si la création échoue Vérifiez le format du site web, les champs obligatoires et le quota. Si l’entreprise existe déjà, revenez à la recherche plutôt que de créer une variante de son nom. --- Source: https://docs.cisapp.eu/registres/fiche-fournisseur Markdown: https://docs.cisapp.eu/registres/fiche-fournisseur.md # Exploiter la fiche fournisseur Retrouver les informations, contacts, notes, évaluations et accès d’un fournisseur. > **Accès :** membre. Selon les modules activés et votre offre. ## Ouvrir et vérifier la fiche Depuis **Registres → Fournisseurs**, ouvrez le tiers concerné. Vérifiez son nom et son domaine avant de modifier ses informations. Certaines informations appartiennent à l’entreprise du fournisseur ; leur modification peut dépendre de son statut et des droits de votre compte. ![Fiche d’un fournisseur fictif](https://docs.cisapp.eu/images/fr/vendor-detail.webp) *La fiche rassemble le contexte du tiers et les objets qui lui sont liés. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/vendor-detail.webp)* ## Maintenir les informations utiles - Vérifiez le statut de la relation et la criticité métier. - Complétez les contacts et leur fonction pour identifier le bon répondant. - Utilisez les notes pour conserver le contexte utile à votre organisation. - Consultez les évaluations et les activités associées avant de décider d’une nouvelle action. - Revoyez les accès lors d’un changement de responsable ou d’équipe. ## Documents échangés L’onglet **Documents** rassemble les documents échangés avec le fournisseur : ajoutés à la main, reçus via un questionnaire ou issus d’une certification (la source et le sens **Reçu** / **Envoyé** sont indiqués). - **Ajouter des documents** (ou glisser-déposer les fichiers sur l’onglet) : choisissez une **catégorie** pour chaque document (Contrat, DPA, NDA, Certification, Politique de sécurité, Rapport d’audit, Rapport de pentest, Assurance, PCA / PRA, Preuve de questionnaire, Financier, Autre) ; une catégorie est parfois suggérée d’après le nom du fichier. Pour les catégories concernées (contrat, DPA, NDA, certification…), renseignez **Valable jusqu’au**. - Côté client, **Partager avec le fournisseur** permet au fournisseur de consulter les documents ajoutés. - Une bannière signale les documents **à classer** (**Classer maintenant**) ainsi que les documents expirés ou bientôt à échéance. - Recherchez et filtrez par catégorie ; la liste est limitée aux 1 000 documents les plus récents. - Certains documents sont en **lecture sécurisée** : le téléchargement est alors impossible. ## Données personnelles et sous-traitance Lorsque les options RGPD sont activées, les champs dédiés décrivent le traitement de données personnelles, les rôles du tiers et les informations de sous-traitance. Renseignez-les à partir de votre relation réelle avec le fournisseur. La présence d’un champ rempli ne constitue pas une validation juridique. ## Préparer une réévaluation Ouvrez la précédente évaluation, vérifiez le périmètre et la date, puis lancez une nouvelle évaluation si nécessaire. Consultez le [parcours d’intégration](https://docs.cisapp.eu/parcours/integrer-fournisseur). ## Résultat attendu Un autre membre autorisé peut comprendre qui est le fournisseur, pourquoi il est important et quelles vérifications ont été réalisées. Si un onglet ne se charge pas, vérifiez vos droits sur l’objet associé avant de réessayer. --- Source: https://docs.cisapp.eu/registres/activites Markdown: https://docs.cisapp.eu/registres/activites.md # Décrire les activités métier Créer une activité, qualifier sa criticité et associer ses fournisseurs. > **Accès :** création d’activité. Selon les modules activés et votre offre. Une activité métier décrit un processus que votre organisation souhaite suivre, par exemple « Traitement des commandes ». Elle sert à rattacher les fournisseurs à un besoin métier. ## Prérequis Le droit de création d’activité est nécessaire pour ajouter une activité. Préparez sa description, le responsable et les fournisseurs qui la soutiennent. ## Créer une activité 1. Ouvrez **Registres → Activités métier** et cliquez sur **Créer une activité**. 2. Renseignez le nom et les informations de contexte demandées. 3. Qualifiez sa criticité à l’étape dédiée. 4. Sélectionnez les fournisseurs impliqués. Une relation oubliée ne sera pas visible dans la carte de dépendances. 5. Vérifiez les accès proposés, puis terminez la création. ![Création d’une activité métier](https://docs.cisapp.eu/images/fr/activity-create.webp) *L’assistant commence par identifier le processus métier suivi. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/activity-create.webp)* ## Tenir l’activité à jour Ouvrez sa fiche depuis le registre pour revoir les informations et les relations. Lorsqu’un fournisseur change, mettez aussi à jour les activités qu’il soutient. Vous pouvez utiliser une évaluation de **Criticité d’activité** pour qualifier un périmètre avec un questionnaire. ## Résultat attendu L’activité existe dans le registre et ses dépendances peuvent alimenter le [pilotage](https://docs.cisapp.eu/pilotage/dependances). ## À distinguer L’activité métier et l’activité de traitement RGPD répondent à des besoins différents. Pour décrire les données personnelles traitées, utilisez le [registre RGPD](https://docs.cisapp.eu/conformite/rgpd). --- Source: https://docs.cisapp.eu/registres/applications Markdown: https://docs.cisapp.eu/registres/applications.md # Applications Recenser les applications de l’organisation, internes ou fournies par un éditeur, et suivre leurs dépôts, relations, données personnelles et évaluations. > **Accès :** membre. Le registre dépend de votre offre. La liste n’affiche que les fiches auxquelles vous avez accès ; un administrateur d’entreprise les voit toutes. L’onglet **Données personnelles** dépend du module RGPD et est en **bêta**. Une application est une solution technique de l’organisation (portail client, API de facturation, outil métier…), développée en interne ou fournie par un éditeur. Les anciens projets internes ont été repris comme applications ; les anciens liens y mènent directement. ## Créer une application 1. Ouvrez **Registres → Applications**, puis **Nouvelle application** (ou le raccourci **+** du menu). 2. **Identité** : nom, type (Application web, Application mobile, API / service, Outil métier, Pipeline de données, Script d’automatisation, Connecteur système, Reporting réglementaire, Autre), provenance (**Interne** ou **Fournisseur**) et **Responsable**. Si la provenance est **Fournisseur**, choisissez l’**Éditeur**. Le nom et le responsable sont obligatoires. 3. **Contexte** (facultatif) : **Projets liés**, cycle de vie (Prévue, En service, Retirée), hébergement (Sur site, Cloud, SaaS, Hybride, Inconnu) et environnements. Nommez chaque environnement ajouté, ou supprimez-le. 4. **Accès** (facultatif) : choisissez qui peut consulter ou modifier la fiche. Vous en restez administrateur. 5. **Récapitulatif**, puis créez la fiche. Depuis la fiche d’un fournisseur, la section **Applications** liste les solutions qu’il édite et propose **Ajouter une application**. ## Lire la fiche | Onglet | Contenu | |---|---| | Vue d’ensemble | Identité, responsable, provenance, cycle de vie, hébergement, environnements, informations techniques. | | Code et DevSecOps | Dépôts GitHub ou GitLab liés, avec les outils activés sur chacun (aujourd’hui : **Dépendances**, l’import des alertes de vulnérabilité des dépendances). | | Relations | Fiches associées et suivi : fournisseurs, projets, risques, actions, évaluations… | | Données personnelles | Déclaration RGPD de l’application (si le module est disponible). | | Accès | Personnes et équipes autorisées, avec les droits Lecture, Modification ou Administration. | **Modifier la fiche** met à jour ses informations, avec le droit de modification. ## Lier des dépôts de code Les dépôts se lient depuis la page du connecteur GitHub ou GitLab, pas depuis la fiche. L’onglet **Code et DevSecOps** propose **Ouvrir les connecteurs** si aucun connecteur de code n’est actif. Voir [GitHub](https://docs.cisapp.eu/organisation/connecteurs/github) et [GitLab](https://docs.cisapp.eu/organisation/connecteurs/gitlab). ## Associer des fiches et des actions Dans **Relations** : 1. **Associer une fiche** : choisissez le type (Application, Fournisseur, Activité métier, Évaluation, Risque, Incident, Dérogation, Traitement RGPD, Action, Plan d’action, Projet), puis la fiche. Pour un fournisseur, précisez son rôle : Associé, Hébergeur, Intégrateur ou Autre prestataire. 2. **Ajouter une action** : action à réaliser, responsable, échéance, dans un plan d’action existant ou un nouveau plan. 3. **Évaluer** lance une évaluation de l’application ; **Réutiliser une évaluation** associe une évaluation existante. Les relations ne donnent aucun droit d’accès : accordez explicitement les accès nécessaires dans **Accès**. Les évaluations conservent leur périmètre et leur date ; les scores fournisseurs ne sont pas reportés sur les applications. ## Déclarer les données personnelles L’onglet **Données personnelles** pose la question « Cette application traite-t-elle des données personnelles ? » (Oui, Non, À qualifier), puis demande les catégories de données, le rôle RGPD, l’hébergement, l’AIPD (Non requise, Requise, En cours, Réalisée) et la durée de conservation. Des constats signalent les incohérences avec le registre des traitements : AIPD manquante, conservation non définie, hébergement non déclaré, aucun traitement lié, déclaration contradictoire ou obsolète. ## Évaluer une application Ouvrez **Évaluations → Évaluations des applications**, ou **Évaluer** depuis la fiche. Voir [Les types d’évaluation](https://docs.cisapp.eu/evaluations/types). ## Résultat attendu L’application est identifiable dans le registre avec son responsable, ses relations et ses accès, et son évaluation peut être lancée. ## Difficultés courantes - Fiche absente de la liste : elle n’est pas partagée avec vous. Demandez l’accès à son administrateur plutôt que de la recréer. - Création bloquée : renseignez le nom et le responsable, et l’éditeur pour une application fournisseur. - Une personne liée par une relation ne voit pas la fiche : les relations ne donnent pas d’accès. - Aucun dépôt affiché : liez le dépôt depuis la page du connecteur. --- Source: https://docs.cisapp.eu/registres/cartographies Markdown: https://docs.cisapp.eu/registres/cartographies.md # Lire les cartographies fournisseurs Explorer la criticité des fournisseurs et les données qu’ils traitent. > **Accès :** membre. Selon les modules activés et votre offre. ## Prérequis Les cartographies utilisent les fournisseurs auxquels vous avez accès. La cartographie fournisseurs et la génération d’un registre de traitements dépendent des fonctions activées dans votre offre. ## Cartographie de criticité 1. Ouvrez la cartographie depuis le registre **Fournisseurs**. 2. Filtrez les niveaux de criticité et le statut. 3. Repérez les fournisseurs dans le radar et leur état d’évaluation. 4. Ouvrez la fiche du fournisseur à investiguer et vérifiez la date et le contexte de sa criticité. La vue représente les données renseignées ; elle ne réalise pas une nouvelle évaluation. ## Cartographie des données 1. Ouvrez la **Cartographie des données** du registre. 2. Filtrez par rôle et catégorie de données. 3. Relisez les catégories, pays, mécanismes de transfert et état de l’accord de traitement des données. 4. Si la fonction est activée, utilisez la génération de registre de traitements, puis relisez la confirmation et le résultat. Un accord manquant ou un champ vide est un point à compléter. La génération facilite la préparation du registre et nécessite une revue métier avant utilisation. ## Résultat attendu et difficultés Vous identifiez les fournisseurs prioritaires et les informations manquantes. Si la carte est vide, retirez les filtres et vérifiez les accès. Si la génération n’est pas proposée, vérifiez l’offre et l’activation avec l’administrateur. Les [cartographies de dépendances](https://docs.cisapp.eu/pilotage/dependances) analysent un autre aspect : le lien entre activités et fournisseurs. La cartographie des données et la génération du registre sont en **bêta** dans la version illustrée. --- Source: https://docs.cisapp.eu/registres/projets Markdown: https://docs.cisapp.eu/registres/projets.md # Projets et décision de lancement Créer un projet, désigner le référent sécurité et le décideur, instruire les livrables et formaliser l’avis sécurité puis la décision de lancement. > **Accès :** membre. Le registre dépend de votre offre. Les actions d’instruction sont réservées au **référent sécurité** et au **décideur du lancement** désignés sur le projet, avec le droit de modification de la fiche. Un projet (projet SI, évolution métier, événement, acquisition…) est un dossier dont on suit la sécurité jusqu’à la décision de lancement. À ne pas confondre avec un **plan d’action**, qui regroupe des actions à réaliser : voir [Plans d’action et actions](https://docs.cisapp.eu/collaboration/projets). ## Créer un projet 1. Ouvrez **Registres → Projets**, puis **Nouveau projet** (ou le raccourci **+** du menu). 2. **Identité** : nom, type (Projet SI, Évolution métier, Événement, Acquisition, Autre), porteur, avancement (Prévu, En cours, Livré, Annulé), criticité, date de début, date cible de lancement et description. Les dates peuvent rester **À définir**. 3. **Contexte** (facultatif) : **Référent sécurité** et **Décideur du lancement**, deux personnes distinctes ; livrables requis (Questionnaire sécurité, Analyse de risques, Revue d’architecture, Évaluation fournisseur, Examen RGPD). Un livrable écarté demande une justification. 4. **Accès** (facultatif) : choisissez qui peut consulter ou modifier la fiche. Vous en restez administrateur. 5. **Récapitulatif**, puis créez la fiche. ## Lire la fiche | Onglet | Contenu | |---|---| | Vue d’ensemble | Identité, porteur, dates, étape de sécurité, avis et décision. | | Sécurité | Livrables, prérequis et engagements, historique des décisions. | | Applications | Applications livrées ou modifiées par le projet. | | Risques et actions | Fiches associées : risques, dérogations, actions, évaluations… | | Accès | Personnes et équipes autorisées (Lecture, Modification, Administration). | ## Suivre les étapes de sécurité | Étape | Ce qui est attendu | Action | |---|---|---| | À qualifier | Désigner les intervenants et confirmer les livrables requis. | Le référent sécurité clique **Commencer l’instruction**. | | En instruction | Compléter les éléments examinés, faire revoir les livrables, formaliser l’avis. | Le référent clique **Rendre l’avis sécurité** : Favorable, Favorable avec réserves ou Défavorable. | | À décider | Examiner l’avis, les prérequis et les risques résiduels. | Le décideur clique **Décider du lancement** : Lancement autorisé ou refusé, en cochant « J’accepte explicitement les risques résiduels du périmètre examiné. » | | Suivi | Suivre les engagements restants après lancement. | Le décideur ou le porteur clique **Clôturer le dossier** : bilan et responsable du suivi opérationnel. | | Clôturé | Les risques et actions encore ouverts poursuivent leur suivi. | — | À l’étape **À décider**, ou après un refus, le référent peut **Reprendre l’instruction**. Le décideur ou le porteur peut **Annuler le projet** tant qu’il n’est ni clôturé ni annulé ; l’historique reste consultable. ## Instruire les livrables et les prérequis Dans l’onglet **Sécurité** : - Pour chaque livrable, renseignez les **Éléments examinés et références**, enregistrez, puis **Marquer comme examiné**. - **Ajouter un prérequis** : mesure à réaliser, marquée ou non **Bloquant avant lancement**. Un prérequis bloquant doit être satisfait ou couvert par une dérogation approuvée, active et liée au dossier. - Un engagement restant après lancement doit être lié à une action du dossier, avec responsable et échéance. Après un avis ou une décision, modifier la fiche ouvre une nouvelle révision à instruire. Chaque avis, décision, révision, clôture ou annulation est conservé dans l’historique, avec le périmètre examiné. ## Associer des fiches et évaluer Les onglets **Applications** et **Risques et actions** proposent **Associer une fiche**, **Ajouter une action**, **Évaluer** et **Réutiliser une évaluation**, comme sur une [application](https://docs.cisapp.eu/registres/applications). Les évaluations de projets se retrouvent aussi dans **Évaluations → Évaluations des projets**. Voir [Les types d’évaluation](https://docs.cisapp.eu/evaluations/types). ## Résultat attendu Le projet porte un avis sécurité et une décision de lancement tracés, avec des prérequis satisfaits ou couverts, puis il est clôturé avec un responsable du suivi opérationnel. ## Difficultés courantes - Bouton d’instruction absent : seuls le référent sécurité et le décideur désignés, avec le droit de modification, voient les actions de leur étape. - « Désignez le référent sécurité et le décideur avant l’instruction. » : complétez le **Contexte** et confirmez au moins un livrable requis ; justifiez chaque livrable écarté. - Référent et décideur identiques refusés : choisissez deux personnes distinctes. - « Examinez tous les livrables requis avant de rendre un avis. » : marquez chaque livrable requis comme examiné. - Lancement non autorisable : il faut un avis **Favorable** ou **Favorable avec réserves**, des prérequis bloquants satisfaits ou couverts, et des engagements restants reliés à une action (voir [Instruire les livrables et les prérequis](https://docs.cisapp.eu/registres/projets#instruire-les-livrables-et-les-prerequis)). - Annulation refusée : précisez le motif d’annulation. - « Ce dossier a été modifié pendant votre saisie » : rechargez le dossier ou abandonnez vos modifications avant de poursuivre. --- Source: https://docs.cisapp.eu/evaluations/types Markdown: https://docs.cisapp.eu/evaluations/types.md # Choisir le bon type d’évaluation Différencier évaluation fournisseur, application, projet, criticité, audit et appel d’offre. > **Accès :** création d’évaluation. Selon les modules activés et votre offre. Une évaluation réunit un périmètre, un ou plusieurs questionnaires et les accès nécessaires pour travailler dessus. ## Quel espace ouvrir ? | Type | À utiliser pour | |---|---| | Évaluations fournisseur | Examiner la conformité ou la posture d’un fournisseur. | | Évaluations des applications | Examiner une application du registre Applications. | | Évaluations des projets | Examiner un projet du registre Projets, par exemple avant sa décision de lancement. | | Criticité d’activité | Qualifier l’importance d’une activité métier. | | Audits de conformité | Évaluer un périmètre interne et un référentiel. | | Appels d’offre | Comparer plusieurs fournisseurs sur un questionnaire commun. | ## Préparer l’évaluation 1. Identifiez le sujet à examiner et le résultat recherché. 2. Vérifiez que le sujet existe dans son registre et que vous y avez accès. 3. Choisissez un questionnaire adapté à la décision attendue. 4. Identifiez les personnes qui devront compléter ou consulter les réponses. 5. Ouvrez le type correspondant depuis **Évaluations**. ![Liste des évaluations fournisseur](https://docs.cisapp.eu/images/fr/evaluations.webp) *Chaque type possède sa liste et son assistant de création. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/evaluations.webp)* ## Droits et disponibilité La création d’évaluations nécessite le droit correspondant. L’appel d’offre est conditionné par l’activation de la comparaison fournisseurs. Le menu **Campagnes** est actuellement en construction ; il ne remplace pas les listes par type ni les liens de réponse reçus par email. ## Résultat attendu Le périmètre et le questionnaire correspondent au type choisi. Consultez [Évaluer un fournisseur](https://docs.cisapp.eu/evaluations/fournisseur), [Audits et projets](https://docs.cisapp.eu/evaluations/audits-projets) ou [Comparer des fournisseurs](https://docs.cisapp.eu/evaluations/comparaison). --- Source: https://docs.cisapp.eu/evaluations/fournisseur Markdown: https://docs.cisapp.eu/evaluations/fournisseur.md # Évaluer un fournisseur Sélectionner le fournisseur, les questionnaires et finaliser les accès. > **Accès :** création d’évaluation. Selon les modules activés et votre offre. ## Prérequis Le fournisseur doit être accessible dans votre registre. Vous devez disposer du droit de création d’évaluation et accéder au questionnaire choisi. ## Créer l’évaluation 1. Ouvrez **Évaluations → Évaluations fournisseur**, puis démarrez une création. 2. À l’étape **Fournisseurs**, sélectionnez le tiers à évaluer. Lorsque vous partez de sa fiche, cette sélection peut être déjà faite. 3. À l’étape **Questionnaires**, choisissez les questionnaires utiles au périmètre. 4. À l’étape **Finalisation**, vérifiez le récapitulatif, le nom et la description. 5. Ouvrez les options de droits si vous devez associer des collaborateurs. Vérifiez le rôle de chaque personne avant de l’inviter. 6. Validez la création. ![Sélection du questionnaire d’évaluation](https://docs.cisapp.eu/images/fr/evaluation-questionnaires.webp) *Le questionnaire doit correspondre à ce que vous souhaitez vérifier chez le fournisseur. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/evaluation-questionnaires.webp)* ![Finalisation d’une évaluation fournisseur](https://docs.cisapp.eu/images/fr/evaluation-finalize.webp) *Le récapitulatif permet de contrôler le périmètre et les accès avant création. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/evaluation-finalize.webp)* ## Récurrence Une cadence de surveillance peut être proposée lorsqu’une évaluation fournisseur est rattachée à une activité. Cette option n’est pas affichée dans tous les parcours. ## Après la création Ouvrez l’évaluation pour retrouver ses questionnaires et leurs réponses. Partagez le bon accès avec le répondant. Un questionnaire joint à une évaluation et une invitation au répondant sont deux éléments à vérifier séparément. ## Si vous êtes bloqué - Fournisseur absent : contrôlez vos droits et les filtres du sélecteur. - Questionnaire absent : vérifiez sa destination et vos droits. - Bouton de validation indisponible : renseignez les champs obligatoires et les étapes précédentes. - Invitation non reçue : vérifiez l’adresse et le statut de l’invitation avant de la renvoyer. ## Résultat attendu L’évaluation figure dans la liste et sa fiche présente le fournisseur et les questionnaires choisis. L’envoi au répondant reste une action à vérifier séparément. --- Source: https://docs.cisapp.eu/evaluations/audits-projets Markdown: https://docs.cisapp.eu/evaluations/audits-projets.md # Audits, applications, projets et criticité d’activité Adapter le périmètre et le questionnaire au sujet évalué. > **Accès :** création d’évaluation. Selon les modules activés et votre offre. ## Choisir le périmètre Ces parcours sont accessibles depuis leurs listes dans **Évaluations**. Le droit de création d’évaluation et l’accès aux sujets et questionnaires concernés sont nécessaires. ### Évaluation d’une application ou d’un projet 1. Ouvrez **Évaluations des applications** ou **Évaluations des projets**, puis démarrez une création. Depuis la fiche d’une application ou d’un projet, **Évaluer** ouvre le même assistant avec le sujet déjà choisi. 2. Sélectionnez l’application ou le projet à examiner (étape masquée si le sujet est déjà choisi). 3. **Informations**, puis **Questionnaires**. 4. **Réviseurs** (facultatif) : désignez les personnes ou équipes qui valideront les questionnaires remplis. Les administrateurs de l’entité peuvent aussi les réviser ; sans réviseur désigné, eux seuls le peuvent. 5. **Collaborateurs** : vérifiez les droits avant de terminer. Le sujet doit exister dans **Registres → Applications** ou **Registres → Projets**. Le détail de l’évaluation rappelle l’**Objet évalué** avec un lien **Voir la fiche**. Voir [Applications](https://docs.cisapp.eu/registres/applications) et [Projets et décision de lancement](https://docs.cisapp.eu/registres/projets). ### Criticité d’activité Ouvrez **Criticité d’activité** et choisissez l’activité métier concernée. Utilisez un questionnaire adapté à la criticité, puis contrôlez les informations et les accès. Cette évaluation qualifie une activité ; elle ne remplace pas une évaluation de sécurité du fournisseur. ### Audit de conformité Ouvrez **Audits de conformité**. Définissez le contexte, choisissez le référentiel proposé et les questionnaires utiles, puis attribuez les accès avant validation. Préparez les preuves à joindre aux réponses. ## Relire les résultats Ouvrez l’évaluation créée depuis sa liste. Vérifiez que les questionnaires, le sujet et les personnes autorisées correspondent au périmètre décidé. Consultez [Lire les résultats](https://docs.cisapp.eu/evaluations/resultats). ## Difficultés courantes Un sujet absent doit être créé ou partagé dans son registre. Un questionnaire destiné à une autre finalité peut ne pas être proposé. Si vous ne pouvez pas créer l’évaluation, vérifiez le droit de création auprès de votre administrateur. --- Source: https://docs.cisapp.eu/evaluations/comparaison Markdown: https://docs.cisapp.eu/evaluations/comparaison.md # Comparer des fournisseurs Préparer un appel d’offre avec plusieurs tiers et un cadre commun. > **Accès :** création d’évaluation. Selon les modules activés et votre offre. ## Objectif et prérequis Utilisez **Appels d’offre** pour examiner plusieurs fournisseurs dans un même cadre. La comparaison doit être activée pour votre entreprise. Vous devez accéder aux fournisseurs et disposer du droit de création d’évaluation. ## Préparer la comparaison 1. Définissez le besoin métier et les critères de décision avant de solliciter les fournisseurs. 2. Ouvrez **Évaluations → Appels d’offre** et démarrez la création. 3. Sélectionnez les fournisseurs à comparer. 4. Choisissez les questionnaires communs et complétez les informations demandées. 5. Vérifiez les droits puis validez. ## Exploiter la comparaison Ouvrez le détail de l’appel d’offre pour consulter les évaluations. Comparez les réponses sur des périmètres équivalents. Une réponse manquante et une réponse négative doivent être interprétées différemment. Le score doit être rapproché de la criticité métier, des preuves et de la date de l’évaluation. Documentez les points ouverts avant de prendre une décision. ## Résultat attendu Vous disposez d’un cadre commun pour relire les réponses de chaque fournisseur. Si un fournisseur manque, vérifiez vos accès et son existence dans le registre. Si l’espace n’est pas visible, consultez [Disponibilité des fonctions](https://docs.cisapp.eu/aide/disponibilite). --- Source: https://docs.cisapp.eu/evaluations/questionnaires Markdown: https://docs.cisapp.eu/evaluations/questionnaires.md # Gérer les questionnaires Choisir un modèle, créer un questionnaire et organiser ses questions. > **Accès :** membre, création de questionnaire. Selon les modules activés et votre offre. Un questionnaire est une structure de questions réutilisable. Les réponses complétées dans une évaluation appartiennent à un questionnaire de réponse distinct du modèle. ## Trouver un questionnaire Ouvrez **Évaluations → Questionnaires**. Recherchez un titre et consultez le détail pour vérifier le contenu, la finalité et les sections avant de l’utiliser. ![Bibliothèque de questionnaires](https://docs.cisapp.eu/images/fr/questionnaires.webp) *Vérifiez la finalité du questionnaire avant de l’associer à une évaluation. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/questionnaires.webp)* ## Créer un questionnaire 1. Cliquez sur l’action de création. Le droit de création de questionnaire est nécessaire. 2. Renseignez les informations générales et la destination proposée. 3. Créez le questionnaire, puis ouvrez son éditeur. 4. Organisez les sections et ajoutez les questions avec les types de réponse appropriés. 5. Relisez les libellés, les réponses proposées et les champs obligatoires avant utilisation. Le détail et l’éditeur ne remplissent pas le même rôle : utilisez le détail pour consulter et l’éditeur pour modifier la structure. ## Modifier la structure Dans l’éditeur, la colonne centrale affiche l’arbre des sections et des questions, et la colonne de droite les propriétés de l’élément sélectionné. - **Ajouter** : survolez l’espace entre deux questions et cliquez sur **+** pour insérer une question à cet endroit, ou utilisez **Ajouter une question** en bas d’une section. La nouvelle question est sélectionnée et son libellé est prêt à être saisi. - **Supprimer** : la suppression est immédiate, sans confirmation. Un message apparaît pendant quelques secondes avec l’action **Annuler** pour rétablir l’élément (avec ses sous-sections et ses questions pour une section). Passé ce délai, la suppression est définitive. - **Réorganiser** : glissez-déposez une question ou une section dans l’arbre. Les modifications sont enregistrées automatiquement. ## Ajouter une échelle de maturité Le type de question **Échelle de maturité (%)** demande au répondant de situer son niveau sur une échelle que vous définissez. Le pourcentage du niveau choisi devient le score de la réponse. 1. Ajoutez une question de type **Échelle de maturité (%)**. Elle est créée avec le **Préréglage 0 – 100 %** : Non conforme (0 %), Initial (25 %), Défini (50 %), Géré (75 %), Optimisé (100 %). 2. Pour chaque niveau, renseignez le **Niveau (%)**, le **Libellé** et, si besoin, une **Description** de ce que le niveau signifie concrètement. 3. **Ajouter un niveau** ou **Supprimer le niveau** selon votre grille ; **Préréglage 0 – 100 %** rétablit les niveaux par défaut. 4. Cochez ou décochez **Justification obligatoire** (cochée par défaut) : le répondant doit alors expliquer le niveau choisi. 5. Vérifiez le rendu dans l’**Aperçu côté répondant**. Une échelle compte de 2 à 11 niveaux. Chaque niveau est un entier entre 0 et 100, utilisé une seule fois, avec un libellé. ## Raccourcis clavier de l’éditeur Les raccourcis fonctionnent quand aucun champ de saisie n’est actif. Appuyez sur **?** (ou cliquez sur l’icône clavier en haut de la page) pour afficher le récapitulatif dans l’éditeur. | Raccourci | Action | | --- | --- | | **J** ou **↓** | Élément suivant | | **K** ou **↑** | Élément précédent | | **Entrée** ou **E** | Modifier les propriétés de l’élément sélectionné | | **Échap** | Quitter le champ en cours, puis désélectionner | | **C** | Nouvelle question après l’élément sélectionné (ou en fin de section) | | **S** | Nouvelle section | | **Maj + S** | Nouvelle sous-section de la section sélectionnée | | **Suppr** ou **⌫** | Supprimer l’élément sélectionné | | **⌘ Z** / **Ctrl Z** | Annuler la dernière suppression, tant que le message est affiché | | **?** | Afficher les raccourcis | ## Bonnes pratiques Posez une seule question par sujet. Précisez la preuve attendue dans l’énoncé. Pour une comparaison, gardez la même version du questionnaire entre fournisseurs. ## Difficultés courantes - Création indisponible : vérifiez le droit de création de questionnaire. - Questionnaire introuvable dans une évaluation : contrôlez sa destination et son accès. - Question mal comprise : corrigez le libellé du modèle pour les prochaines utilisations et explicitez le contexte aux répondants concernés. ## Résultat attendu Le questionnaire contient les sections et questions prévues et peut être retrouvé dans les sélecteurs compatibles avec sa destination. --- Source: https://docs.cisapp.eu/evaluations/reponses Markdown: https://docs.cisapp.eu/evaluations/reponses.md # Compléter et soumettre les réponses Ouvrir le bon questionnaire, compléter les sections et vérifier avant soumission. > **Accès :** répondant, membre. Selon les modules activés et votre offre. ## Accéder aux réponses Ouvrez le lien de l’évaluation ou du questionnaire partagé avec vous. Connectez-vous avec le compte correspondant à l’invitation. L’accès à un modèle dans la bibliothèque ne suffit pas à donner accès aux réponses d’une évaluation. ## Répondre 1. Vérifiez le titre, le fournisseur ou sujet concerné et le périmètre de l’évaluation. 2. Utilisez le sommaire des sections pour avancer dans le questionnaire. 3. Renseignez les réponses et les commentaires utiles. 4. Ajoutez les preuves lorsque la question le permet ou les demande. 5. Vérifiez l’état d’enregistrement affiché avant de quitter la page. 6. Relisez les questions obligatoires, puis utilisez l’action de soumission lorsqu’elle est proposée. ![Questionnaire de réponse dans une évaluation](https://docs.cisapp.eu/images/fr/assessment.webp) *Les sections et la progression permettent de retrouver les questions restant à traiter. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/assessment.webp)* ## Répondre « Non applicable » Lorsque la question l’autorise, cochez **Non applicable** à côté de la réponse et, si besoin, renseignez la **Justification** (facultative). Côté client, la réponse « non applicable » se **valide** (**Valider le non applicable**) ou se **conteste** (**Contester le non applicable**) ; le répondant voit alors l’avis « Le client conteste le caractère non applicable de cette question » et peut corriger. ## Répondre à une échelle de maturité Pour une question **Échelle de maturité**, choisissez un niveau sous « Sélectionnez votre niveau actuel ». Si l’échelle l’exige, renseignez la **Justification** : « Une justification est requise pour ce niveau. » s’affiche tant qu’elle manque. **Non applicable** reste possible si la question l’autorise. Côté client, le réviseur peut **Ajuster le score** : il choisit un autre niveau ou saisit une **Valeur libre (%)**. L’écart reste visible sous la forme « Déclaré X % → validé Y % ». ## Répartir les questions entre collaborateurs Un responsable d’évaluation autorisé peut assigner des sections ou des questions : 1. Dans l’en-tête d’une section ou d’une question, ouvrez l’assignation (**Assigner cette section** / **Assigner cette question**). 2. Choisissez un **Responsable** et des **Contributeurs**, ajoutez un message facultatif. Saisir une adresse email permet d’**inviter** une personne non encore inscrite (sauf si le fournisseur gère ses propres utilisateurs : seuls ses membres sont alors assignables). 3. Une question hérite de l’assignation de sa section ; la modifier crée une assignation propre à la question. 4. Le bouton **Répartition** ouvre la vue d’ensemble : progression par personne (« x / y répondues »), questions sans responsable, réponses à corriger, **Relancer** (une relance par personne et par jour) et **Historique** des assignations et relances. 5. Filtrez les questions avec **Toutes**, **Mes questions** ou **Non assignées**. Les personnes assignées voient une bannière « Vous avez N questions à traiter » et retrouvent leurs questions dans **À traiter**. À la soumission, un avertissement liste les questions assignées encore sans réponse. Les assignations ne sont plus modifiables quand l’évaluation est clôturée. ## Après la soumission Le statut et les actions disponibles peuvent changer. Vérifiez l’état affiché avant de considérer le questionnaire comme transmis. Si vous devez corriger une réponse verrouillée, contactez le responsable de l’évaluation. ## Difficultés courantes - Questionnaire inaccessible : vérifiez l’adresse du compte et l’invitation. - Question obligatoire manquante : parcourez toutes les sections, y compris celles non encore ouvertes. - Preuve absente : contrôlez que le document est accessible aux personnes qui reliront la réponse. - Assignation impossible : il faut le droit d’assigner sur cette évaluation ; trop d’invitations email récentes bloquent aussi l’envoi. - Bouton absent : votre accès peut être en lecture ou le statut peut interdire la modification. Pour un parcours guidé, consultez [Répondre à un questionnaire reçu](https://docs.cisapp.eu/parcours/repondre-questionnaire). ## Résultat attendu Les réponses sont enregistrées dans le bon questionnaire. Le statut affiché indique si une finalisation supplémentaire est nécessaire. ## Répondre pour le fournisseur Lorsque vous gérez l’évaluation côté client, les champs peuvent être désactivés. Si vous devez saisir une réponse pour le tiers, utilisez **Répondre à la place du fournisseur** lorsque cette action est proposée. Distinguez ces réponses des informations confirmées directement par le fournisseur. --- Source: https://docs.cisapp.eu/evaluations/resultats Markdown: https://docs.cisapp.eu/evaluations/resultats.md # Lire les résultats d’une évaluation Interpréter la progression, les réponses, les scores et les preuves. > **Accès :** membre. Selon les modules activés et votre offre. ## Ouvrir les résultats Depuis la liste du type concerné, ouvrez l’évaluation. Consultez les questionnaires associés, leur progression et leur statut. Ouvrez un questionnaire pour examiner les réponses et les preuves. ## Faire une lecture utile 1. Vérifiez le périmètre, le sujet et la date de l’évaluation. 2. Contrôlez que les réponses attendues ont été complétées. 3. Examinez les commentaires et les documents qui appuient les réponses. 4. Comparez les scores avec les réponses détaillées : un score synthétique ne remplace pas la lecture des points critiques. 5. Identifiez les points nécessitant une action et rattachez-les au bon suivi : risque, mesure ou plan d’action selon le besoin. ## Exporter ou imprimer Lorsque l’action d’impression est disponible sur le questionnaire de réponse, ouvrez la vue dédiée puis utilisez l’impression du navigateur pour produire un PDF. Vérifiez le contenu et le périmètre avant de le partager. ## Analyse d’écart L’espace **Analyses d’écart** permet d’explorer les évaluations et les écarts exposés par l’interface. Vérifiez le référentiel et les éléments disponibles pour l’évaluation concernée. Ne supposez pas qu’un résultat incomplet signifie une conformité acquise. ## Résultat attendu Vous savez quels éléments sont suffisamment étayés et quels points demandent une action. Pour poursuivre, consultez [Traiter un risque](https://docs.cisapp.eu/parcours/traiter-risque) ou [Plans d’action et actions](https://docs.cisapp.eu/collaboration/projets). --- Source: https://docs.cisapp.eu/evaluations/import-excel Markdown: https://docs.cisapp.eu/evaluations/import-excel.md # Importer un questionnaire Excel Analyser un classeur, vérifier sa structure et publier le questionnaire. > **Accès :** membre. Selon les modules activés et votre offre. ## Prérequis L’import de questionnaires Excel doit être activé pour votre offre. Préparez un classeur dont les questions et réponses sont identifiables ; gardez une copie du fichier original. ## Importer et vérifier 1. Ouvrez **Évaluations → Questionnaires Excel** et démarrez un import. 2. Sélectionnez le classeur et complétez les informations demandées. 3. Attendez la fin de l’analyse. Le traitement peut continuer pendant que vous consultez une autre page. 4. Ouvrez l’import pour contrôler les feuilles, les sections et les éléments reconnus. 5. Corrigez les rôles des cellules et les correspondances proposées lorsque nécessaire. Relisez les résultats de l’analyse avant publication. 6. Utilisez l’action de publication pour ouvrir le questionnaire dans l’éditeur de réponses. ![Liste des imports de questionnaires Excel](https://docs.cisapp.eu/images/fr/excel-imports.webp) *Le statut de l’import distingue l’analyse du classeur et l’ouverture du questionnaire. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/excel-imports.webp)* ## Contrôle humain L’analyse assistée ne dispense pas de vérifier les questions, les choix et les réponses importées. Les cellules fusionnées, feuilles multiples et en-têtes ambigus demandent une attention particulière. ## Échec ou structure vide Si l’import échoue, consultez le message affiché et utilisez **Réessayer** lorsque proposé. Si aucune structure exploitable n’est trouvée, vérifiez le fichier source avant de relancer. Ne créez pas plusieurs imports identiques pendant qu’un traitement est encore en cours. ## Résultat attendu Le questionnaire publié reflète le classeur relu et peut être complété dans CISAPP. Vérifiez ensuite ses réponses comme pour tout [questionnaire de réponse](https://docs.cisapp.eu/evaluations/reponses). --- Source: https://docs.cisapp.eu/evaluations/espace-fournisseur Markdown: https://docs.cisapp.eu/evaluations/espace-fournisseur.md # Répondre en tant que fournisseur Retrouver les évaluations clients et distinguer le registre clients de Mon exposition. > **Accès :** membre. Selon les modules activés et votre offre. ## Prérequis Votre entreprise doit être connue comme fournisseur d’au moins un client dans CISAPP. Vous devez disposer de l’accès à l’évaluation ou au questionnaire transmis par le client. ## Retrouver les demandes clients 1. Ouvrez les **Évaluations clients** lorsque cette entrée est proposée dans votre menu. 2. Sélectionnez l’évaluation concernée, puis le questionnaire à compléter. 3. Relisez le périmètre demandé avant de répondre. 4. Suivez le parcours [Répondre à un questionnaire](https://docs.cisapp.eu/parcours/repondre-questionnaire) pour la sauvegarde et la finalisation. Le registre **Clients**, lorsqu’il est accessible, liste les entreprises clientes connues et permet d’ouvrir leur fiche et d’exporter la liste en CSV. Il ne crée pas une relation commerciale à lui seul. ## Compte répondant uniquement Un utilisateur invité uniquement pour répondre voit un menu réduit : **Évaluations → À traiter**, Mon exposition et Profil. La page **À traiter** liste ses évaluations (questionnaires, progression, statut Non commencé / En cours / Complété, bouton **Répondre**) et, en tête, **Mes questions à traiter** quand des questions lui sont assignées. Les anciennes adresses du portail (`/portal`) ne sont plus utilisées ; passez par le menu ou le lien reçu par email. ## Résultat attendu La réponse est associée à la demande du bon client. Vérifiez les permissions de chaque client avant d’associer des pièces justificatives. ## Difficultés courantes - Menu absent : l’entreprise peut ne pas être identifiée comme fournisseur, ou vous manquez d’un accès. - Demande absente : utilisez le lien reçu et faites vérifier le partage par l’émetteur. - Ne confondez pas le registre Clients avec **Mon exposition → Mes clients**, qui est actuellement en construction. --- Source: https://docs.cisapp.eu/risques/registre Markdown: https://docs.cisapp.eu/risques/registre.md # Identifier et évaluer un risque Créer un scénario, rattacher le périmètre et évaluer son niveau. > **Accès :** membre. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Prérequis Le registre doit être activé pour votre entreprise. Préparez le scénario, les entités concernées et la méthode retenue dans vos paramètres d’organisation. ## Créer un risque 1. Ouvrez **Registres → Risques**, puis **Nouveau risque**. 2. À l’étape **Contexte**, renseignez le titre, la description et la catégorie. 3. À l’étape **Périmètre**, associez les entités concernées proposées : fournisseur, activité, actif ou équipe. 4. Décrivez le scénario, la menace et la vulnérabilité dans les champs proposés. 5. Évaluez la vraisemblance et l’impact selon la méthode de votre entreprise. 6. Complétez le responsable et l’échéance de traitement si connus, puis terminez. ![Contexte d’un nouveau risque](https://docs.cisapp.eu/images/fr/risk-create.webp) *Décrivez un scénario concret avant de lui attribuer un niveau. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/risk-create.webp)* ## Lire le registre Recherchez un titre et combinez les filtres **Statut**, **Criticité** et **Entité**. La **Matrice des risques** représente les niveaux selon la vraisemblance et l’impact. Un niveau inhérent décrit le risque avant prise en compte du traitement ; le niveau résiduel décrit ce qui reste après traitement. ![Registre et indicateurs des risques](https://docs.cisapp.eu/images/fr/risks.webp) *Les filtres permettent de préparer la revue des risques prioritaires. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/risks.webp)* ## Résultat attendu Le risque est présent dans le registre avec un scénario compréhensible. Vérifiez son statut : si la création a réussi mais que l’évaluation a échoué, ouvrez le risque existant pour compléter l’évaluation plutôt que de recréer un doublon. Pour poursuivre, consultez [Suivre le traitement](https://docs.cisapp.eu/risques/traitement). --- Source: https://docs.cisapp.eu/risques/traitement Markdown: https://docs.cisapp.eu/risques/traitement.md # Suivre le traitement d’un risque Choisir une stratégie, suivre les mesures et revoir le risque résiduel. > **Accès :** membre. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Ouvrir le risque Depuis **Registres → Risques**, ouvrez le risque concerné. Vérifiez son scénario, son périmètre, son responsable et l’évaluation avant de décider du traitement. ## Organiser le traitement 1. Choisissez la stratégie proposée : réduire, accepter, transférer ou éviter le risque. 2. Documentez la décision et l’échéance de traitement. 3. Ajoutez les mesures nécessaires. Une mesure peut être liée à une exigence de conformité ou décrite spécifiquement pour ce risque. 4. Affectez un responsable et une échéance lorsque les champs sont proposés. 5. Faites évoluer le statut des mesures au rythme de leur réalisation : planifiée, en cours, mise en œuvre, vérifiée ou non applicable. 6. Réévaluez le niveau résiduel à partir des mesures effectivement réalisées. ## Comprendre les statuts Le risque peut être brouillon, identifié, évalué, traité, accepté, clôturé ou à revoir. Utilisez les actions disponibles sur sa fiche pour faire évoluer son cycle de vie. Une mesure déclarée mise en œuvre n’est pas nécessairement déjà vérifiée. ## Résultat attendu Une personne autorisée peut retrouver la décision, les actions prévues et les éléments justifiant le niveau résiduel. Le statut doit refléter la situation réelle. ## Points d’attention Ne baissez pas le niveau résiduel uniquement parce qu’une action est planifiée. Vérifiez les preuves de réalisation. Si l’action n’est pas disponible, contrôlez les droits et le statut courant du risque. Voir aussi [Le parcours de traitement](https://docs.cisapp.eu/parcours/traiter-risque) et [Les dérogations](https://docs.cisapp.eu/risques/derogations). --- Source: https://docs.cisapp.eu/risques/incidents Markdown: https://docs.cisapp.eu/risques/incidents.md # Déclarer et suivre un incident Qualifier l’événement, suivre sa chronologie et gérer la communication. > **Accès :** administrateur d’entreprise. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Prérequis et accès La gestion des incidents est soumise à l’activation du module et aux droits de votre compte. Les opérations de gouvernance sur les incidents sont réservées aux administrateurs de l’entreprise. ## Déclarer un incident 1. Ouvrez **Registres → Incidents**, puis **Déclarer un incident**. 2. Complétez les étapes **Qualification**, **Contexte** et **Communication**. 3. Décrivez les faits observés et choisissez la catégorie et la gravité appropriées. 4. Associez le fournisseur ou les actifs concernés lorsque le parcours le propose. 5. Vérifiez les destinataires et la visibilité avant de terminer. ![Déclaration d’un incident](https://docs.cisapp.eu/images/fr/incident-create.webp) *La qualification précède le contexte et les choix de communication. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/incident-create.webp)* ## Suivre l’incident Le registre distingue **Mes incidents** et **Incidents reçus**. Ouvrez la fiche pour mettre à jour le statut et consulter la **Main courante**. Distinguez la description interne de la description publique, affichée aux clients uniquement si l’incident est propagé. ## Escalade et clôture Lorsqu’une cellule de crise est active, la fiche propose son ouverture. Un incident escaladé en crise ne peut pas être supprimé : utilisez sa clôture et conservez la traçabilité. Voir [Gestion de crise](https://docs.cisapp.eu/risques/crise). ## Résultat attendu Le registre et la main courante reflètent les faits, décisions et communications. Si une autre session a modifié l’incident, relisez la version rafraîchie avant de reprendre vos changements. --- Source: https://docs.cisapp.eu/risques/crise Markdown: https://docs.cisapp.eu/risques/crise.md # Préparer et gérer une crise Retrouver le guide de crise, les contacts et les cellules actives. > **Accès :** administrateur d’entreprise. Selon les modules activés et votre offre. ## Accès Le dispositif de crise est réservé aux administrateurs de l’entreprise. Utilisez la palette de commandes pour ouvrir **Gestion de crise** si l’entrée n’est pas directement visible dans le menu. ## Préparer le dispositif 1. Ouvrez l’espace **Crise**. 2. Consultez l’onglet **Guide** pour préparer les étapes de réaction. 3. Vérifiez les **Contacts d’urgence** et leur actualité. 4. Consultez **Cellules actives** pour savoir si un événement est déjà coordonné. ![Guide et dispositif de crise](https://docs.cisapp.eu/images/fr/crisis.webp) *Le dispositif réunit préparation, contacts et cellules actives. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/crisis.webp)* ## Pendant un événement Partez de l’incident concerné et ouvrez la cellule de crise associée lorsqu’elle est active. Utilisez l’espace de travail pour suivre la coordination et consigner les informations proposées. Maintenez le statut de l’incident en cohérence avec la situation. ## Résultat attendu Les participants autorisés trouvent les contacts, le contexte et les éléments de coordination. La fiche incident conserve le lien avec la crise. ## Difficultés courantes Si l’espace ne s’ouvre pas, vérifiez votre rôle d’administrateur. Si une cellule existe déjà, ouvrez-la depuis l’incident plutôt que de traiter l’événement dans un suivi parallèle. Les obligations de communication de votre entreprise restent à déterminer par les personnes compétentes. --- Source: https://docs.cisapp.eu/risques/derogations Markdown: https://docs.cisapp.eu/risques/derogations.md # Encadrer une dérogation Définir la cible, la justification, le risque accepté et la durée. > **Accès :** administrateur d’entreprise. Selon les modules activés et votre offre. ## Prérequis Les dérogations sont accessibles aux administrateurs de l’entreprise lorsque le module est activé. Préparez la cible concernée, la justification métier et les mesures compensatoires. ## Créer une dérogation 1. Ouvrez **Registres → Dérogations**, puis **Nouvelle dérogation**. 2. Choisissez le type de cible et l’élément concerné. 3. Renseignez le **Titre**, la **Justification métier** et la **Mesure compensatoire**. 4. Définissez les dates de début et de fin, puis la prochaine revue si nécessaire. 5. Liez un risque existant ou décrivez le risque accepté et sa sévérité. Pour une cible de type risque, le lien est repris automatiquement. 6. Vérifiez les informations et cliquez sur **Créer la dérogation**. ![Formulaire de dérogation](https://docs.cisapp.eu/images/fr/exemptions.webp) *La justification, le risque et la durée permettent de relire la décision. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/exemptions.webp)* ## Suivre les échéances Dans le registre, combinez les filtres de statut, de cible et d’échéance. Utilisez **Expire sous 30 jours** pour préparer les revues. Relisez le détail et les actions disponibles pour suivre le cycle de décision. ## Erreurs de dates La fin doit être postérieure au début et respecter la durée maximale indiquée par l’interface. La date de revue doit précéder la fin. Corrigez les champs signalés avant de valider. ## Résultat attendu La décision est tracée avec une cible, une justification et une échéance. Une dérogation ne prouve pas que l’écart a été corrigé : conservez le suivi des mesures et du risque associé. --- Source: https://docs.cisapp.eu/conformite/vue-ensemble Markdown: https://docs.cisapp.eu/conformite/vue-ensemble.md # Démarrer le suivi de conformité Créer son espace de conformité et lire la couverture par référentiel. > **Accès :** membre. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Créer votre espace Ouvrez **Conformité → Vue d’ensemble**. Si aucune entité de conformité n’existe, l’écran propose **Créer mon espace de conformité**. Utilisez cette action avec un compte autorisé et suivez le parcours affiché. ![Vue d’ensemble du suivi de conformité](https://docs.cisapp.eu/images/fr/compliance.webp) *Un espace de conformité est nécessaire pour commencer à suivre exigences et mesures. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/compliance.webp)* ## Lire le tableau de bord La vue présente les référentiels associés, la couverture des mesures et les prochaines actions. Utilisez **Reprendre mes tâches** pour revenir au travail à effectuer et **Ajouter un référentiel** pour étendre le périmètre lorsque l’action est disponible. 1. Vérifiez les référentiels inclus dans votre périmètre. 2. Identifiez les mesures attendues qui ne sont pas encore en place. 3. Ouvrez **Exigences & mesures** pour compléter les éléments. 4. Consultez les prochaines actions et répartissez le travail. 5. Relisez la couverture après mise à jour. ## Interpréter la couverture L’indicateur représente l’état déclaré dans CISAPP. Il ne constitue pas, à lui seul, une certification ou une validation réglementaire. Une même mesure peut contribuer à plusieurs référentiels ; évitez de dupliquer son suivi sans vérifier les correspondances proposées. ## Disponibilité des espaces réglementaires Les pages dédiées **NIS2**, **DORA** et **AI Act** sont actuellement en construction. Le suivi d’exigences et de mesures disponible dans l’espace commun reste distinct de ces pages dédiées. Pour la suite, consultez [Exigences et mesures](https://docs.cisapp.eu/conformite/exigences-mesures). ## Résultat attendu La vue d’ensemble reflète les référentiels et le périmètre sélectionnés. Les données manquantes et les actions à poursuivre sont identifiées. --- Source: https://docs.cisapp.eu/conformite/exigences-mesures Markdown: https://docs.cisapp.eu/conformite/exigences-mesures.md # Suivre les exigences et les mesures Organiser les référentiels, mettre à jour les mesures et exporter la SoA. > **Accès :** membre. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Prérequis Un espace de conformité doit exister et être accessible à votre compte. Les actions de modification dépendent de vos droits. ## Travailler dans l’espace commun 1. Ouvrez **Conformité → Exigences & mesures**. 2. Sélectionnez le référentiel et le périmètre proposés par l’interface. 3. Utilisez les filtres pour retrouver les exigences ou les mesures à traiter. 4. Ouvrez un élément et vérifiez son applicabilité, son statut et les informations attendues. 5. Complétez le suivi et les preuves proposées, puis enregistrez. 6. Revenez à la vue d’ensemble pour relire la couverture. ![Espace Exigences et mesures](https://docs.cisapp.eu/images/fr/requirements.webp) *L’espace commun rassemble le suivi des exigences et des mesures. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/requirements.webp)* ## Exigence, mesure et preuve Une exigence exprime ce qui est attendu. Une mesure décrit ce qui est mis en place. Une preuve appuie l’état déclaré. Gardez ces trois niveaux cohérents : un document ajouté ne signifie pas automatiquement que la mesure est réalisée. ## Exporter la SoA Utilisez **Exporter la SoA** lorsque disponible. Vérifiez le référentiel, le périmètre et le contenu de l’export avant de le transmettre. Un export est un état à un instant donné. ## Difficultés courantes - Aucun espace : revenez à la [vue d’ensemble](https://docs.cisapp.eu/conformite/vue-ensemble) pour le créer. - Élément absent : vérifiez les filtres et le référentiel sélectionné. - Modification impossible : demandez les droits nécessaires sur le périmètre. - Preuve inaccessible : contrôlez les permissions du fichier, indépendamment de l’accès à l’exigence. ## Résultat attendu L’exigence et les mesures associées possèdent un suivi à jour, avec des preuves accessibles aux relecteurs autorisés. --- Source: https://docs.cisapp.eu/conformite/trust-center Markdown: https://docs.cisapp.eu/conformite/trust-center.md # Partager son Trust Center Préparer un instantané de conformité, choisir sa visibilité et révoquer son lien. > **Accès :** membre. Selon les modules activés et votre offre. Le Trust Center présente un instantané de votre démarche de conformité, à télécharger ou publier via un lien public. ## Préparer le partage 1. Ouvrez **Conformité → Trust Center** avec les droits nécessaires. 2. Relisez l’**Aperçu**, la date et les référentiels inclus. 3. Choisissez les options : **Référentiels inclus**, **Masquer le détail des preuves** et **Validité**. 4. Utilisez **Télécharger le PDF** pour obtenir une copie à relire. 5. Si vous souhaitez un accès public, activez **Publier publiquement**, puis utilisez **Copier le lien**. ![Préparation du Trust Center](https://docs.cisapp.eu/images/fr/trust-center.webp) *Les options de publication déterminent ce que votre lecteur peut consulter. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/trust-center.webp)* ## Vérifier et révoquer Ouvrez le lien dans une fenêtre privée pour vérifier ce qui est accessible sans connexion. Pour retirer l’accès public, désactivez sa publication. Si une validité limitée a été choisie, vérifiez l’échéance affichée. ## Ce que lit votre destinataire Il consulte un instantané, pas nécessairement l’état en cours de toutes vos mesures. Vérifiez la date et actualisez le partage lorsque le contenu doit être renouvelé. ## Difficultés courantes Sans espace de conformité, créez d’abord votre espace depuis la [vue d’ensemble](https://docs.cisapp.eu/conformite/vue-ensemble). Si le lien ne fonctionne plus, contrôlez sa publication et sa validité. Avant tout partage, vérifiez le contenu réellement affiché dans l’aperçu. ## Résultat attendu Le portail affiche uniquement les informations et documents que vous avez choisis de rendre accessibles. Le lien public a été relu hors de votre session. --- Source: https://docs.cisapp.eu/conformite/rgpd Markdown: https://docs.cisapp.eu/conformite/rgpd.md # Tenir les registres RGPD Créer un registre et décrire les activités de traitement, données et transferts. > **Accès :** membre. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Créer le registre 1. Ouvrez **Conformité → RGPD**. 2. Démarrez la création du registre et choisissez son **Type** et son **Mode**. 3. Renseignez les contacts proposés, notamment le DPO et le contact responsable de traitement lorsque pertinents. 4. Cliquez sur **Créer le registre**. Si un registre de ce type existe déjà, CISAPP peut ouvrir le registre existant plutôt que d’en créer un doublon. ![Registres de traitement RGPD](https://docs.cisapp.eu/images/fr/gdpr.webp) *Le registre regroupe les activités de traitement décrites par votre entreprise. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/gdpr.webp)* ## Ajouter une activité de traitement Depuis le registre, créez une activité. Complétez les informations générales, les informations client lorsqu’elles sont demandées, les données traitées, les destinataires et les transferts. Relisez le détail créé et vérifiez les pièces ou informations justificatives. L’activité de traitement RGPD est distincte de l’activité métier utilisée pour les dépendances fournisseurs. ## Mettre à jour Revenez à la fiche d’une activité lorsque les données, finalités, destinataires ou transferts changent. Utilisez les actions de modification du registre pour maintenir ses contacts et son contexte. ## Résultat attendu Un lecteur autorisé peut comprendre le traitement décrit et ses principaux acteurs. Le registre facilite votre suivi ; la validation des informations revient aux personnes responsables de votre démarche RGPD. Pour un événement affectant les données personnelles, consultez [Violations de données](https://docs.cisapp.eu/conformite/violations). --- Source: https://docs.cisapp.eu/conformite/violations Markdown: https://docs.cisapp.eu/conformite/violations.md # Évaluer une violation de données Décrire l’événement et utiliser l’assistant d’évaluation de gravité. > **Accès :** membre. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Objectif L’espace des violations permet de conserver les informations d’un événement affectant les données personnelles et d’utiliser un assistant d’évaluation de gravité. ## Utiliser l’assistant 1. Ouvrez les violations depuis l’espace RGPD ou la fiche liée à l’incident. 2. Démarrez l’évaluation de gravité. 3. Complétez **Détails de l’incident** : contexte, entité et faits connus. 4. À **Impact des données**, décrivez les données et les conséquences pertinentes. 5. Complétez les **Facteurs de risque** à partir des informations disponibles. 6. Relisez les **Résultats de l’évaluation** et enregistrez le suivi proposé. ## Relire et compléter Rouvrez la fiche lorsque de nouveaux faits sont connus. Si vous modifiez l’évaluation, contrôlez les résultats après mise à jour. Distinguez les faits confirmés des hypothèses dans vos descriptions. ## Limites de l’assistant Le résultat facilite l’analyse ; il ne décide pas à la place des responsables de votre entreprise. Les décisions de notification et les démarches correspondantes doivent être traitées dans votre processus de gestion de l’événement. Ne supposez pas qu’enregistrer une violation dans CISAPP réalise une notification externe. ## Résultat attendu La fiche conserve un contexte et une évaluation relisibles, cohérents avec l’[incident](https://docs.cisapp.eu/risques/incidents) associé. --- Source: https://docs.cisapp.eu/conformite/documents Markdown: https://docs.cisapp.eu/conformite/documents.md # Gérer les documents de gouvernance Utiliser le catalogue, préparer les documents attendus et suivre ses documents. > **Accès :** administrateur d’entreprise. Selon les modules activés et votre offre. ## Consulter les documents Ouvrez **Conformité → Documents**. L’espace distingue vos documents, ceux à produire, le catalogue de modèles et les paramètres accessibles selon vos droits. ![Documents et catalogue de gouvernance](https://docs.cisapp.eu/images/fr/governance.webp) *Le catalogue aide à démarrer un document adapté au besoin identifié. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/governance.webp)* ## Créer ou importer 1. Consultez les documents à produire ou le catalogue pour identifier un modèle adapté. 2. Démarrez sa création et complétez les informations proposées. 3. Ouvrez le document créé pour adapter le contenu à votre entreprise. 4. Utilisez l’import si vous disposez déjà d’un document à reprendre dans l’espace. 5. Relisez et enregistrez les informations avant de le partager. ## Paramétrer le périmètre Les paramètres de gouvernance déterminent les éléments proposés à votre entreprise. Leur modification nécessite les droits d’administration appropriés. Vérifiez les effets d’un changement avant de l’appliquer. ## Résultat attendu Les documents de votre entreprise correspondent à son contexte, plutôt qu’à un modèle laissé sans adaptation. Un document de gouvernance et une preuve jointe à une évaluation peuvent être liés dans votre démarche, mais leurs droits et leur suivi restent à vérifier séparément. ## Difficultés courantes Si un modèle n’apparaît pas, vérifiez les filtres, la langue et le périmètre. Si vous ne pouvez pas modifier un document, contrôlez les accès. Pour partager des fichiers, consultez [Fichiers et classement](https://docs.cisapp.eu/collaboration/fichiers). --- Source: https://docs.cisapp.eu/pilotage/tableau-bord Markdown: https://docs.cisapp.eu/pilotage/tableau-bord.md # Lire et composer les tableaux de bord Lire l’Accueil, créer un tableau de bord à partir d’un modèle, ajouter des widgets, le partager et organiser le menu Pilotage. > **Accès :** membre pour consulter ; administrateur d’entreprise (ou administrateur d’entité client) pour organiser le menu et choisir l’Accueil. Le module tableaux de bord dépend de votre offre. ## Ouvrir l’Accueil Cliquez sur **Accueil**. L’entreprise choisit le tableau de bord qui s’affiche ici pour tous ses membres. Si aucun Accueil n’est défini, c’est le modèle **Vue d’ensemble** (fournisseurs critiques, risques ouverts, dérogations à échéance, couverture des évaluations) qui s’affiche. Si aucun tableau n’est disponible, la page propose de créer le vôtre ou, pour un administrateur, de choisir l’Accueil de l’entreprise. ![Tableau de bord Vue d’ensemble](https://docs.cisapp.eu/images/fr/dashboard.webp) *Les chiffres doivent être lus avec leur périmètre et les données effectivement renseignées. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/dashboard.webp)* Sur un tableau, les contrôles de **période et d’actualisation** permettent de fixer la période des graphiques, d’actualiser tous les widgets ou de choisir une actualisation automatique. Chaque widget offre aussi, selon son type, **Plein écran**, **Voir en tableau**, **Exporter en CSV** ou **en image (PNG)**, et un lien **Voir le détail** vers le registre concerné. ## Retrouver ses tableaux de bord Le menu **Pilotage** liste les tableaux épinglés par l’entreprise et vos favoris. **Tous les tableaux de bord** ouvre la liste complète, avec quatre onglets : | Onglet | Contenu | |---|---| | Mes tableaux de bord | Ceux que vous avez créés. | | Partagés avec moi | Ceux dont un collègue vous a donné l’accès. | | Organisation | Les tableaux de l’entreprise, visibles de tous les membres. | | Modèles | Tableaux préconstruits par CISAPP, en lecture seule. | Utilisez la recherche pour filtrer, l’étoile pour ajouter ou retirer un favori (les favoris sont triés en premier). ## Créer un tableau de bord 1. Dans la liste, cliquez **Nouveau tableau de bord**. 2. **Point de départ** : choisissez un tableau vierge ou un modèle (Vue d’ensemble, Fournisseurs, Risques, Conformité, Évaluations, Suivi des plans d’action, Suivi de plan d’action, SecOps, RGPD, Comité risque tiers). 3. **Informations** : nom, description et icône. 4. **Accès et partage** : vous en êtes propriétaire ; ajoutez des collègues ou des équipes avec les droits de lecture ou de modification, comme pour les autres éléments. 5. **Récapitulatif**, puis création. Un avertissement s’affiche si certains partages ont échoué : réessayez depuis **Partager**. Un brouillon de création interrompu peut être restauré à la réouverture de l’assistant. ## Ajouter et organiser des widgets Sur un tableau que vous pouvez modifier, cliquez **Personnaliser** (ou **Ajouter un widget** si le tableau est vide). La galerie a deux onglets : - **Prêts à l’emploi** : indicateurs préconfigurés, classés par catégorie (fournisseurs, risques, conformité, incidents, etc.). Utilisez **Rechercher un indicateur…** ou **Tout déplier** / **Tout replier**. Un indicateur absent de votre offre porte un cadenas (« Non inclus dans votre offre »). - **Créer depuis zéro** : choisissez un type de visualisation (chiffre clé, ratio, courbe, barres, anneau, liste, matrice, texte, section, actualités, graphe réseau, cartographie), puis configurez ses données. Glissez un widget sur le tableau, ou cliquez dessus pour l’ajouter. Un tableau compte au plus 40 widgets (« Limite de 40 widgets atteinte »). - **Configurer** ouvre l’éditeur du widget : visualisation, requêtes, formules, filtres, objectif et seuils. Voir [Configurer un widget](https://docs.cisapp.eu/pilotage/widgets). - Déplacez et redimensionnez les widgets à la souris, ou au clavier (flèches ; Maj + flèches pour redimensionner). La disposition ne se modifie que sur un écran d’au moins 1024 px. - **Dupliquer** et **Supprimer** sont disponibles sur chaque widget en mode personnalisation. - **Annuler/Rétablir**, puis **Enregistrer**. Si quelqu’un d’autre a enregistré le tableau pendant votre édition, choisissez **Recharger** ou **Écraser**. Des modifications non enregistrées peuvent être restaurées au retour. - **Il vous manque un indicateur ?** **Demander un widget** envoie votre besoin (titre, besoin, visualisation souhaitée) à l’équipe CISAPP, qui répond par email. Le nombre de demandes est limité par heure. ## Partager, dupliquer, publier Dans le menu d’actions d’un tableau : - **Partager** : donne l’accès à des membres ou équipes (droits de lecture/modification). - **Dupliquer** : crée une copie personnelle. Un modèle ou un tableau en lecture seule se personnalise ainsi (**Dupliquer pour personnaliser**). - **Proposer à l’organisation** : crée une copie en brouillon pour l’entreprise. - **Publier** / **Repasser en brouillon** (administrateur) : un brouillon d’entreprise est invisible des membres, du menu Pilotage et de l’Accueil. - **Définir comme Accueil de l’organisation** (administrateur) : les membres arrivent sur ce tableau. - **Supprimer** : définitif ; réservé au propriétaire. ## Organiser le menu Pilotage (administrateur) Deux accès mènent aux mêmes réglages : - Dans la liste, **Organiser le menu** : glissez des tableaux vers **Épinglés** (20 maximum) et réordonnez-les ; choisissez l’**Accueil**. - **Mon entreprise → Tableaux de bord** : la section **Accueil** choisit le **Tableau de bord d’accueil** ; la section **Menu Pilotage** liste les tableaux épinglés, dans l’ordre, avec **Gérer le menu**. Seuls les tableaux d’organisation publiés peuvent servir d’Accueil ; sans choix, les membres voient **Vue d’ensemble (modèle CISAPP)**. Le tableau d’Accueil est toujours épinglé ; le retirer des épinglés le retire de l’Accueil. Un brouillon d’organisation ne peut pas être épinglé : publiez-le d’abord. Épingler un tableau personnel le **transfère à l’entreprise** (visible de tous, modifiable par les administrateurs, partages personnels retirés) après confirmation. ## Préparer une revue 1. Vérifiez l’heure de mise à jour et la période. 2. Ouvrez les éléments prioritaires depuis les listes et liens **Voir le détail**. 3. Examinez leurs détails avant de décider d’une action. 4. Complétez les données manquantes dans les registres concernés. ## Limites actuelles Les widgets reflètent les données des modules activés. Une valeur vide ou un tiret peut correspondre à une donnée non disponible, pas à un zéro. L’évolution dans le temps d’un chiffre clé ou d’un ratio n’est disponible qu’après activation de **Suivre l’historique**, sans reconstitution du passé (voir [Fixer un objectif et des seuils](https://docs.cisapp.eu/pilotage/widgets#fixer-un-objectif-et-des-seuils)). Voir aussi [Configurer un widget](https://docs.cisapp.eu/pilotage/widgets), [Langage de requête](https://docs.cisapp.eu/pilotage/langage-requete) et [Préparer un comité risque](https://docs.cisapp.eu/parcours/comite-risque). ## Résultat attendu Vous ouvrez l’Accueil, retrouvez ou créez le tableau adapté, et les indicateurs sont relus avec leur périmètre avant d’ouvrir les registres correspondants. --- Source: https://docs.cisapp.eu/pilotage/dependances Markdown: https://docs.cisapp.eu/pilotage/dependances.md # Explorer la carte des dépendances Relier les activités aux fournisseurs pour comprendre les impacts d’une défaillance. > **Accès :** membre. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Préparer les données La carte s’appuie sur les activités et leurs relations avec les fournisseurs. Commencez par créer vos activités métier et associer leurs fournisseurs. Sans relations, la carte peut être vide même si le registre contient des tiers. ## Explorer la carte 1. Ouvrez **Pilotage → Carte de dépendances**. 2. Repérez les activités et les sujets qu’elles utilisent. 3. Utilisez les filtres et les options de présentation proposés. 4. Ouvrez les détails accessibles pour examiner les relations importantes. 5. Rapprochez cette lecture de la criticité et des risques identifiés. ![Carte des dépendances entre activités et fournisseurs](https://docs.cisapp.eu/images/fr/dependencies.webp) *Une relation non renseignée dans les registres ne peut pas être déduite de la carte. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/dependencies.webp)* ## Résultat attendu Vous pouvez identifier les activités touchées si un fournisseur devient indisponible et préparer les questions à examiner en revue. ## Carte vide ou incomplète Vérifiez les relations dans les fiches des activités, les filtres et vos droits. Un fournisseur isolé dans la carte peut indiquer un lien manquant ; ce n’est pas une preuve qu’il n’a aucun impact métier. Pour repérer les dépendances partagées, consultez [La concentration](https://docs.cisapp.eu/pilotage/concentration). --- Source: https://docs.cisapp.eu/pilotage/concentration Markdown: https://docs.cisapp.eu/pilotage/concentration.md # Lire la concentration des dépendances Repérer les fournisseurs partagés et les activités exposées. > **Accès :** membre. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Objectif La concentration permet d’examiner les dépendances communes entre plusieurs activités. Elle complète la carte sans remplacer la revue des données sources. ## Effectuer la revue 1. Ouvrez **Pilotage → Vue concentration**. 2. Vérifiez le périmètre et les filtres proposés. 3. Repérez les fournisseurs et sujets utilisés par plusieurs activités. 4. Ouvrez les éléments associés pour comprendre leur criticité et les solutions de repli décrites. 5. Identifiez les dépendances à approfondir avec les responsables métier. ![Vue de concentration des dépendances](https://docs.cisapp.eu/images/fr/concentration.webp) *La lecture dépend des relations renseignées dans les activités. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/concentration.webp)* ## Interpréter les résultats Une concentration élevée est un signal à examiner, pas une décision automatique. Vérifiez les alternatives réelles, les contraintes de remplacement et les risques déjà suivis. Une activité sans lien renseigné ne doit pas être considérée comme sans dépendance. ## Résultat attendu Vous disposez d’une liste de dépendances à examiner en comité, avec les activités concernées. Enregistrez les décisions dans vos [risques](https://docs.cisapp.eu/risques/registre) ou vos [projets](https://docs.cisapp.eu/collaboration/projets). Si la vue semble incohérente, commencez par vérifier la [carte de dépendances](https://docs.cisapp.eu/pilotage/dependances) et les fiches des activités. --- Source: https://docs.cisapp.eu/pilotage/actualites Markdown: https://docs.cisapp.eu/pilotage/actualites.md # Organiser sa veille GRC La veille rassemble les actualités des sources activées pour votre entreprise. > **Accès :** membre disposant des accès au module ; fonctionnalité en **bêta**, selon l’offre et les activations. ## Consulter les actualités 1. Dans **Accueil**, ouvrez la section des actualités puis son lien vers la liste complète. 2. Filtrez la **Catégorie** ou la **Source** pour isoler les sujets utiles. 3. Ouvrez un article pour consulter sa publication d’origine dans un nouvel onglet. 4. Parcourez les pages suivantes si la liste dépasse une page. ![Liste des actualités GRC](https://docs.cisapp.eu/images/fr/news.webp) *Les filtres réduisent le flux aux sources et catégories utiles. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/news.webp)* ## Gérer les sources Ouvrez **Gérer mes sources**. Le catalogue regroupe les sources par catégorie ; les interrupteurs déterminent celles utilisées pour votre entreprise. Les modifications peuvent donc affecter la veille des autres membres. Pour un flux supplémentaire, utilisez l’ajout de flux personnalisé, renseignez un nom et une URL RSS publique en HTTPS, puis validez. Les adresses privées ne sont pas acceptées ; respectez la limite de flux indiquée par l’interface. Vérifiez les droits nécessaires avant de modifier ou supprimer une source. ## Résultat attendu Les actualités proviennent des sources souhaitées et peuvent être filtrées par sujet. Un article de veille apporte du contexte ; il ne modifie pas automatiquement vos exigences ou votre registre des risques. ## Difficultés courantes Pour une liste vide, retirez les filtres et vérifiez les sources activées. Si un flux est refusé, vérifiez qu’il est public, en HTTPS et au format RSS attendu. L’absence d’article récent peut aussi venir de la source d’origine. --- Source: https://docs.cisapp.eu/pilotage/widgets Markdown: https://docs.cisapp.eu/pilotage/widgets.md # Configurer un widget Choisir la visualisation d’un widget, décrire ses données avec des requêtes et des filtres, les combiner par des formules et fixer un objectif. > **Accès :** droit de modification sur le tableau de bord. Un modèle ou un tableau en lecture seule se modifie après **Dupliquer pour personnaliser**. Le module tableaux de bord et certains indicateurs dépendent de votre offre. ## Ouvrir l’éditeur 1. Sur le tableau, cliquez **Personnaliser**. 2. Ajoutez un widget depuis la galerie, ou ouvrez le menu d’un widget existant et choisissez **Configurer**. 3. L’éditeur s’ouvre dans un panneau latéral. **Agrandir l’éditeur** lui donne toute la largeur de l’écran. Le panneau contient le **Titre**, un **Aperçu**, puis les sections **Visualisation**, **Données** et **Affichage**. **Appliquer** reporte les réglages sur le tableau ; pensez ensuite à **Enregistrer** le tableau. L’aperçu se met à jour pendant la saisie. Tant que la configuration est incomplète, il affiche « L’aperçu s’affichera une fois la configuration complète » ou « Aperçu de la dernière configuration valide ». **Épingler l’aperçu** le garde visible pendant que vous faites défiler les réglages. ## Choisir la visualisation | Visualisation | Usage | Données attendues | |---|---|---| | Chiffre clé | Une valeur mise en avant. | Une valeur unique. | | Ratio | Un pourcentage avec une barre ou un anneau de progression. | Une part et un total. | | Courbe | Une évolution dans le temps. | Un regroupement par date ; jusqu’à 12 séries. | | Barres | Une comparaison entre catégories ou périodes. | Un regroupement ; jusqu’à 12 séries. | | Anneau | Une répartition. | Un regroupement par catégorie. | | Liste | Des éléments avec un lien vers leur détail. | Des colonnes (8 maximum). | | Matrice | Une grille qui croise deux dimensions, colorée selon le volume. | Un regroupement et un champ **Séparer par**. | | Graphe réseau | Les liens entre fournisseurs, actifs ou risques. | Une source de type réseau. | | Texte | Des consignes, du contexte, des liens. | Aucune : contenu Markdown (titres, listes, liens, gras). | | Section | Un titre qui sépare le tableau en parties. | Aucune : titre et **Sous-titre** facultatif. | | Actualités | Les dernières actualités cyber. | Aucune : **Sources**, **Catégories** et **Nombre d’articles**. | | Cartographie | Une mini-carte de vos fournisseurs et de leurs dépendances. | Aucune. | Changer de visualisation adapte les requêtes existantes quand c’est possible. Si les données ne conviennent pas au nouveau type, un message l’indique en bas du panneau, par exemple « Ce type de widget demande un regroupement et un champ « Séparer par ». » ## Décrire les données avec des requêtes La section **Données** contient une ou plusieurs requêtes. Chaque requête porte un nom (**a**, **b**…) que la valeur affichée et les formules réutilisent. 1. Dans **Source**, choisissez un indicateur prêt à l’emploi (groupe **Indicateurs**) ou une famille de données (groupe **Données** : fournisseurs, risques, mesures de traitement, incidents, contrôles, preuves, dérogations, évaluations, actifs, vulnérabilités, applications, activités, traitements RGPD, connecteurs, plans d’action, tâches). 2. Ajoutez des filtres (voir plus bas). 3. Pour une courbe, des barres ou un anneau, choisissez **Regrouper par**. Pour une date, choisissez la période : jour, semaine, mois, trimestre ou année. 4. Pour une liste, choisissez les **Colonnes** (8 maximum). 5. Ouvrez **Options avancées** si nécessaire : **Calculer** (Nombre, Valeurs distinctes, Somme, Moyenne, Médiane, Minimum, Maximum, Part), **Sur le champ**, **Séparer par**, **Période** et **Date utilisée**, **Trier par** et **Nombre maximum de lignes** (200 maximum). 6. Le champ **Libellé** renomme la série dans la légende. Le sélecteur **Plans d’action** limite les données aux plans d’action choisis, pour les sources qui s’y rattachent. Sur chaque ligne de requête, vous pouvez **Masquer** ou **Afficher** la requête (elle reste calculée et utilisable par les formules), la **Dupliquer**, la **Supprimer** ou la replier. La bascule **Formulaire / Code** permet d’écrire la requête en texte ; voir [Langage de requête](https://docs.cisapp.eu/pilotage/langage-requete). Le bouton **Requête** ajoute une requête, copiée de la dernière requête de données : il suffit souvent d’en changer un filtre. Un widget compte au plus 6 requêtes. ## Filtrer les données 1. Cliquez **Ajouter un filtre**, choisissez un champ, une condition et une valeur. 2. Pour combiner des conditions, cliquez **Ajouter un groupe** et choisissez le mode : **Toutes** (toutes les conditions), **Au moins une** ou **Aucune**. Conditions disponibles selon le champ : est égal à, est différent de, supérieur, supérieur ou égal, inférieur, inférieur ou égal, contient, est parmi, n’est pas parmi, contient tous, est entre, est vide, est renseigné. Valeurs dynamiques : - **Moi (utilisateur connecté)** et **Mes équipes** : chaque lecteur voit ses propres chiffres. - Dates relatives : Aujourd’hui, Il y a 7, 30 ou 90 jours, Il y a un an, Dans 7 ou 30 jours, Début de la semaine, du mois, du trimestre ou de l’année, ou **Date précise**. Un filtre incomplet n’est pas appliqué ; il est signalé par « Pas encore pris en compte dans l’aperçu : complétez ou supprimez. » Une requête compte au plus 20 conditions et 4 niveaux de groupes. ## Choisir la valeur affichée En tête de la section **Données**, un bloc indique ce que le widget affiche. Il dépend de la visualisation. **Chiffre clé, anneau, matrice, graphe réseau : Valeur affichée.** Saisissez une expression : par défaut `a`, la première requête. Cliquez sur les puces de requêtes pour les insérer, par exemple `a - b`. Le bloc résume « Affiché : … ». **Ratio : Part et total.** Le widget affiche part / total en pourcentage. - **Part** : la requête comptée, avec ses **Filtres de la part** (« Part qui… »). - **Total** : par défaut, la même source sans les filtres de la part (« a sans les filtres de la part »). Vous pouvez aussi choisir une autre requête, une formule ou **Nouvelle source…**. Exemple : part des fournisseurs critiques dont l’évaluation est à jour, sur l’ensemble des fournisseurs critiques. **Courbe, barres, liste : Séries affichées.** Chaque requête visible est une série. **Combiner les séries** remplace les séries par une **Expression combinée** (par défaut `pct(a, b)`). **Afficher les séries séparément** revient aux séries. Une courbe ou des barres affichent au plus 12 séries. ## Combiner par des formules Le bouton **Formule** ajoute une valeur intermédiaire nommée, par exemple `d = max(a, b)`. La valeur affichée et les formules suivantes peuvent la réutiliser. - Opérateurs : `+`, `-`, `*`, `/` et parenthèses. - Le bouton **?** affiche les **Fonctions disponibles**. Pendant la saisie, les suggestions se parcourent avec ↑ ↓ ; **Entrée** ou **Tab** insère, **Échap** ferme. - Une formule ne lit que les requêtes et les formules déclarées avant elle. - Un widget compte au plus 4 formules, de 200 caractères et 8 niveaux d’imbrication maximum. | Fonction | Résultat | |---|---| | `abs(x)` | Valeur absolue. | | `round(x, digits)` | Arrondi, à `digits` décimales (0 par défaut). | | `floor(x)`, `ceil(x)` | Arrondi à l’entier inférieur ou supérieur. | | `sqrt(x)` | Racine carrée (vide si négatif). | | `pow(x, n)` | x à la puissance n. | | `min(…)`, `max(…)` | Plus petite ou plus grande des valeurs. | | `sum(…)`, `avg(…)` | Somme ou moyenne, les vides ignorés. | | `clamp(x, low, high)` | Borne x entre low et high. | | `coalesce(…)` | Première valeur non vide (valeur de repli). | | `pct(part, whole)` | Pourcentage : part / whole × 100. | Exemples : - `pct(a, b)` : part de **a** dans **b**, en pourcentage. - `a - b` : écart entre deux requêtes, par exemple les risques ouverts moins les risques traités. - `coalesce(a, 0)` : affiche 0 plutôt qu’une valeur vide. Les séries sont alignées par période et les répartitions par catégorie. Une division par zéro ou une valeur manquante donne une valeur vide, sauf pour `coalesce`, `min`, `max`, `sum` et `avg`, qui ignorent les vides. Supprimer une requête utilisée par une formule affiche un avertissement : corrigez la formule concernée. ## Fixer un objectif et des seuils Pour un chiffre clé ou un ratio, la section **Affichage** propose **Objectif et seuils** : - **Objectif** (ou **Objectif (%)**) : affiché à côté de la valeur ; une fois atteint, la valeur passe au vert. - **Seuil atteint** et **Seuil d’alerte** : vert au-delà du seuil atteint, orange au-delà du seuil d’alerte, rouge sinon. Si le seuil atteint est inférieur au seuil d’alerte, une valeur basse est meilleure. - **Suivre l’historique** : enregistre la valeur chaque jour. La courbe démarre à l’activation : rien n’est reconstitué. Pour un ratio, **Affichage** permet aussi de choisir **Barre** ou **Anneau**. Une fois l’historique activé, **Afficher l’évolution** dans le menu du widget ajoute une courbe de la valeur enregistrée. Seul son titre se modifie ; la requête se change sur le widget d’origine. ## Résultat attendu Le widget affiche la valeur, le pourcentage ou les séries voulus, l’aperçu correspond au résultat, et le tableau est enregistré. ## Difficultés courantes - **Appliquer** reste grisé : lisez les messages en bas du panneau, par exemple « Ajoutez une requête ou rendez-en une visible. » ou « 6 requêtes maximum. » - « Les sorties n’ont pas la même forme : alignez les regroupements des requêtes. » : les requêtes combinées doivent utiliser le même regroupement. - « La requête a est séparée par un second champ : retirez-le pour l’utiliser dans une formule. » : retirez **Séparer par** de cette requête. - « La requête a renvoie une liste ou un graphe : elle ne peut pas être utilisée dans une formule. » : une liste ou un graphe ne se combine pas. - « Aucune requête ni formule ne s’appelle d » : déclarez la formule **d** avant celle qui l’utilise, ou corrigez le nom. - **Suivre l’historique** absent : l’historique ne s’applique qu’à une seule requête de données, sans formule, et sans les valeurs **Moi** ou **Mes équipes**. - Valeur différente d’un autre widget : la période du tableau de bord peut s’imposer au widget (« Période imposée par le tableau de bord »). Une requête en échec est signalée par « Requêtes en erreur : … ». Voir aussi [Lire et composer les tableaux de bord](https://docs.cisapp.eu/pilotage/tableau-bord) et [Langage de requête](https://docs.cisapp.eu/pilotage/langage-requete). --- Source: https://docs.cisapp.eu/pilotage/langage-requete Markdown: https://docs.cisapp.eu/pilotage/langage-requete.md # Langage de requête des widgets Référence de la syntaxe texte qui décrit les données d’un widget : mesures, conditions, regroupements, période, tri et fonctions. > **Accès :** droit de modification sur le tableau de bord. Voir [Configurer un widget](https://docs.cisapp.eu/pilotage/widgets) pour l’éditeur. ## Écrire une requête en texte 1. Dans l’éditeur du widget, repérez la ligne de requête (**a**, **b**…). 2. Basculez de **Formulaire** à **Code**. 3. Saisissez la requête. L’éditeur propose des **Suggestions** (mesures, données, clauses, champs, valeurs) et signale les erreurs avec leur position. Le texte décrit toute la requête et équivaut au formulaire : vous passez de l’un à l’autre sans perte. La requête est appliquée dès qu’elle est valide. Le sélecteur **Plans d’action** se règle uniquement dans le formulaire. ``` count(ticket) where status IN (TODO, BLOCKED) by priority split assignee ``` ## Structure Une requête commence par `mesure(données)`, suivie de clauses, dans n’importe quel ordre et chacune au plus une fois. | Clause | Sens | Exemple | |---|---|---| | `where …` | Conditions sur les éléments comptés. | `where status != DONE` | | `of …` | Avec `percent` : part des éléments qui vérifient la condition. | `percent(riskMeasure) of status = VERIFIED` | | `by champ` | Regrouper. Pour une date : `by champ:day`, `week`, `month`, `quarter` ou `year`. | `by createdAt:month` | | `split champ` | Séparer par un second champ. | `split assignee` | | `columns a, b` | Avec `list` : colonnes de la liste (8 maximum). | `columns title, owner` | | `during …` | Période : `last7d`, `last30d`, `last90d`, `last12m`, `ytd`, `all`, ou `"2026-01-01" to "2026-03-31"`. | `during last12m` | | `on champ` | Champ de date auquel s’applique la période. | `on dueDate` | | `sort …` | Tri : `value` ou `key` pour un regroupement, un champ pour une liste, puis `asc` ou `desc`. | `sort value desc` | | `limit n` | Nombre maximum de lignes ou de groupes (200 maximum). | `limit 10` | ## Mesures | Mesure | Sens | |---|---| | `count(ticket)` | Nombre d’éléments. | | `sum`, `avg`, `min`, `max`, `median` | Calcul sur un champ numérique : `avg(vendor.criticality)`. | | `distinctCount(ticket.assignee)` | Nombre de valeurs distinctes. | | `percent(ticket)` | Pourcentage, avec la clause `of`. | | `list(ticket)` | Liste d’éléments, avec la clause `columns`. | ## Données | Code | Données | |---|---| | `vendor` | Fournisseurs | | `risk`, `riskMeasure` | Risques, mesures de traitement | | `incident` | Incidents | | `control`, `evidence` | Contrôles, preuves | | `exemption` | Dérogations | | `evaluation` | Évaluations | | `asset`, `finding` | Actifs, vulnérabilités | | `application` | Applications | | `scope` | Activités | | `processingActivity` | Traitements RGPD | | `connector` | Connecteurs | | `project`, `ticket` | Plans d’action, tâches | Les données proposées dépendent des modules de votre offre. ## Conditions Les clauses `where` et `of` contiennent des conditions, combinées par `AND`, `OR`, `NOT` et des parenthèses. `AND` est prioritaire sur `OR`. ``` criticality >= 3 AND status = ACTIVE AND (cf."SSO" = false OR cf."SSO" IS EMPTY) ``` | Opérateur | Sens | Exemple | |---|---|---| | `=` `!=` | Égal, différent. | `status = ACTIVE` | | `>` `>=` `<` `<=` | Comparaison de nombres ou de dates. | `criticality >= 3` | | `~` | Contient (texte). | `name ~ "bank"` | | `IN (…)` `NOT IN (…)` | Parmi, pas parmi. | `status IN (ACTIVE, ONBOARDING)` | | `ALL (…)` | Contient toutes les valeurs (champs à valeurs multiples). | `tags ALL ("critique", "UE")` | | `BETWEEN … AND …` | Entre deux valeurs. | `dueDate BETWEEN 2026-01-01 AND 2026-03-31` | | `IS EMPTY` `IS NOT EMPTY` | Vide, renseigné. | `assignee IS EMPTY` | Les opérateurs disponibles dépendent du type de champ. Une requête compte au plus 20 conditions et 4 niveaux de parenthèses. ## Champs et valeurs - **Champs** : utilisez le nom technique proposé par les suggestions (`status`, `criticality`, `assignee`, `dueDate`…). Un champ personnalisé s’écrit `cf."Nom du champ"`. - **Texte** entre guillemets : `"Implémentation SSO"`. - **Nombres** : `3`, `0.5`. **Booléens** : `true`, `false`. **Dates** : `2026-03-31`. - **Valeurs fixes** (statut, type…) : le code ou le libellé ; les suggestions affichent le libellé. - **Références** (utilisateur, équipe, plan d’action, fournisseur) : le nom entre guillemets, par exemple `project = "Implémentation SSO"`. CISAPP enregistre l’identifiant : le widget continue de fonctionner si l’élément est renommé. ## Fonctions | Fonction | Valeur | |---|---| | `me()` | L’utilisateur qui consulte le tableau de bord. | | `myTeams()` | Ses équipes. | | `now()` | Maintenant ; `now(-30d)` il y a 30 jours (`d` jours, `w` semaines, `m` mois, `y` années). | | `startOf(month)` | Début de la période : `day`, `week`, `month`, `quarter`, `year`. | Avec `me()` ou `myTeams()`, chaque lecteur voit ses propres chiffres. Un tel widget ne peut pas suivre d’historique. ## Exemples ``` count(ticket) where assignee = me() AND status != DONE by priority percent(riskMeasure) where status != PLANNED of dueDate < now() avg(vendor.criticality) by createdAt:month during last12m list(risk) columns title, owner, residualCriticality where open = true sort residualScore desc limit 10 count(ticket) where createdAt >= startOf(month) ``` ## Résultat attendu La requête est acceptée sans message d’erreur, l’aperçu du widget affiche les données attendues, et la bascule **Formulaire** montre les mêmes réglages. ## Difficultés courantes | Message | Cause | |---|---| | Champ « x » inconnu | Faute de frappe, ou champ personnalisé supprimé. | | Guillemet non fermé | Un texte entre guillemets n’est pas terminé. | | Valeur « x » inconnue | La valeur n’existe pas pour ce champ. | | Requête incomplète | La requête s’arrête au milieu d’une clause ou d’une condition. | | Mesure « x » inconnue | La requête doit commencer par une mesure : `count(…)`, `avg(…)`… | | Données « x » inconnues | Le nom entre parenthèses n’est pas une donnée de la liste ci-dessus. | | … demande un champ | `sum`, `avg`, `min`, `max`, `median` et `distinctCount` portent sur un champ : `avg(vendor.criticality)`. | | Le champ « x » n’est pas utilisable dans « by » | Ce champ ne peut pas servir à regrouper, séparer, trier ou afficher en colonne. | | La clause « x » n’est pas disponible | `of` va avec `percent`, `columns` avec `list` ; une liste n’a ni `by` ni `split`. | | La clause « x » apparaît deux fois | Chaque clause ne s’écrit qu’une fois. | | L’opérateur … n’est pas disponible pour le champ … | Choisissez un opérateur adapté au type du champ. | | Trop de conditions / Trop de parenthèses imbriquées | Au plus 20 conditions et 4 niveaux. | --- Source: https://docs.cisapp.eu/securite/exposition Markdown: https://docs.cisapp.eu/securite/exposition.md # Comprendre son exposition Distinguer le tableau de bord de sécurité, les périmètres, les actifs et les vulnérabilités. > **Accès :** membre, création d’outil. Selon les modules activés et votre offre. ## Les espaces disponibles Ouvrez **Sécurité opérationnelle** pour consulter le tableau de bord. Les fonctions avancées de périmètres, actifs et vulnérabilités nécessitent l’activation correspondante et le rôle de création d’outil. ![Tableau de bord de sécurité opérationnelle](https://docs.cisapp.eu/images/fr/asm.webp) *Le tableau de bord distingue les types de périmètres et le suivi des actifs exposés. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/asm.webp)* | Élément | Rôle | |---|---| | Périmètre | Définir les domaines, FQDN ou adresses à surveiller. | | Actif | Représenter un élément découvert ou déclaré dans le périmètre. | | Analyse | Exécuter une découverte ou un contrôle proposé. | | Vulnérabilité | Consigner une exposition ou un problème détecté. | ## Lire la synthèse Vérifiez le périmètre couvert et la date des dernières analyses. Un score partiel ou l’absence de vulnérabilités doit être rapproché des analyses réellement exécutées. Une page vide avant toute analyse ne signifie pas qu’aucun problème n’existe. ## Mon exposition Les écrans **Mon exposition**, **Certifications**, **Mes clients** et **Partages** de cet espace sont actuellement en construction. Ils ne doivent pas être utilisés comme un portail opérationnel de partage de posture dans cette version. ## Résultat attendu Vous savez quelles données alimentent la synthèse et quelles vérifications restent à réaliser. Pour configurer la surveillance, consultez [Périmètres et analyses](https://docs.cisapp.eu/securite/perimetres-analyses). --- Source: https://docs.cisapp.eu/securite/perimetres-analyses Markdown: https://docs.cisapp.eu/securite/perimetres-analyses.md # Configurer les périmètres et analyses Déclarer un périmètre, vérifier sa propriété et suivre les actifs découverts. > **Accès :** création d’outil. Selon les modules activés et votre offre. ## Prérequis Les fonctions avancées doivent être incluses et activées. Le rôle de création d’outil est nécessaire. Préparez un périmètre que votre entreprise est autorisée à surveiller. ## Ajouter un périmètre 1. Ouvrez **Sécurité opérationnelle → Périmètres**, puis **Nouveau périmètre**. 2. Choisissez le type proposé : domaine, plage CIDR ou liste de FQDN. 3. Saisissez les informations demandées et vérifiez le périmètre avant validation. 4. Suivez la procédure de vérification de propriété affichée. Les plages CIDR nécessitent une vérification manuelle. 5. Ouvrez le détail du périmètre et lancez l’analyse proposée lorsque les vérifications nécessaires sont terminées. ![Gestion des périmètres de surveillance](https://docs.cisapp.eu/images/fr/asm-surface.webp) *La vérification précède les contrôles actifs qui la nécessitent. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/asm-surface.webp)* ## Lire les actifs et les vulnérabilités Consultez **Actifs** pour les éléments découverts, puis **Vulnérabilités** pour les problèmes détectés. Filtrez par sévérité, catégorie et statut. Ouvrez un résultat pour examiner les informations et recommandations proposées. La découverte du périmètre et les analyses d’outils sur les actifs ont des calendriers distincts. Vérifiez la date de la dernière exécution pertinente avant d’interpréter un résultat. ## Limites et arrêt Si la limite d’actifs est atteinte, certains nouveaux actifs ne peuvent pas être enregistrés. Consultez le message de quota. Arrêter ou supprimer la surveillance d’un périmètre ne signifie pas que tous les actifs et résultats historiques sont effacés. ## Résultat attendu Le périmètre déclaré correspond au besoin, les vérifications sont suivies et les résultats sont relus. Aucun scan n’est nécessaire pour consulter cette documentation. --- Source: https://docs.cisapp.eu/collaboration/projets Markdown: https://docs.cisapp.eu/collaboration/projets.md # Organiser les plans d’action et les actions Créer un plan d’action, répartir les actions et suivre leur avancement. > **Accès :** membre. Fonctionnalité en **bêta**, selon les modules activés et votre offre. Le menu **Projets** s’appelle désormais **Plans d’action**, et les tickets des **actions**. Les **projets** du menu Registres sont d’une autre nature : voir [À distinguer](https://docs.cisapp.eu/collaboration/projets#a-distinguer). ## Créer un plan d’action 1. Ouvrez **Plans d’action → Tous les plans**, puis **Nouveau plan d’action** (ou le raccourci **Créer un plan d’action**). 2. Renseignez le titre et la description du travail à organiser. 3. Choisissez le statut proposé et vérifiez les accès. 4. Terminez la création et ouvrez le plan d’action. 5. Ajoutez des actions pour décomposer le travail en tâches concrètes. ![Plan d’action et actions de démonstration](https://docs.cisapp.eu/images/fr/projects.webp) *Un plan d’action rassemble les actions à réaliser. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/projects.webp)* ## Suivre les actions Renseignez les informations proposées : titre, description, priorité, responsable et échéance. Faites évoluer les actions entre **À faire**, **En cours**, **Bloquées** et **Terminées**. Dans la vue Kanban, le déplacement d’une carte met à jour son statut ; vérifiez la confirmation si une erreur est affichée. Utilisez **Toutes les actions** pour une lecture transversale (vues **Kanban** ou **Liste**, filtres **Assigné** et **Priorité**, bouton **Ajouter une action**) et **Mes actions** pour celles qui vous sont assignées. Les relations entre actions permettent de représenter les blocages lorsque proposées. Une action peut aussi être créée depuis la fiche d’une application ou d’un projet, avec **Ajouter une action** : elle est rangée dans un plan d’action existant ou nouveau, puis associée à la fiche. ## Collaborer Ouvrez une action pour consulter ou compléter ses commentaires, pièces jointes et relations. Contrôlez les droits du plan d’action avant d’y placer des informations à partager. ## Résultat attendu Chaque action utile possède un responsable et un état compréhensible. Le statut du plan d’action et celui de ses actions représentent des niveaux différents. ## À distinguer Un **projet** du menu **Registres → Projets** est un dossier dont on suit la sécurité jusqu’à la décision de lancement : voir [Projets et décision de lancement](https://docs.cisapp.eu/registres/projets). Une **application** est une solution technique évaluée : voir [Applications](https://docs.cisapp.eu/registres/applications). --- Source: https://docs.cisapp.eu/collaboration/fichiers Markdown: https://docs.cisapp.eu/collaboration/fichiers.md # Classer et partager les fichiers Créer des dossiers, importer des documents et contrôler leur accès et leur classification. > **Accès :** membre. Selon les modules activés et votre offre. ## Ajouter des documents 1. Ouvrez **Fichiers**. 2. Créez un dossier avec **Créer un dossier** ou ouvrez un dossier existant. 3. Déposez les fichiers dans l’espace prévu ou utilisez l’action d’import proposée. 4. Attendez la confirmation du transfert et vérifiez les fichiers affichés. 5. Ouvrez un fichier pour contrôler son contenu avant de le réutiliser comme preuve. ![Explorateur de fichiers](https://docs.cisapp.eu/images/fr/files.webp) *Les vues cartes, liste et arborescence permettent de retrouver les documents. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/files.webp)* ## Organiser et classifier Utilisez les actions du fichier ou du dossier pour renommer, compléter la description et gérer les tags. Vérifiez la classification **TLP**. Lors de la modification d’un dossier, l’option d’application aux fichiers et sous-dossiers étend le changement aux éléments contenus : relisez le périmètre avant de valider. ## Partager Vérifiez les permissions proposées pour les personnes et équipes. L’accès à une évaluation ne garantit pas automatiquement l’accès à tous les fichiers que vous mentionnez. Testez la visibilité avec le destinataire concerné. ## Quotas et suppression Le stockage utilisé et disponible est affiché dans l’explorateur. Si un import échoue, vérifiez le quota et le message de transfert. La suppression d’un ou plusieurs éléments demande confirmation et est irréversible. ## Résultat attendu Le bon document est classé, identifiable et accessible aux personnes prévues. Pour l’interroger avec le chat CISAPP, consultez [Chat IA et documents](https://docs.cisapp.eu/collaboration/chat). --- Source: https://docs.cisapp.eu/collaboration/signatures Markdown: https://docs.cisapp.eu/collaboration/signatures.md # Préparer une demande de signature Importer un PDF, ajouter les destinataires et suivre la demande. > **Accès :** membre. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Préparer le document Ouvrez **Signatures électroniques** depuis la palette de commandes. Vérifiez que vous utilisez le PDF définitif à envoyer et que vous disposez des accès nécessaires. ## Créer la demande 1. Démarrez une création de signature. 2. Déposez le fichier PDF dans la zone prévue. 3. Attendez la confirmation du transfert. 4. Renseignez le **Titre du document**, puis cliquez sur **Créer une signature**. 5. Ouvrez la demande créée et relisez l’aperçu du document. ![Création d’une demande de signature](https://docs.cisapp.eu/images/fr/signature.webp) *Le formulaire commence par le PDF et le titre du document. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/signature.webp)* ## Ajouter les destinataires Utilisez **Ajouter un destinataire** et renseignez son nom et son email. Contrôlez les adresses avant de cliquer sur **Envoyer pour signature**. L’envoi est une action distincte de la création de la demande. ## Suivre la demande Rouvrez la fiche pour consulter les destinataires, le statut et les dates de création et de complétion. Un document créé mais non envoyé n’a pas encore été soumis aux destinataires. ## Difficultés courantes Si le transfert échoue, vérifiez que le fichier est un PDF et respecte la limite affichée. Si l’envoi est impossible, contrôlez la présence des destinataires et les champs obligatoires. ## Résultat attendu La demande contient le bon PDF et les bons destinataires ; son état reflète la progression affichée par CISAPP. --- Source: https://docs.cisapp.eu/collaboration/chat Markdown: https://docs.cisapp.eu/collaboration/chat.md # Interroger ses documents avec le chat IA Choisir l’entreprise et interroger les documents accessibles à votre compte. > **Accès :** membre. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Prérequis Le **Chat IA** doit être inclus dans votre offre. Votre compte doit accéder à des documents de l’entreprise sélectionnée. Sans document accessible, ajoutez des fichiers ou demandez un partage avant de créer la conversation. ## Démarrer une conversation 1. Ouvrez **Chat IA**. 2. Utilisez **Nouvelle conversation**. 3. Choisissez l’entreprise dont vous souhaitez interroger les documents. 4. Ajoutez une description si utile et créez la conversation. 5. Posez une question précise sur les documents disponibles. ![Espace de conversation IA](https://docs.cisapp.eu/images/fr/chat.webp) *L’accès aux documents conditionne la création et l’utilité de la conversation. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/chat.webp)* ## Bien formuler la question Précisez le document ou le sujet, le contexte et le résultat attendu. Par exemple : « Dans notre politique d’accès, quelles étapes concernent la revue des comptes externes ? » Relisez les éléments cités avant de réutiliser la réponse. ## Ce que le chat consulte Le chat répond à partir des documents de l’entreprise sélectionnée. Il ne consulte pas les données en direct des registres fournisseurs, risques ou incidents. Pour un état actuel, ouvrez les registres correspondants. ## Résultat attendu Vous obtenez une aide à la lecture de vos documents. Vérifiez les informations importantes dans leur source. Ce chat du produit est distinct de l’[accès à la documentation en Markdown](https://docs.cisapp.eu/aide/utiliser-avec-ia), qui ne nécessite aucun service IA CISAPP. --- Source: https://docs.cisapp.eu/organisation/entreprise Markdown: https://docs.cisapp.eu/organisation/entreprise.md # Configurer son entreprise Vérifier le profil, les domaines et les paramètres fonctionnels de l’entreprise. > **Accès :** administrateur d’entreprise. Selon les modules activés et votre offre. ## Ouvrir le bon espace Cliquez sur **Mon entreprise** et vérifiez le nom de l’organisation. Les onglets de gestion accessibles dépendent de votre rôle. Utilisez un compte administrateur pour les paramètres de l’entreprise. ## Maintenir le profil Ouvrez **Profil** pour vérifier les informations d’identité et les coordonnées proposées. Enregistrez les changements et contrôlez leur affichage avant de poursuivre. ## Domaines et paramètres - **Domaines** : ajoutez et vérifiez les domaines suivant les actions proposées. Ne confondez pas le domaine de l’entreprise avec un périmètre d’analyse ASM. - **Questionnaires et risques** : choisissez les questionnaires de criticité fournisseur et activité. Seuls les questionnaires de la finalité appropriée sont proposés. - **Méthodologie du registre des risques** : choisissez EBIOS RM ou ISO 27005. Ce choix sert aux nouveaux risques ; les risques existants conservent leur méthode de création. - **Divers** : gérez notamment le registre public des fournisseurs lorsqu’il est disponible. ## Publier le registre public Dans **Divers**, l’activation du registre public fournit un lien de consultation. Seuls les fournisseurs marqués publics y figurent. Relisez le résultat dans une fenêtre privée avant de communiquer le lien. Ce registre est distinct du Trust Center. ## Résultat attendu Le profil et les paramètres correspondent à votre entreprise. Pour organiser les accès, consultez [Membres et équipes](https://docs.cisapp.eu/organisation/membres-equipes). Le registre public des fournisseurs est en **bêta** dans la version illustrée. --- Source: https://docs.cisapp.eu/organisation/membres-equipes Markdown: https://docs.cisapp.eu/organisation/membres-equipes.md # Inviter des membres et organiser les équipes Suivre les invitations, autoriser les comptes et structurer les équipes. > **Accès :** administrateur d’entreprise. Selon les modules activés et votre offre. ## Inviter un membre 1. Ouvrez **Mon entreprise → Membres** avec les droits d’invitation nécessaires. 2. Cliquez sur **Inviter** et renseignez l’adresse de la personne. 3. Vérifiez les informations et les accès proposés avant de valider. 4. Suivez le statut du membre dans la liste. ![Membres et suivi des invitations](https://docs.cisapp.eu/images/fr/members.webp) *Le statut distingue l’activation du compte et son autorisation. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/members.webp)* ## Comprendre les états Un membre peut être non invité, en attente d’activation, en attente d’autorisation ou actif. Les actions disponibles dépendent de l’état : **Envoyer l’invitation**, **Renvoyer l’invitation**, **Révoquer l’invitation** et **Autoriser**. Révoquer une invitation rend le lien déjà envoyé inutilisable. Avant de renvoyer une invitation, vérifiez l’adresse et les courriers indésirables avec le destinataire. ## Organiser les équipes 1. Ouvrez **Équipes**, puis **Ajouter une équipe**. 2. Définissez son nom, ses membres, ses propriétaires et les rôles proposés. 3. Utilisez les équipes pour attribuer des accès collectifs aux ressources. 4. Revoyez les membres lors des changements d’affectation. L’équipe peut donner des droits sur les objets qui lui sont partagés ; elle ne rend pas automatiquement toutes les ressources visibles. ## Import et retrait L’import de membres est proposé dans la liste : utilisez le format demandé par l’interface et relisez les résultats. Avant de supprimer un membre, vérifiez les accès et responsabilités qui doivent être transférés. ## Résultat attendu Chaque personne dispose d’un compte au bon statut et appartient aux équipes nécessaires. Pour le détail des rôles, consultez [Droits et partage](https://docs.cisapp.eu/organisation/droits). ## Examiner les demandes d’accès fournisseur Dans **Mon entreprise → Demandes d’accès fournisseur**, les personnes autorisées peuvent ouvrir la fiche concernée, lire le demandeur et son message, puis **Approuver** ou **Refuser** une demande en attente. Vérifiez le périmètre avant d’accorder l’accès. Cette décision est distincte de l’invitation d’un membre. --- Source: https://docs.cisapp.eu/organisation/droits Markdown: https://docs.cisapp.eu/organisation/droits.md # Comprendre les droits et le partage Distinguer les rôles de création, les accès aux objets et les droits d’administration. > **Accès :** membre. Selon les modules activés et votre offre. ## Deux niveaux à vérifier Les **rôles** autorisent des actions dans l’entreprise. Les **droits sur les objets** permettent de lire, modifier ou administrer une ressource précise. Disposer d’un rôle de création ne donne pas automatiquement accès à toutes les ressources existantes. | Rôle utilisateur | Capacité principale | |---|---| | Utilisateur | Consulter les ressources partagées. | | Admin de l’entreprise | Administrer l’organisation et ses membres. | | Création de sous-traitant | Créer et gérer des fournisseurs selon les accès accordés. | | Création d’évaluation | Créer et gérer des évaluations. | | Création de questionnaire | Créer et gérer des questionnaires. | | Création d’activité | Créer et gérer des activités. | | Création d’outil | Accéder aux opérations d’outillage et de sécurité correspondantes. | | Utilisateur portail | Répondre aux questionnaires assignés. | ## Vérifier les permissions 1. Ouvrez **Mon entreprise → Droits & Rôles**. 2. Relisez les permissions d’invitation et les rôles proposés. 3. Vérifiez les droits de la personne et de ses équipes. 4. Ouvrez le partage de la ressource concernée pour vérifier son accès spécifique. ![Paramètres de droits et rôles](https://docs.cisapp.eu/images/fr/permissions.webp) *Les permissions d’organisation et les accès aux ressources sont complémentaires. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/permissions.webp)* ## Partager une ressource Dans l’action de partage ou l’étape de droits, choisissez la personne ou l’équipe puis le niveau nécessaire : lecture, écriture ou administration selon l’objet. Vérifiez la portée d’une invitation externe avant de la valider. ## En cas d’accès refusé Vérifiez successivement l’entreprise, le rôle, l’accès à l’objet et l’activation du module. La facturation, les connecteurs, les incidents et les fonctions ASM peuvent avoir des droits spécifiques. Demandez l’accès adapté plutôt que de partager un compte. ## Résultat attendu Les membres disposent du rôle nécessaire et les ressources sont partagées avec les personnes ou équipes attendues. --- Source: https://docs.cisapp.eu/organisation/profil Markdown: https://docs.cisapp.eu/organisation/profil.md # Régler son profil et ses notifications Choisir sa langue, son apparence et ses préférences personnelles. > **Accès :** membre. ## Accéder au profil Ouvrez votre menu utilisateur puis **Mon profil**. Les paramètres personnels concernent votre compte ; ils ne remplacent pas les réglages de l’entreprise. ## Langue et apparence Dans **Paramètres**, choisissez une langue parmi celles proposées et le thème clair, sombre ou système. Le changement de langue de l’application est indépendant de celui de ce site de documentation. ![Paramètres personnels de langue et d’apparence](https://docs.cisapp.eu/images/fr/profile.webp) *Les préférences personnelles permettent d’adapter votre espace de travail. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/profile.webp)* ## Informations personnelles Ouvrez la section des informations personnelles pour contrôler les coordonnées affichées. Enregistrez les changements et vérifiez le résultat. ## Notifications Dans **Notifications**, relisez les préférences disponibles et les événements qui vous concernent. Les notifications reçues dans l’application restent accessibles depuis leur entrée dédiée. Une notification d’évaluation peut ouvrir un objet qui nécessite lui-même des droits d’accès. ## Authentification Utilisez **Authentification** pour consulter les méthodes et options de sécurité proposées à votre compte. Suivez l’assistant de vérification lorsqu’il est requis. Pour un compte géré par SSO, certaines opérations relèvent du fournisseur d’identité de l’entreprise. ## Résultat attendu Votre langue, votre apparence et vos préférences correspondent à vos besoins. Si vous ne recevez pas un message attendu, vérifiez aussi l’adresse de votre compte et les courriers indésirables. --- Source: https://docs.cisapp.eu/organisation/tags-champs Markdown: https://docs.cisapp.eu/organisation/tags-champs.md # Organiser les tags et champs personnalisés Définir un classement partagé et des informations supplémentaires adaptées à vos registres. > **Accès :** administrateur d’entreprise. Selon les modules activés et votre offre. ## Choisir le bon outil Un **tag** sert à regrouper des éléments sous une étiquette commune. Un **champ personnalisé** ajoute une information structurée à un type d’objet pris en charge. Définissez leur usage avant de les créer pour éviter les variantes inutiles. ## Gérer les tags Un administrateur ouvre **Mon entreprise → Tags**. Créez des libellés clairs, puis appliquez-les aux objets qui proposent ce classement. Utilisez ensuite les filtres de tags pour retrouver le périmètre souhaité. ## Gérer les champs personnalisés 1. Ouvrez **Mon entreprise → Champs personnalisés** avec un compte administrateur. 2. Choisissez le type d’objet concerné. 3. Créez un champ avec un libellé compréhensible et le type adapté parmi les options proposées. 4. Enregistrez, puis ouvrez une fiche de ce type pour vérifier le champ et renseigner une valeur. 5. Contrôlez les filtres ou colonnes qui proposent ce champ. ![Gestion des champs personnalisés](https://docs.cisapp.eu/images/fr/custom-fields.webp) *Le type d’objet et le type de champ doivent correspondre au besoin de classement. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/custom-fields.webp)* ## Modifier ou supprimer Avant de supprimer un tag ou un champ, identifiez les usages dans les fiches et les filtres. Informez les utilisateurs concernés et vérifiez les vues après modification. ## Résultat attendu Les membres utilisent un vocabulaire commun et des données comparables. Les technologies, lorsqu’elles sont proposées dans les paramètres de l’entreprise, complètent ce classement pour les objets concernés. --- Source: https://docs.cisapp.eu/organisation/securite Markdown: https://docs.cisapp.eu/organisation/securite.md # Administrer la sécurité des accès Retrouver les réglages de sécurité de l’entreprise et distinguer les écrans disponibles. > **Accès :** administrateur d’entreprise. Selon les modules activés et votre offre. ## Prérequis Les paramètres de sécurité de l’entreprise sont réservés aux administrateurs de cette entreprise. Les réglages de votre propre authentification se trouvent dans [Mon profil](https://docs.cisapp.eu/organisation/profil). ## Utiliser le bon écran Ouvrez **Mon entreprise → Sécurité**. Consultez les options et les informations de connexion proposées. Les réglages de fournisseurs d’identité et de restrictions réseau dépendent des capacités activées pour l’entreprise. L’entrée **Administration → Sécurité** est actuellement une page en construction. Elle ne remplace pas la page Sécurité de Mon entreprise. ## Préparer un changement 1. Vérifiez que vous administrez la bonne entreprise. 2. Relisez le mode d’authentification utilisé par ses membres. 3. Préparez les informations demandées par l’interface pour le réglage choisi. 4. Appliquez le changement avec les personnes responsables de l’authentification de l’entreprise. 5. Vérifiez une connexion avec un compte concerné avant de considérer le réglage opérationnel. ## Résultat attendu Les paramètres reflètent la politique décidée par votre entreprise et les membres concernés peuvent se connecter. En cas d’accès refusé, utilisez votre procédure d’assistance interne avec les informations non sensibles utiles : heure, navigateur et message affiché. Pour les blocages de connexion courants, consultez [Dépannage](https://docs.cisapp.eu/aide/depannage). --- Source: https://docs.cisapp.eu/organisation/connecteurs Markdown: https://docs.cisapp.eu/organisation/connecteurs.md # Configurer les connecteurs Connecter un service proposé, vérifier son état et relire les synchronisations. > **Accès :** administrateur d’entreprise. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Prérequis Les connecteurs doivent être inclus et activés. Leur gestion est réservée aux administrateurs de l’entreprise. Préparez les accès au service que vous souhaitez connecter. ## Ajouter une connexion 1. Ouvrez **Mon entreprise → Connecteurs** ou l’entrée **Intégrations** correspondante. 2. Consultez les fournisseurs réellement proposés dans le catalogue de l’interface. 3. Choisissez le service et suivez le mode de connexion demandé : autorisation du fournisseur ou paramètres et identifiants dédiés. 4. Vérifiez les accès demandés et terminez la configuration. 5. Ouvrez la connexion créée pour contrôler son état et les fonctions de synchronisation disponibles. ![Liste des connecteurs](https://docs.cisapp.eu/images/fr/integrations.webp) *Le catalogue disponible dans votre espace fait référence pour les services pris en charge. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/integrations.webp)* ## Guides par connecteur - [Connecter GitHub](https://docs.cisapp.eu/organisation/connecteurs/github) : installation de l’application, liaison des dépôts, Dependabot. - [Connecter GitLab](https://docs.cisapp.eu/organisation/connecteurs/gitlab) : autorisation OAuth, liaison des projets, rapport de vulnérabilités. - [Connecter un compte AWS](https://docs.cisapp.eu/organisation/connecteurs/aws) : rôle en lecture seule, inventaire cloud, Security Hub. - [Connecter une organisation Scaleway](https://docs.cisapp.eu/organisation/connecteurs/scaleway) : clé API en lecture seule, inventaire cloud, constats de posture. - [Connecter un compte OVHcloud](https://docs.cisapp.eu/organisation/connecteurs/ovh) : autorisation en lecture seule, inventaire cloud, constats de posture. - [Connecter un tenant Microsoft Azure](https://docs.cisapp.eu/organisation/connecteurs/azure) : principal de service en lecture seule, inventaire cloud, constats de posture, Defender for Cloud. - [Connecter un compte Google Cloud](https://docs.cisapp.eu/organisation/connecteurs/gcp) : compte de service en lecture seule dont CISAPP emprunte l’identité, inventaire cloud, constats de posture. Chaque fiche de connexion propose aussi un bouton **Documentation** vers le guide correspondant. ## Suivre la connexion Relisez l’état, la dernière synchronisation et les erreurs proposées sur la fiche. Une connexion enregistrée n’implique pas que toutes les données attendues ont déjà été synchronisées. ## Corriger ou retirer Si l’authentification expire, suivez l’action de reconnexion proposée. Si les données n’apparaissent pas, vérifiez le périmètre et les permissions accordées dans le service distant. Utilisez la désactivation ou suppression lorsque la connexion n’est plus nécessaire. ## Résultat attendu La connexion est autorisée pour le bon périmètre et son état est vérifié. Les services non proposés par le catalogue ne sont pas présentés comme disponibles dans cette documentation. --- Source: https://docs.cisapp.eu/organisation/connecteurs/aws Markdown: https://docs.cisapp.eu/organisation/connecteurs/aws.md # Connecter un compte AWS Déployer un rôle AWS en lecture seule pour inventorier les ressources cloud et importer les constats Security Hub. > **Accès :** administrateur d’entreprise. Fonctionnalité en **bêta** ; le connecteur doit être activé sur votre plateforme. ## Prérequis - Être administrateur de l’entreprise dans CISAPP. - Pouvoir créer une stack CloudFormation et un rôle IAM dans le compte AWS visé. - Pour les constats de sécurité : AWS Security Hub activé dans les régions à analyser. ## Déployer le rôle 1. Ouvrez **Mon entreprise → Connecteurs**, puis **Connecter** sur la carte AWS. 2. Étape **Déployer le rôle** : CISAPP affiche son principal et un **ExternalId** propre à cette connexion. 3. Cliquez **Déployer via CloudFormation**, ou copiez le template et déployez-le vous-même avec ces deux valeurs. 4. Le rôle créé est en lecture seule (SecurityAudit et Security Hub en lecture) : CISAPP ne modifie rien dans votre compte. ## Vérifier et connecter 1. Cliquez **J’ai déployé le rôle**. 2. Collez l’**ARN du rôle** (sortie RoleArn de la stack). 3. Indiquez éventuellement des **Régions** ; laissez vide pour toutes les régions activées. 4. **Vérifier et connecter** : CISAPP teste l’accès, active la connexion et lance la première synchronisation. Si vous fermez l’assistant avant la vérification, la connexion reste **En attente** : **Reprendre la configuration** depuis sa fiche. ## Suivre la synchronisation La fiche affiche la dernière synchronisation et, le cas échéant, une synchronisation incomplète (par exemple une région inaccessible). **Synchroniser** relance une analyse ; une synchronisation automatique a aussi lieu chaque nuit. Les ressources sont visibles dans **Voir le patrimoine** et **Voir la cartographie**, les constats Security Hub dans les constats de sécurité. ## Difficultés courantes | Message | Que faire | | --- | --- | | Le connecteur AWS n’est pas configuré | Le connecteur n’est pas encore disponible sur votre plateforme : contactez le support. | | AWS a refusé l’accès | Vérifiez que la stack est déployée, que le principal et l’ExternalId correspondent à ceux affichés. | | Security Hub n’est activé dans aucune région analysée | Activez Security Hub ou ajustez les régions. | ## Déconnecter **Déconnecter** supprime la connexion et l’inventaire cloud associé, et passe ses constats Security Hub en résolus. Supprimez ensuite la stack CloudFormation dans votre compte AWS. ## Résultat attendu La connexion est active, l’inventaire cloud est alimenté et les constats Security Hub remontent dans CISAPP. Voir aussi : [Configurer les connecteurs](https://docs.cisapp.eu/organisation/connecteurs). --- Source: https://docs.cisapp.eu/organisation/connecteurs/azure Markdown: https://docs.cisapp.eu/organisation/connecteurs/azure.md # Connecter un tenant Microsoft Azure Créer un principal de service Azure en lecture seule (rôle Reader) pour inventorier les ressources cloud et remonter les constats de posture et les recommandations Defender for Cloud. > **Accès :** administrateur d’entreprise. Fonctionnalité en **bêta** ; le connecteur doit être activé sur votre plateforme. ## Prérequis - Être administrateur de l’entreprise dans CISAPP. - Pouvoir créer une **inscription d’application** dans Microsoft Entra ID et attribuer un rôle sur les abonnements visés (ou sur leur groupe d’administration) : propriétaire, administrateur de l’accès utilisateur ou droits équivalents. - Un tenant Azure ne peut être connecté qu’à **une seule** organisation CISAPP ; une organisation peut en revanche connecter plusieurs tenants. - Cloud Azure **public** uniquement : les clouds Chine (21Vianet) et US Government ne sont pas pris en charge. ### Droits minimaux Le rôle **Reader** (Lecteur) suffit, sur chaque abonnement à analyser ou sur un groupe d’administration. Le rôle **Security Reader** n’est pas nécessaire : Reader lit déjà les recommandations de Microsoft Defender for Cloud. **N’accordez jamais** Contributor, Owner, User Access Administrator, ni un rôle d’accès aux données (par exemple Key Vault Secrets User, Storage Blob Data Reader) : CISAPP n’en a pas besoin. Aucune permission Microsoft Graph n’est requise non plus. ## Créer l’accès dans Azure CISAPP n’utilise jamais votre compte personnel : créez un **principal de service** dédié, en lecture seule, avec un **secret client**. ### Avec Azure CLI Remplacez `` par l’identifiant de l’abonnement à analyser. ```bash az ad sp create-for-rbac --name cisapp-reader --role Reader --scopes /subscriptions/ --years 1 ``` Plusieurs abonnements : séparez les portées par des espaces. ```bash az ad sp create-for-rbac --name cisapp-reader --role Reader --scopes /subscriptions/ /subscriptions/ ``` Un groupe d’administration (couvre les abonnements actuels et futurs). Indiquez son **identifiant**, pas son nom d’affichage : ```bash az ad sp create-for-rbac --name cisapp-reader --role Reader --scopes /providers/Microsoft.Management/managementGroups/ ``` N’exécutez qu’**une** de ces trois commandes (chacune crée le principal de service). Pour étendre ensuite le périmètre, utilisez `az role assignment create` : ```bash az role assignment create --assignee --role Reader --scope /subscriptions/ ``` La commande de création affiche un JSON, **une seule fois** ; le secret ne peut plus être relu ensuite : | Champ affiché par Azure | Champ CISAPP | | --- | --- | | `tenant` | **Tenant** | | `appId` | **Identifiant client** | | `password` | **Secret client** (c’est la **valeur** du secret) | | `displayName` | Information seulement, non demandé | Le secret est valable un an (`--years 1`). Pour relever sa date de fin (à saisir dans CISAPP, voir plus bas ; gardez les 10 premiers caractères, au format `AAAA-MM-JJ`) : ```bash az ad app credential list --id --query "[].[displayName,keyId,endDateTime]" -o tsv ``` La commande affiche aussi le `keyId` de chaque secret, utile pour supprimer l’ancien lors d’une rotation. La date saisie dans CISAPP doit être **à venir**. ### Depuis le portail 1. Dans le centre d’administration Microsoft Entra, **Inscriptions d’applications → Nouvelle inscription** : un seul tenant, sans URI de redirection, et n’ajoutez aucune permission d’API (Microsoft Graph). Copiez l’**ID d’application (client)** et l’**ID de l’annuaire (tenant)**. 2. **Certificats & secrets → Nouveau secret client** : choisissez une expiration, puis copiez immédiatement la **Valeur** (et non l’**ID du secret**). 3. Dans le portail Azure, ouvrez **Abonnements** (ou **Groupes d’administration**), choisissez la portée, puis **Contrôle d’accès (IAM) → Ajouter → Ajouter une attribution de rôle**. 4. Choisissez le rôle **Reader** (Lecteur), puis **Membres → Sélectionner des membres**, recherchez le nom de l’application, sélectionnez-la et validez avec **Vérifier + attribuer**. Répétez pour chaque abonnement. > Une attribution de rôle peut mettre jusqu’à **10 minutes** à se propager (parfois davantage pour un groupe d’administration). Si CISAPP ne voit encore aucun abonnement, patientez puis réessayez. ## Connecter dans CISAPP 1. Ouvrez **Mon entreprise → Connecteurs**, puis **Connecter** sur la carte Azure. 2. Renseignez : - **Tenant** : le GUID de l’annuaire (champ `tenant` de la commande), ou un domaine vérifié du tenant (par exemple `contoso.onmicrosoft.com`) ; - **Identifiant client** : l’ID d’application (`appId`) ; - **Secret client** : la **valeur** du secret (pas son ID) ; - **Le secret expire le** (facultatif, format `AAAA-MM-JJ`, obligatoirement **une date à venir**) : permet d’être alerté 30 jours avant l’expiration du secret ; - **Abonnements** (facultatif) : identifiants GUID, 100 au maximum. Vide : tous les abonnements que le principal peut lire (au-delà de 100 abonnements, laissez le champ vide ou attribuez le rôle Reader sur un groupe d’administration). La liste se modifie plus tard depuis la fiche. 3. **Vérifier les identifiants** : CISAPP teste les identifiants auprès de Microsoft avant d’enregistrer quoi que ce soit. 4. À l’étape **Confirmer le tenant Azure**, contrôlez l’**identifiant du tenant** affiché, puis **Connecter**. Un tenant Azure ne peut être connecté qu’à une seule organisation CISAPP. La première synchronisation démarre. Si vous fermez le panneau avant la confirmation, la connexion reste **En attente** : utilisez **Confirmer le compte** depuis sa fiche. Les abonnements dont l’état est **Disabled** ne sont pas collectés (voir « Abonnement non collecté » ci-dessous). Connecter un tenant déjà rattaché à une autre organisation CISAPP est refusé (« Ce tenant Azure est déjà connecté par une autre organisation CISAPP. »). ## Ce que CISAPP collecte CISAPP interroge **Azure Resource Graph** et quelques lectures ciblées d’Azure Resource Manager. Il ne lit que des **configurations**, jamais de contenu : - comptes de stockage (configuration du service blob, pas les objets) ; - groupes de sécurité réseau, réseaux virtuels et sous-réseaux, adresses IP publiques ; - machines virtuelles et disques managés ; - serveurs SQL (Azure SQL), serveurs flexibles PostgreSQL et MySQL, comptes Cosmos DB ; - coffres Key Vault (propriétés du coffre uniquement), clusters AKS ; - applications App Service et Functions ; - abonnements et nombre de propriétaires (attributions de rôle Owner) ; - recommandations de Microsoft Defender for Cloud. CISAPP ne modifie rien dans votre tenant. Il ne lit jamais les clés d’accès, les secrets, les paramètres d’application, les chaînes de connexion ni les fichiers `kubeconfig`, et n’utilise pas le plan de données de Key Vault. Le rôle Reader ne permet d’ailleurs pas les actions qui révèlent ces valeurs, et CISAPP ne les appelle pas. Les ressources sont visibles dans le menu **Sécurité opérationnelle → Patrimoine cloud** et sa **Cartographie**. ## Constats de posture Les constats apparaissent dans les constats de sécurité avec la source **Posture Azure**. Une règle ne se déclenche que si l’information est certaine : un état inconnu (droit manquant, donnée absente, ressource non collectée) ne crée ni ne résout de constat. | Identifiant | Règle | Gravité | | --- | --- | --- | | `azure-storage-public-blob-access` | Compte de stockage autorisant l’accès public aux blobs | Élevée | | `azure-storage-http-allowed` | Compte de stockage acceptant le trafic HTTP non chiffré | Moyenne | | `azure-storage-weak-tls` | Compte de stockage acceptant TLS 1.0 ou 1.1 | Moyenne | | `azure-storage-network-open` | Compte de stockage ouvert à tous les réseaux | Moyenne | | `azure-storage-blob-soft-delete-disabled` | Compte de stockage sans suppression réversible des blobs | Faible | | `azure-nsg-remote-admin-exposed` | Groupe de sécurité réseau exposant SSH ou RDP à Internet | Élevée | | `azure-nsg-database-ports-exposed` | Groupe de sécurité réseau exposant un port de base de données à Internet | Élevée | | `azure-sql-public-network-access` | Serveur SQL accessible depuis le réseau public | Moyenne | | `azure-sql-weak-tls` | Serveur SQL acceptant TLS inférieur à 1.2 | Moyenne | | `azure-sql-firewall-open-to-internet` | Serveur SQL avec règle de pare-feu ouverte à toutes les adresses IP | Critique | | `azure-dbflex-public-network-access` | Serveur PostgreSQL/MySQL flexible accessible depuis le réseau public | Moyenne | | `azure-dbflex-tls-not-required` | Serveur PostgreSQL/MySQL flexible n’imposant pas TLS | Élevée | | `azure-keyvault-purge-protection-disabled` | Coffre de clés sans protection contre la purge | Moyenne | | `azure-keyvault-public-network-open` | Coffre de clés ouvert à tous les réseaux | Moyenne | | `azure-aks-api-server-public` | Cluster AKS dont l’API Kubernetes est exposée sans restriction IP | Élevée | | `azure-aks-rbac-disabled` | Cluster AKS sans RBAC Kubernetes | Élevée | | `azure-webapp-https-only-disabled` | Application web n’imposant pas HTTPS | Moyenne | | `azure-webapp-weak-tls` | Application web acceptant TLS 1.0 ou 1.1 | Moyenne | | `azure-cosmos-public-network-open` | Compte Cosmos DB accessible publiquement sans filtre | Élevée | | `azure-subscription-too-many-owners` | Abonnement avec plus de 3 propriétaires (Owner) | Moyenne | Un pare-feu SQL n’est signalé que pour la plage complète 0.0.0.0 à 255.255.255.255 ; la règle spéciale « services Azure » (0.0.0.0 à 0.0.0.0) ne déclenche pas de constat, et un serveur dont l’accès réseau public est désactivé est conforme. Pour les groupes de sécurité réseau, les règles sont évaluées par priorité : une règle illisible placée avant la règle décisive rend l’état inconnu, et une règle de refus ne ferme un port pour tout le groupe que si sa destination est quelconque (`*`, `0.0.0.0/0`, `::/0`). ### Abonnement non collecté Si un abonnement sélectionné n’est pas collecté (état **Disabled**, identifiant configuré mais plus listé, ou pas encore visible d’Azure Resource Graph), CISAPP crée toujours les nouveaux constats mais **ne résout automatiquement aucun constat des règles CISAPP** pendant cette synchronisation, et ne supprime rien de cet abonnement. Les recommandations Defender for Cloud des abonnements collectés se résolvent normalement. La cause est signalée par une note en anglais, affichée sous le texte de la dernière synchronisation incomplète : `Posture findings are not auto-resolved while these subscriptions are not collected: . Remove them from subscriptionIds, or wait until Azure deletes them.` Azure supprime un abonnement **Disabled** environ 90 jours plus tard ; il disparaît alors de la liste. Si vous avez saisi une liste d’abonnements, retirez-le de la liste. Si un abonnement **Disabled** reste listé (mode par défaut : tous les abonnements), saisissez une liste explicite d’abonnements qui ne le contient pas pour reprendre la résolution automatique. ### Recommandations Defender for Cloud Si Microsoft Defender for Cloud est activé sur un abonnement, CISAPP importe aussi ses recommandations à l’état **Unhealthy** comme constats, avec la même source **Posture Azure**. Un constat est créé par recommandation et par ressource concernée. Leurs titres, descriptions et gravités sont ceux de Microsoft : ils restent en **anglais**. Le nombre de recommandations importées est plafonné par abonnement (les plus graves d’abord). Quand une recommandation n’est plus en défaut, son constat est résolu. Si Defender for Cloud n’est pas activé ou ne renvoie aucune donnée, rien n’est importé ni résolu. Rien n’est non plus résolu lorsque le plafond est atteint. ### Expiration du secret La date d’expiration (**Le secret expire le**) est traitée à part des règles : sans date saisie, aucun avertissement n’est affiché ; à moins de 30 jours de l’échéance déclarée, un badge **Identifiants bientôt expirés** apparaît sur la fiche. ## Remplacer le secret (rotation) 1. Créez un nouveau secret **en conservant l’ancien** : ```bash az ad app credential reset --id --append --years 1 --display-name cisapp-AAAA ``` N’oubliez jamais `--append` : sans lui, la commande supprime tous les secrets existants et la connexion tombe immédiatement en erreur. 2. Sur la fiche de la connexion, **Mettre à jour les identifiants** : dans le panneau **Remplacer le secret Azure**, collez la **valeur** du nouveau secret, renseignez **Le secret expire le** avec sa nouvelle date (obligatoirement à venir : le champ est prérempli avec l’ancienne date, à remplacer surtout après une expiration), puis **Vérifier et remplacer**. L’ancien secret reste utilisé tant que le nouveau n’est pas validé. 3. Le nouveau secret doit appartenir au **même tenant Azure** ; sinon il est refusé et le secret actuel est conservé. 4. Supprimez ensuite l’ancien secret : relevez son `keyId` avec `az ad app credential list --id --query "[].[displayName,keyId,endDateTime]" -o tsv`, puis `az ad app credential delete --id --key-id `. Les abonnements se modifient depuis la fiche (**Modifier**, panneau **Modifier le périmètre**), sans ressaisir le secret. Retirer un abonnement de la connexion retire ses ressources de l’inventaire à la synchronisation suivante. La date d’expiration (**Le secret expire le**), elle, se met à jour avec le secret, pas depuis **Modifier**. Un secret expiré met la connexion en **Erreur** (**Identifiants expirés**) : créez un nouveau secret et faites la rotation depuis la fiche. ## Difficultés courantes **À la connexion**, Azure ne détaille pas la cause dans l’interface : tout refus affiche le message « Azure a refusé ces identifiants : secret invalide (collez la valeur du secret, pas son identifiant) ou expiré, application ou tenant introuvable, accès bloqué par une politique d’accès conditionnel, ou rôle Reader absent… ». **À la synchronisation**, les codes AADSTS ci-dessous apparaissent dans **Dernière synchronisation incomplète** (fiche de la connexion) lorsqu’un secret déjà enregistré est refusé ; leur sens y diffère parfois de celui de la connexion. | Message | Que faire | | --- | --- | | Le connecteur Azure est indisponible sur cette instance CISAPP (chiffrement des secrets non configuré). Contactez le support. | Le connecteur n’est pas encore configuré sur votre plateforme : contactez le support. | | Azure a refusé ces identifiants… | Vérifiez, dans l’ordre : la **valeur** du secret (pas son ID), sa date d’expiration, le **Tenant** et l’**Identifiant client**, l’absence de politique d’accès conditionnel bloquant l’application, et l’attribution du rôle Reader sur chaque abonnement indiqué (propagation : jusqu’à 10 minutes). | | AADSTS7000215 / AADSTS70002 à la synchronisation (secret invalide) | Le secret enregistré a été supprimé ou remplacé côté Azure (par exemple `az ad app credential reset` sans `--append`) : créez un nouveau secret et faites la rotation depuis la fiche. À la connexion, la cause habituelle est l’**ID du secret** collé à la place de sa **valeur** (`password` dans la sortie de la commande). | | AADSTS7000222 (secret expiré) | Le secret client a expiré : créez-en un nouveau et faites la rotation depuis la fiche. | | AADSTS700016 (application introuvable) | À la connexion : l’identifiant client ou le tenant est incorrect, vérifiez que l’application appartient bien à ce tenant. À la synchronisation : l’application a été supprimée dans Microsoft Entra ID ; recréez-la, puis faites la rotation depuis la fiche. | | AADSTS90002 (tenant introuvable) | L’identifiant ou le domaine du tenant est incorrect : utilisez le GUID de l’annuaire. | | Ce principal de service appartient à un autre tenant Azure : le secret actuel est conservé. | Lors d’une rotation, le nouveau secret doit appartenir au même tenant que la connexion. | | Statut **Permissions insuffisantes** et dernière synchronisation `no readable subscription` (message en anglais) | Le rôle Reader n’est pas attribué à l’application (ou a été retiré), ou l’attribution n’est pas encore propagée (jusqu’à 10 minutes) : vérifiez l’attribution, patientez puis réessayez. | | Un abonnement est signalé comme non lisible dans la synchronisation (message en anglais, `Subscription … not readable`) | Le rôle Reader manque sur cet abonnement, ou son identifiant est erroné dans la liste : les autres abonnements sont analysés normalement. Corrigez l’attribution ou retirez-le de la liste. | | Abonnement absent de l’inventaire, ou constats qui ne se résolvent plus | Un abonnement sélectionné n’est pas collecté (état **Disabled**, plus listé, pas encore visible d’Azure Resource Graph) : la synchronisation le signale (note sous la dernière synchronisation incomplète) et suspend la résolution automatique des constats de règles CISAPP. Voir « Abonnement non collecté ». | | Ressource récente absente | Azure Resource Graph est à cohérence différée : une ressource créée à l’instant apparaît à la synchronisation suivante. | | Ce tenant Azure est déjà connecté par une autre organisation CISAPP. | Un tenant Azure n’a qu’une connexion : déconnectez-le d’abord de l’autre organisation CISAPP. | | Identifiants expirés ou Identifiants refusés | Créez un nouveau secret et faites la rotation depuis la fiche. | ## Limites - Cloud Azure public uniquement (pas de Chine ni d’US Government). - Un tenant Azure ne peut être connecté qu’à une seule organisation CISAPP ; une organisation peut connecter plusieurs tenants. - La synchronisation suit la même périodicité que les autres connecteurs cloud : automatique chaque nuit, et relançable à la demande avec **Synchroniser** sur la fiche. - La date d’expiration du secret est **déclarative** : CISAPP ne peut pas la lire dans Azure, et elle doit être à venir. Sans date, l’expiration n’est détectée qu’au moment où Microsoft refuse le secret. - Les abonnements sélectionnés sont limités à 100 (au-delà : champ vide, ou rôle Reader sur un groupe d’administration). - Quand un abonnement quitte le périmètre (retiré de la liste, ou supprimé par Azure), ses ressources sont retirées de l’inventaire et ses constats de règles CISAPP sont résolus, mais ses recommandations Defender for Cloud déjà importées restent ouvertes jusqu’à la déconnexion du connecteur. ## Déconnecter **Déconnecter** supprime la connexion et l’inventaire cloud associé, et passe ses constats de posture en résolus. Supprimez ensuite le secret (ou l’inscription d’application et ses attributions de rôle si elles n’ont plus d’usage) dans Microsoft Entra ID et dans le portail Azure. ## Résultat attendu La connexion est active, l’inventaire cloud est alimenté et les constats de posture Azure, ainsi que les recommandations Defender for Cloud, remontent dans CISAPP. Voir aussi : [Configurer les connecteurs](https://docs.cisapp.eu/organisation/connecteurs). --- Source: https://docs.cisapp.eu/organisation/connecteurs/gcp Markdown: https://docs.cisapp.eu/organisation/connecteurs/gcp.md # Connecter un compte Google Cloud Autoriser CISAPP en lecture seule sur un environnement Google Cloud (GCP) grâce à un compte de service dont CISAPP emprunte l’identité, pour inventorier les ressources cloud et remonter les constats de posture de sécurité. > **Accès :** administrateur d’entreprise. Fonctionnalité en **bêta** ; le connecteur doit être activé sur votre plateforme. ## Comment ça fonctionne Aucune clé n’est échangée ni stockée. Vous créez dans l’un de vos projets un **compte de service en lecture seule** et vous autorisez le **compte de service de la plateforme CISAPP** à **emprunter son identité** (rôle « Créateur de jetons du compte de service », sur ce compte de service uniquement). À chaque synchronisation, CISAPP obtient auprès de Google un jeton d’accès de courte durée (environ une heure) au nom de votre compte de service et lit vos configurations. Ce jeton n’est jamais enregistré : il reste en mémoire chez CISAPP et est réutilisé au plus une heure (renouvelé 5 minutes avant son expiration). Retirer l’autorisation côté Google Cloud empêche d’en obtenir de nouveaux : l’accès prend fin au plus tard à l’expiration du jeton en cours (une heure au maximum), sous réserve de la propagation IAM de Google. Pour un arrêt immédiat côté CISAPP, utilisez **Déconnecter**. ## Prérequis - Être administrateur de l’entreprise dans CISAPP. - Disposer, dans Google Cloud, des droits pour créer un compte de service, créer un rôle personnalisé et attribuer des rôles IAM : par exemple Administrateur IAM de l’organisation (ou du projet), ou le propriétaire du projet. Sans organisation Google Cloud, ces droits sont requis sur chaque projet à analyser. - Disposer de la CLI `gcloud` connectée à un compte habilité, ou de Cloud Shell. - Un compte de service ne peut être connecté qu’à **une seule** organisation CISAPP. Plusieurs comptes de service (donc plusieurs connexions) restent possibles dans une même organisation CISAPP. - Le compte de service doit être **un compte que vous avez créé** (`nom@projet.iam.gserviceaccount.com`). Les comptes gérés par Google (agents de service `gcp-sa-…` et anciens agents de service Google, compte Compute par défaut `…-compute@developer.gserviceaccount.com`, compte App Engine) et les projets à nom de domaine hérités (`exemple.com:projet`) ne sont pas pris en charge. Il ne doit pas appartenir au projet de CISAPP. ## Configurer Google Cloud Les commandes ci-dessous sont celles du panneau de configuration de CISAPP. **Le panneau les affiche déjà préremplies** avec le jeton de vérification de votre connexion et l’adresse du compte de service de CISAPP : copiez-les depuis le panneau plutôt que d’utiliser les valeurs génériques de cette page (`` et ``). 1. Ouvrez **Mon entreprise → Connecteurs**, puis **Connecter** sur la carte Google Cloud. Le panneau **Configurer Google Cloud** affiche deux valeurs à copier : - le **compte de service CISAPP (plateforme)** : l’adresse à autoriser ; - le **jeton de vérification** : propre à cette connexion, de la forme `cisapp-verify-` suivi de 32 caractères hexadécimaux. 2. **Adaptez les variables.** `PROJECT_ID` est le projet qui hébergera le compte de service (son « projet d’accueil »), `ORG_ID` l’identifiant numérique de votre organisation (inutile sans organisation). ```bash PROJECT_ID="my-project-id" SA_NAME="cisapp-readonly" SA_EMAIL="${SA_NAME}@${PROJECT_ID}.iam.gserviceaccount.com" ORG_ID="123456789012" ``` 3. **Créez le compte de service**, avec le jeton de vérification comme **description** : il prouve que vous contrôlez ce compte. ```bash gcloud iam service-accounts create "$SA_NAME" --project="$PROJECT_ID" \ --display-name="CISAPP read-only" \ --description="" ``` Si le compte de service existe déjà, mettez seulement sa description à jour : ```bash gcloud iam service-accounts update "$SA_EMAIL" --project="$PROJECT_ID" \ --description="" ``` 4. **Autorisez CISAPP à emprunter l’identité du compte de service**, **sur ce compte de service uniquement**. Ne l’accordez **jamais** sur le projet, un dossier ou l’organisation : CISAPP refuse la connexion si ce rôle est accordé plus largement. ```bash gcloud iam service-accounts add-iam-policy-binding "$SA_EMAIL" \ --project="$PROJECT_ID" \ --member="serviceAccount:" \ --role="roles/iam.serviceAccountTokenCreator" ``` 5. **Enregistrez la définition du rôle personnalisé** dans un fichier `role.yaml`. Il ne contient que des permissions de lecture de métadonnées (voir la liste plus bas) : aucun accès aux données. ```yaml title: CISAPP Posture Reader description: Read-only metadata access for CISAPP security posture scans. No data-plane access. stage: GA includedPermissions: - resourcemanager.projects.get - resourcemanager.projects.getIamPolicy - compute.instances.list - compute.firewalls.list - compute.networks.list - compute.subnetworks.list - compute.projects.get - storage.buckets.list - storage.buckets.getIamPolicy - cloudsql.instances.list - container.clusters.list - iam.serviceAccounts.get - iam.serviceAccounts.list - iam.serviceAccountKeys.list - cloudfunctions.functions.list - cloudfunctions.functions.getIamPolicy - run.locations.list - run.services.list - run.services.getIamPolicy - cloudkms.locations.list - cloudkms.keyRings.list - cloudkms.cryptoKeys.list - bigquery.datasets.get - bigquery.datasets.getIamPolicy - serviceusage.services.list ``` 6. **Créez le rôle et attribuez-le au compte de service.** Le rôle doit couvrir **le projet d’accueil du compte de service** (il doit pouvoir se lire lui-même) **et** les projets à analyser. - **Avec une organisation Google Cloud** : une seule attribution au niveau de l’organisation couvre tous ses projets, y compris le projet d’accueil. ```bash gcloud iam roles create cisappPostureReader --organization="$ORG_ID" \ --file=role.yaml gcloud organizations add-iam-policy-binding "$ORG_ID" \ --member="serviceAccount:$SA_EMAIL" \ --role="organizations/$ORG_ID/roles/cisappPostureReader" ``` - **Sans organisation** : projet par projet. Remplacez `project-a project-b` par vos projets, **sans oublier le projet d’accueil du compte de service**. Le rôle est créé dans chacun. ```bash for P in project-a project-b; do gcloud iam roles create cisappPostureReader --project="$P" \ --file=role.yaml gcloud projects add-iam-policy-binding "$P" \ --member="serviceAccount:$SA_EMAIL" \ --role="projects/$P/roles/cisappPostureReader" done ``` 7. **Activez les API dans le projet d’accueil** du compte de service : ses appels y sont comptabilisés et limités. ```bash gcloud services enable cloudresourcemanager.googleapis.com iam.googleapis.com serviceusage.googleapis.com \ --project="$PROJECT_ID" ``` Les API des produits (Compute Engine, Cloud Storage, Cloud SQL…) n’ont pas à être activées pour CISAPP : un produit désactivé dans un projet n’a simplement rien à inventorier. ### Rôles prédéfinis de secours Si votre organisation interdit les rôles personnalisés, attribuez plutôt ces rôles prédéfinis au compte de service, sur l’organisation ou sur chaque projet (sans oublier le projet d’accueil) : - `roles/browser` - `roles/compute.networkViewer` - `roles/cloudsql.viewer` - `roles/container.clusterViewer` - `roles/iam.serviceAccountViewer` - `roles/cloudfunctions.viewer` - `roles/run.viewer` - `roles/cloudkms.viewer` - `roles/bigquery.metadataViewer` - `roles/serviceusage.serviceUsageViewer` - `roles/storage.bucketViewer` > **Limite :** ces rôles ne permettent pas de lire les règles d’accès (IAM) des buckets. Le contrôle des **buckets publics reste alors « inconnu »** : il ne crée ni ne résout de constat. ## Connecter dans CISAPP 1. Dans le panneau de configuration, cliquez **J’ai terminé**. 2. Indiquez l’**e-mail du compte de service** (par exemple `cisapp-readonly@mon-projet.iam.gserviceaccount.com`). 3. Indiquez éventuellement les **projets** à analyser, un identifiant par entrée (50 au maximum). **Vide : tous les projets actifs que le compte de service peut lire**, dans la limite d’un plafond fixé par la plateforme (100 par défaut) ; au-delà, seuls les premiers sont analysés et la synchronisation le signale. 4. **Vérifier l’accès** : CISAPP contrôle que le compte de service existe, qu’il peut en emprunter l’identité, que le jeton figure dans sa description et que les projets sont lisibles. 5. Contrôlez le **compte de service** affiché (son identifiant numérique), puis **Connecter**. La connexion devient active et la **première synchronisation** démarre. Si vous fermez l’assistant avant la confirmation, la connexion reste **En attente** et le panneau de configuration est repris depuis sa fiche (le jeton de vérification reste le même). Une connexion en attente depuis plus de 7 jours sans activité est supprimée automatiquement. Les droits IAM de Google se propagent avec un léger délai (de quelques secondes à quelques minutes). Si la vérification échoue juste après les commandes, patientez puis recommencez. De même, la première synchronisation peut signaler quelques erreurs partielles « non accordé » : la suivante les corrige. Une fois la connexion active, la liste des **projets** est modifiable depuis la fiche de la connexion (**Modifier le périmètre**) ; l’e-mail du compte de service ne l’est pas. ## Ce que CISAPP collecte CISAPP n’effectue que des **lectures** (requêtes `GET` ; les lectures de politiques IAM utilisent la méthode `POST` de l’API Google, sans rien modifier) et ne lit que des **configurations**, jamais de contenu. Pour chaque projet analysé : - projets Google Cloud (identifiant, état) et **politique IAM du projet**, résumée en compteurs (aucune adresse de membre n’est conservée) ; - Compute Engine : instances, règles de pare-feu VPC, réseaux et sous-réseaux ; - Cloud Storage : buckets (configuration et règles d’accès IAM, pas les objets) ; - Cloud SQL : instances ; - Google Kubernetes Engine (GKE) : clusters ; - comptes de service et leurs clés gérées par l’utilisateur (métadonnées : âge, état) ; - Cloud Functions et services Cloud Run (configuration et qui peut les invoquer) ; - Cloud KMS : clés de chiffrement (métadonnées de rotation) ; - BigQuery : jeux de données (configuration et accès publics) ; - la liste des API activées dans chaque projet. Les ressources sont visibles dans le menu **Sécurité opérationnelle → Patrimoine cloud** et sa **Cartographie**, avec leur région et leur localisation. Un produit que le compte de service ne peut pas lire est signalé comme **non accordé** dans le résultat de la synchronisation. ## Ce que CISAPP ne lit jamais CISAPP ne modifie rien dans votre environnement. Le rôle n’inclut aucune permission d’écriture ni de lecture de données. CISAPP ne lit **jamais**, et ne stocke donc jamais : - le contenu des buckets (objets), les tables, lignes et requêtes BigQuery ; - le **matériel des clés** de compte de service (aucune clé n’est créée, téléchargée ni utilisée), les secrets (Secret Manager), les clés KMS elles-mêmes (aucun chiffrement, déchiffrement ni signature) ; - les variables d’environnement et les secrets des fonctions et services Cloud Run, les images et arguments des conteneurs ; - les identifiants des clusters GKE (certificats, jetons), les mots de passe, certificats et valeurs d’options des instances Cloud SQL ; - les clés de chiffrement des disques, les libellés, les sorties du port série, captures d’écran et attributs invités ; - les adresses IP publiques elles-mêmes (seule l’existence d’une adresse publique est conservée) et les adresses des membres des politiques IAM. Les métadonnées des instances et du projet Compute (par exemple scripts de démarrage, clés SSH) sont lues pour **trois indicateurs seulement** : `enable-oslogin`, `block-project-ssh-keys` et `serial-port-enable`. Google ne permet pas de demander une seule clé : les éléments sont donc demandés sous forme de paires clé/valeur et les valeurs transitent en mémoire pendant la lecture de la réponse ; seuls ces trois indicateurs sont conservés et rien d’autre n’est converti, stocké ni journalisé. Rien d’autre n’est stocké, journalisé ni transmis. ## Constats de posture Les constats apparaissent dans les constats de sécurité avec la source **Posture Google Cloud**. Une règle ne se déclenche que si l’information est certaine : un état inconnu (produit non accordé, lecture impossible, valeur absente de la réponse) ne crée ni ne résout de constat. 20 règles sont évaluées. | Titre du constat | Gravité | | --- | --- | | Rôle de base Propriétaire ou Éditeur attribué dans le projet | Élevée ; moyenne si seuls des utilisateurs détiennent le rôle | | Politique IAM du projet ouverte à allUsers ou allAuthenticatedUsers | Critique | | Clé de compte de service gérée par l'utilisateur de plus de 90 jours | Moyenne | | Instance de calcul exposée avec une adresse IP publique | Moyenne | | Instance utilisant le compte de service par défaut avec accès complet aux API | Élevée | | Connexion OS Login désactivée sur l'instance | Moyenne | | Accès à la console série activé sur l'instance | Moyenne | | Règle de pare-feu ouverte à Internet sur un port d'administration | Élevée | | Règle de pare-feu ouverte à Internet sur un port de base de données | Élevée | | Règle de pare-feu autorisant tout le trafic depuis Internet | Critique | | Bucket de stockage accessible publiquement | Critique ; élevée si seuls des rôles de lecture sont publics | | Accès uniforme au niveau du bucket désactivé | Moyenne | | Instance Cloud SQL accessible depuis Internet | Critique | | Instance Cloud SQL n'imposant pas le chiffrement TLS | Élevée ; moyenne si l’instance n’a pas d’adresse publique | | Sauvegardes automatiques désactivées sur l'instance Cloud SQL | Moyenne | | Autorisation ABAC héritée activée sur le cluster GKE | Élevée | | Point d'accès du plan de contrôle GKE ouvert à Internet | Élevée | | Fonction ou service serverless invocable publiquement | Moyenne ; élevée si l’ingress est ouvert à tous et que le compte Compute par défaut l’exécute | | Clé de chiffrement KMS sans rotation automatique | Moyenne | | Dataset BigQuery accessible publiquement | Critique | Précisions : - **Pare-feu** : seules les règles VPC classiques d’entrée, actives, sont évaluées. Administration = ports 22 et 3389 ; bases de données = 1433, 1521, 3306, 5432, 6379, 9200, 9300, 11211 et 27017. Une règle qui ouvre tous les ports n’est signalée qu’une fois, par la règle « tout le trafic ». - **Fonctions et services serverless** : un accès public est souvent voulu (API publique) ; le constat est indicatif. Un ingress limité au réseau interne est considéré comme conforme. - **Buckets** : seule la politique IAM est évaluée. Les anciennes ACL d’objets ou de bucket ne sont pas lues. - **KMS** : seules les clés symétriques à rotation possible sont concernées ; une rotation de plus de 365 jours est aussi signalée. ## Limites - Les **politiques d’organisation** (par exemple `compute.requireOsLogin`, `compute.disableSerialPortAccess`, l’interdiction de l’accès public aux buckets) et les **politiques de pare-feu hiérarchiques** ou de réseau ne sont **pas évaluées** : un constat peut être neutralisé à votre niveau organisation, et une règle de refus n’est pas prise en compte. Les constats décrivent les configurations de chaque ressource. - Les politiques d’audit héritées d’un dossier ou de l’organisation ne sont pas visibles pour un projet rattaché à une organisation. - Les droits IAM de Google sont **cohérents à terme** : un rôle accordé ou retiré peut mettre quelques minutes à produire son effet. - Deux organisations CISAPP peuvent voir les mêmes projets au travers de deux comptes de service différents : la connexion est exclusive pour un compte de service, pas pour un projet. - Un périmètre vide est plafonné ; un projet inaccessible est signalé et ses ressources ne sont pas supprimées de l’inventaire. - Si le compte de service voit plus de projets que le plafond (100 par défaut) en mode « tous les projets », seuls les premiers sont analysés et la **résolution automatique des constats est suspendue pour toute la connexion** : les constats continuent d’être créés et mis à jour, mais aucun n’est résolu, et la synchronisation le signale. Listez explicitement les projets à analyser pour la rétablir. ## Révoquer l’accès - **Côté Google Cloud** : retirez le rôle « Créateur de jetons du compte de service » accordé à CISAPP sur votre compte de service. CISAPP ne peut plus obtenir de nouveau jeton ; le jeton déjà émis reste utilisable jusqu’à son expiration (une heure au maximum), sous réserve de la propagation IAM de Google. ```bash gcloud iam service-accounts remove-iam-policy-binding "$SA_EMAIL" \ --project="$PROJECT_ID" \ --member="serviceAccount:" \ --role="roles/iam.serviceAccountTokenCreator" ``` - **Côté CISAPP**, **Déconnecter** supprime la connexion et l’inventaire cloud associé, passe ses constats de posture en résolus et supprime le jeton gardé en mémoire : c’est l’arrêt immédiat côté CISAPP. Il n’y a rien à révoquer chez Google : aucun identifiant n’est stocké. Retirez ensuite le rôle d’emprunt d’identité, puis supprimez le compte de service et le rôle personnalisé s’ils ne servent plus. ## Difficultés courantes | Message | Que faire | | --- | --- | | Le connecteur Google Cloud est indisponible sur cette instance | Le compte de service de la plateforme n’est pas encore configuré sur votre plateforme : contactez le support. | | Google Cloud a refusé l’accès | Voir les causes détaillées ci-dessous. | | Ce compte de service est déjà connecté à une autre organisation CISAPP, ou ne correspond pas au compte de cette connexion | Un compte de service n’a qu’une connexion : déconnectez-le d’abord de l’autre organisation CISAPP. Sinon, le compte a été supprimé puis recréé (nouvel identifiant : ce n’est plus le compte de service connecté précédemment) : vérifiez l’e-mail saisi, déconnectez la connexion et reconnectez-la. Le même message apparaît si la connexion a été modifiée pendant la vérification : rechargez la page. | | Impossible de confirmer : ce compte de service a changé depuis la vérification | Relancez la vérification. | | Trop de tentatives | Trop de tentatives de connexion rapprochées (10 par minute au maximum) : patientez une minute. | | L’e-mail n’est pas valide (message sous le champ) | Saisissez un compte de service que vous avez créé (`nom@projet.iam.gserviceaccount.com`). Les comptes gérés par Google, y compris les anciens agents de service Google, sont refusés. Il s’agit d’une erreur de saisie, pas d’un refus de Google Cloud. | Quand Google Cloud refuse l’accès, la vérification s’arrête à la première cause rencontrée, dans cet ordre : | Cause | Que faire | | --- | --- | | Le compte de service appartient au projet de CISAPP | Créez-le dans l’un de **vos** projets. | | CISAPP ne peut pas emprunter l’identité de ce compte de service | Vérifiez l’e-mail et que le compte de service de CISAPP détient `roles/iam.serviceAccountTokenCreator` **sur ce compte de service**. Google ne distingue pas un compte absent d’un droit manquant. Attendez la propagation IAM. | | Le compte de service ne peut pas se lire lui-même | Attribuez-lui le rôle personnalisé sur **son projet d’accueil**. | | Activez une API dans le projet d’accueil | Activez `cloudresourcemanager`, `iam` et `serviceusage` dans le projet d’accueil (étape 7). | | Un périmètre VPC Service Controls bloque le compte de service | Autorisez le compte de service dans le périmètre. | | Le compte de service est introuvable, ne correspond pas à l’e-mail, n’appartient pas à son projet ou est désactivé | Vérifiez l’e-mail, réactivez le compte de service. | | Le jeton de vérification est introuvable dans la description du compte de service | Mettez à jour la description avec la valeur **exacte** du panneau (aucun texte en plus). Le jeton n’est vérifié que tant que la connexion n’est pas active. | | `roles/iam.serviceAccountTokenCreator` est accordé sur le projet, un dossier ou l’organisation | Retirez ces attributions larges et accordez le rôle sur le compte de service uniquement. | | Le compte de service ne voit aucun projet, ou un projet n’est pas lisible | Attribuez le rôle personnalisé sur les projets à analyser (ou sur l’organisation) et vérifiez que chaque projet est actif. | Après la connexion, dans les synchronisations : | Symptôme | Cause probable | | --- | --- | | Produit « non accordé » dans le résultat | Une permission du rôle manque sur ce projet : attribuez-le sur ce projet ou sur l’organisation. | | Erreur `SERVICE_DISABLED` dans le résultat | Une API du projet d’accueil du compte de service est désactivée (étape 7). | | Connexion en erreur « identifiants refusés » | L’emprunt d’identité est refusé (rôle retiré, compte supprimé ou désactivé) : rétablissez-le puis relancez la vérification depuis la fiche. | | Connexion en erreur « le compte de service a été remplacé » | Le compte de service a été recréé : déconnectez puis reconnectez le compte. | | Limite de projets atteinte | Sélectionnez explicitement les projets à analyser (tant que la liste est vide, aucun constat n’est résolu automatiquement). | ## Résultat attendu La connexion est active, l’inventaire cloud est alimenté et les constats de posture Google Cloud remontent dans CISAPP. Voir aussi : [Configurer les connecteurs](https://docs.cisapp.eu/organisation/connecteurs). --- Source: https://docs.cisapp.eu/organisation/connecteurs/github Markdown: https://docs.cisapp.eu/organisation/connecteurs/github.md # Connecter GitHub Installer l’application GitHub CISAPP, lier les dépôts aux applications, activer Dependabot et importer ses alertes dans les constats. > **Accès :** administrateur d’entreprise. Fonctionnalité en **bêta** ; le connecteur doit être activé sur votre plateforme. ## Prérequis - Être administrateur de l’entreprise dans CISAPP. - Pouvoir installer une application GitHub sur le compte ou l’organisation GitHub visé (propriétaire de l’organisation, ou administrateur du compte personnel). - Si GitHub affiche une demande d’approbation, un propriétaire de l’organisation GitHub doit la valider. ## Installer l’application 1. Ouvrez **Mon entreprise → Connecteurs**, puis **Connecter** sur la carte GitHub. Un panneau récapitule les étapes et les accès demandés ; cliquez sur **Continuer vers GitHub**. 2. Sur GitHub, choisissez le compte ou l’organisation, puis **All repositories** ou une sélection de dépôts. 3. Autorisez l’application lorsque GitHub le demande : cette étape prouve que votre compte GitHub a accès à l’installation. 4. Vous revenez dans CISAPP sur la fiche du connecteur, avec la liste des dépôts. Le lien d’installation expire après 30 minutes et ne sert qu’une fois : en cas d’erreur, relancez simplement **Connecter**. ## Lier les dépôts aux applications Dans l’onglet **Dépôts**, utilisez **Lier à une application** pour rattacher un dépôt à une [application](https://docs.cisapp.eu/registres/applications) de votre entreprise ; la colonne **Application** affiche le rattachement. **Délier** retire le rattachement sans rien modifier sur GitHub. Le dépôt apparaît ensuite dans l’onglet **Code et DevSecOps** de l’application. Pour ajouter ou retirer des dépôts, utilisez **Gérer sur GitHub** et modifiez la sélection : CISAPP est prévenu automatiquement. **Synchroniser** force une mise à jour immédiate. ## Activer Dependabot et importer les alertes Le commutateur **Dependabot** d’un dépôt active sur GitHub les alertes de vulnérabilité et les correctifs de sécurité automatiques, **et** importe les alertes ouvertes du dépôt dans les constats CISAPP. Le désactiver arrête les correctifs automatiques et l’import : les constats du dépôt passent en résolus (les alertes restent actives sur GitHub). - La colonne **Alertes ouvertes** de l’onglet **Dépôts** donne le nombre d’alertes par sévérité. - L’onglet **Alertes** affiche les totaux par sévérité, les **Dépôts importés** et la date de dernière synchronisation ; **Voir les constats** ouvre la liste des constats filtrée sur GitHub Dependabot. - Une alerte corrigée ou fermée sur GitHub passe en résolu automatiquement dans CISAPP. Les installations antérieures doivent accepter sur GitHub la nouvelle permission **Dependabot alerts** (GitHub envoie une demande au propriétaire de l’installation). ## Difficultés courantes | Message | Que faire | | --- | --- | | Le connecteur GitHub n’est pas configuré | Le connecteur n’est pas encore disponible sur votre plateforme : contactez le support. | | L’installation GitHub n’a pas pu être autorisée | Lien expiré ou compte GitHub sans accès à l’installation : relancez l’installation avec le bon compte. | | Cette installation GitHub est déjà liée à une autre organisation | Une installation GitHub ne peut servir qu’une seule entreprise CISAPP. | | Aucun dépôt synchronisé | Vérifiez la sélection de dépôts sur GitHub, puis **Synchroniser**. | | Dernière synchronisation incomplète | Le message liste les dépôts en échec : le plus souvent, la permission Dependabot alerts n’a pas été acceptée sur GitHub. | ## Déconnecter **Déconnecter** supprime la connexion, les dépôts synchronisés et leurs liaisons, et passe les constats GitHub en résolus ; les applications ne sont pas modifiées. Désinstaller l’application sur GitHub a le même effet. Désinstallez ensuite l’application depuis **Gérer sur GitHub** si vous ne l’utilisez plus. ## Résultat attendu Les dépôts choisis apparaissent dans CISAPP, sont rattachés aux bonnes applications, Dependabot est actif là où vous l’avez demandé et ses alertes apparaissent dans les constats. Voir aussi : [Configurer les connecteurs](https://docs.cisapp.eu/organisation/connecteurs). --- Source: https://docs.cisapp.eu/organisation/connecteurs/gitlab Markdown: https://docs.cisapp.eu/organisation/connecteurs/gitlab.md # Connecter GitLab Autoriser CISAPP sur GitLab.com, lier les projets GitLab aux applications et importer leurs vulnérabilités dans les constats. > **Accès :** administrateur d’entreprise. Fonctionnalité en **bêta** ; le connecteur doit être activé sur votre plateforme. ## Prérequis - Être administrateur de l’entreprise dans CISAPP. - Un compte **GitLab.com** membre des projets à surveiller avec le rôle **Developer** ou plus. GitLab auto-hébergé n’est pas pris en charge. - Pour l’import des vulnérabilités : projets sous **GitLab Ultimate** avec au moins un scanner de sécurité actif (Dependency Scanning, SAST, Container Scanning, Secret Detection…). ## Connecter le compte 1. Ouvrez **Mon entreprise → Connecteurs**, puis **Connecter** sur la carte GitLab. Un panneau récapitule les étapes et les accès demandés ; cliquez sur **Continuer vers GitLab**. 2. Connectez-vous à GitLab.com si besoin, puis cliquez sur **Authorize**. CISAPP ne demande qu’un accès **en lecture** à l’API (`read_api`). 3. Vous revenez dans CISAPP sur la fiche du connecteur, avec la liste des projets du compte. Le lien d’autorisation expire après 30 minutes et ne sert qu’une fois : en cas d’erreur, relancez simplement **Connecter**. CISAPP agit avec les droits du compte GitLab qui a autorisé l’application : utilisez de préférence un compte dédié ou un compte qui restera dans l’entreprise. ## Lier les projets aux applications Dans l’onglet **Dépôts**, utilisez **Lier à une application** pour rattacher un projet GitLab à une [application](https://docs.cisapp.eu/registres/applications) de votre entreprise ; la colonne **Application** affiche le rattachement. **Délier** retire le rattachement sans rien modifier sur GitLab. Le projet apparaît ensuite dans l’onglet **Code et DevSecOps** de l’application. La liste reprend les projets non archivés dont le compte est membre (rôle Developer ou plus). **Synchroniser** force une mise à jour immédiate ; sinon la synchronisation est quotidienne. ## Importer les vulnérabilités Le commutateur **Vulnérabilités GitLab** d’un projet importe ses vulnérabilités ouvertes (détectées ou confirmées) du rapport de vulnérabilités GitLab dans les constats CISAPP. Le désactiver arrête l’import : les constats du projet passent en résolus. Rien n’est modifié sur GitLab. - La colonne **Alertes ouvertes** de l’onglet **Dépôts** donne le nombre de vulnérabilités par sévérité. - L’onglet **Alertes** affiche les totaux par sévérité, les **Dépôts importés** et la date de dernière synchronisation ; **Voir les constats** ouvre la liste des constats filtrée sur GitLab. - Une vulnérabilité résolue ou ignorée sur GitLab passe en résolu dans CISAPP à la synchronisation suivante. ## Difficultés courantes | Message | Que faire | | --- | --- | | Le connecteur GitLab n’est pas configuré | Le connecteur n’est pas encore disponible sur votre plateforme : contactez le support. | | L’autorisation a été refusée sur GitLab | Vous avez cliqué sur **Deny** : relancez **Connecter** et autorisez l’application. | | La connexion GitLab n’a pas pu être validée | Lien expiré ou déjà utilisé : relancez la connexion. | | Ce compte GitLab est déjà connecté à une autre organisation | Un compte GitLab ne peut servir qu’une seule entreprise CISAPP : utilisez un autre compte. | | Aucun dépôt synchronisé | Le compte n’est membre d’aucun projet avec le rôle Developer ou plus. | | Aucune vulnérabilité alors que l’import est actif | Le projet n’est pas sous GitLab Ultimate, ou aucun scanner n’a tourné sur la branche par défaut. | | Synchronisation en erreur « reconnect » | L’accès a été révoqué sur GitLab : déconnectez puis reconnectez GitLab. | ## Déconnecter **Déconnecter** supprime la connexion, les projets synchronisés et leurs liaisons, passe les constats GitLab en résolus et révoque l’accès de CISAPP sur GitLab ; les applications ne sont pas modifiées. Vous pouvez aussi vérifier les applications autorisées depuis **Gérer les accès sur GitLab**. ## Résultat attendu Les projets GitLab apparaissent dans CISAPP, sont rattachés aux bonnes applications et leurs vulnérabilités apparaissent dans les constats. Voir aussi : [Configurer les connecteurs](https://docs.cisapp.eu/organisation/connecteurs). --- Source: https://docs.cisapp.eu/organisation/connecteurs/ovh Markdown: https://docs.cisapp.eu/organisation/connecteurs/ovh.md # Connecter un compte OVHcloud Autoriser CISAPP en lecture seule sur un compte OVHcloud pour inventorier les ressources cloud et remonter les constats de posture de sécurité. > **Accès :** administrateur d’entreprise. Fonctionnalité en **bêta** ; le connecteur doit être activé sur votre plateforme. ## Prérequis - Être administrateur de l’entreprise dans CISAPP. - Pouvoir vous connecter au compte OVHcloud à analyser avec son identifiant client (nichandle, de la forme `xx11111-ovh`) avec un compte autorisé à créer des clés d’API : l’autorisation est accordée avec ce compte. - Connaître la **région** du compte : Europe, Canada ou États-Unis. Un compte OVHcloud est propre à une région. - Un compte OVHcloud ne peut être connecté qu’à **une seule** organisation CISAPP. CISAPP ne vous demande ni mot de passe ni clé à copier : l’authentification se fait uniquement sur le site d’OVHcloud. ## Connecter dans CISAPP 1. Ouvrez **Mon entreprise → Connecteurs**, puis **Connecter** sur la carte OVHcloud. 2. Choisissez la **région du compte** (Europe, Canada ou États-Unis), puis **Continuer vers OVHcloud**. 3. Vous êtes redirigé vers la page d’autorisation d’OVHcloud : connectez-vous avec le compte à analyser. 4. Choisissez la **durée de validité** de l’autorisation. Préférez une **validité datée** plutôt que « Illimitée » : une autorisation sans date d’expiration est signalée dans CISAPP, et vous devrez la renouveler avant son échéance. 5. Autorisez l’accès. OVHcloud vous ramène automatiquement dans CISAPP. 6. Contrôlez le **compte OVHcloud** affiché (identifiant client), puis **Connecter**. La première synchronisation démarre. Si vous fermez l’assistant avant la confirmation, la connexion reste **En attente** : **Reprendre la validation** depuis sa fiche (renouvelez l’autorisation sur OVHcloud, puis confirmez le compte). Si vous avez refusé l’autorisation ou laissé la page expirer, relancez la connexion pour en demander une nouvelle. ## Ce que CISAPP collecte CISAPP n’effectue que des **lectures** (requêtes en lecture seule, sur une liste limitée de routes) et ne lit que des **configurations**, jamais de contenu : - Public Cloud : instances, groupes de sécurité, volumes, réseaux privés, buckets Object Storage (configuration, pas les objets), bases de données managées, clusters Kubernetes managés ; - serveurs dédiés, serveurs privés virtuels (VPS), hébergements web ; - noms de domaine et zones DNS, blocs d’adresses IP ; - services et leurs dates d’échéance et de renouvellement ; - sécurité du compte : authentification à deux facteurs, restrictions d’adresses IP, clés d’API (dates d’expiration, dernier usage, adresses autorisées). Un produit que l’autorisation ne couvre pas est signalé comme **non accordé** dans le résultat de la synchronisation. Les ressources sont visibles dans le menu **Sécurité opérationnelle → Patrimoine cloud** et sa **Cartographie**, avec leur région et leur localisation. ## Ce que CISAPP ne lit jamais CISAPP ne modifie rien dans votre compte et ne lit jamais : - les informations personnelles du profil (contacts, coordonnées) ni les numéros de téléphone ; - les codes de transfert des domaines ; - les accès IPMI, les identifiants d’Object Storage (S3), les fichiers `kubeconfig` ni les accès aux bases de données ; - le contenu des buckets (objets), les secrets et clés de chiffrement ; - les mots de passe de secours, clés SSH et jetons d’accès des instances, serveurs et hébergements. Une seule écriture est demandée : permettre à l’autorisation de **s’annuler elle-même** lorsque vous déconnectez ou renouvelez la connexion. ## Constats de posture Les constats apparaissent dans les constats de sécurité avec la source **Posture OVHcloud**. Une règle ne se déclenche que si l’information est certaine : un état inconnu (produit non accordé, lecture impossible) ne crée ni ne résout de constat. - **Compte** : authentification à deux facteurs non activée ; clé d’API sans date d’expiration, inutilisée depuis plus de 90 jours ou utilisable depuis n’importe quelle adresse IP. - **Domaines** : domaine sans verrou de transfert, sans DNSSEC alors que l’extension le permet, ou proche de l’expiration (moins de 30 jours) sans renouvellement automatique. - **Services** : service proche de l’expiration sans renouvellement automatique, ou impayé. - **Réseau** : groupe de sécurité joignable depuis tout Internet (0.0.0.0/0 ou ::/0) sur l’administration à distance (SSH 22, RDP 3389) ou sur un port de base de données courant (3306, 5432, 6379, 27017…). - **Bases de données managées** : accès public sans restriction d’adresse IP, sans sauvegarde. - **Kubernetes** : API accessible depuis tout Internet, mise à jour disponible non appliquée, journaux d’audit absents. - **Stockage objet** : bucket sans chiffrement au repos ou sans versioning. La détection de buckets publics n’est pas possible avec l’API OVHcloud. - **Serveurs et hébergements** : serveur dédié sans pare-feu matériel OVHcloud activé, hébergement web sans certificat SSL, instance créée à partir d’une image en fin de support. La clé de la connexion elle-même est exclue de ces règles et traitée à part : sans date d’expiration, elle affiche un avertissement sur la fiche ; à moins de 30 jours de l’échéance, un badge **Identifiants bientôt expirés**. ## Renouveler l’autorisation 1. Sur la fiche de la connexion, **Mettre à jour les identifiants** puis **Renouveler l’autorisation**. 2. Vous êtes redirigé vers OVHcloud : connectez-vous au **même compte**, choisissez une nouvelle validité datée et autorisez. 3. De retour dans CISAPP, confirmez le compte. La nouvelle autorisation remplace l’ancienne, qui est révoquée. 4. Si elle appartient à un **autre compte OVHcloud**, elle est refusée et l’autorisation actuelle est conservée. La région ne se modifie pas après la création : un compte OVHcloud est propre à une région. ## Déconnecter et révoquer **Déconnecter** supprime la connexion et l’inventaire cloud associé, et passe ses constats de posture en résolus. CISAPP demande aussi à OVHcloud d’annuler l’autorisation, de façon automatique ; si cette annulation échoue, elle reste valable jusqu’à son expiration. Révoquez-la alors manuellement dans votre compte OVHcloud, dans la rubrique des clés (identifiants) d’API, en supprimant l’autorisation créée pour CISAPP. ## Difficultés courantes | Message | Que faire | | --- | --- | | Le connecteur OVHcloud est indisponible sur cette instance | Le connecteur n’est pas encore configuré sur votre plateforme : contactez le support. | | La validation sur OVHcloud n’est pas terminée, ou l’autorisation a été refusée ou a expiré | Terminez la validation sur la page OVHcloud, ou relancez la connexion pour obtenir une nouvelle autorisation. | | OVHcloud a refusé cette autorisation | La validation a été refusée ou a expiré : relancez la connexion. | | Ce compte OVHcloud est déjà connecté par une autre organisation CISAPP | Un compte OVHcloud n’a qu’une connexion : déconnectez-le d’abord de l’autre organisation CISAPP. | | Cette autorisation appartient à un autre compte OVHcloud | Lors d’un renouvellement, connectez-vous au même compte OVHcloud. | | Produit « non accordé » | L’autorisation ne couvre pas ce produit : renouvelez-la, puis vérifiez que votre compte y a accès. | | Service expiré (erreur 460) dans la synchronisation | Un service (par exemple un domaine) est expiré chez OVHcloud : ce n’est pas un problème d’autorisation, le reste du compte est analysé. Renouvelez ou supprimez ce service. | | Identifiants expirés ou refusés | L’autorisation a expiré ou a été révoquée : renouvelez-la depuis la fiche. | ## Résultat attendu La connexion est active, l’inventaire cloud est alimenté et les constats de posture OVHcloud remontent dans CISAPP. Voir aussi : [Configurer les connecteurs](https://docs.cisapp.eu/organisation/connecteurs). --- Source: https://docs.cisapp.eu/organisation/connecteurs/scaleway Markdown: https://docs.cisapp.eu/organisation/connecteurs/scaleway.md # Connecter une organisation Scaleway Créer une clé API Scaleway en lecture seule pour inventorier les ressources cloud et remonter les constats de posture de sécurité. > **Accès :** administrateur d’entreprise. Fonctionnalité en **bêta** ; le connecteur doit être activé sur votre plateforme. ## Prérequis - Être administrateur de l’entreprise dans CISAPP. - Pouvoir créer une application, une politique et une clé API dans l’**IAM** de l’organisation Scaleway visée (propriétaire ou droits équivalents). - Une organisation Scaleway ne peut être connectée qu’à **une seule** organisation CISAPP. ## Créer l’accès dans Scaleway CISAPP n’utilise jamais votre compte personnel : créez une **application IAM** dédiée, en lecture seule. 1. Dans la console Scaleway, **IAM → Applications** : créez une application (par exemple `cisapp-readonly`). 2. **IAM → Politiques** : créez une politique pour cette application avec exactement les jeux de permissions ci-dessous. 3. **IAM → Clés API** : créez une clé API pour l’application, avec une **date d’expiration** (recommandé). Notez la **clé d’accès** et la **clé secrète**. ### Jeux de permissions à accorder | Portée | Jeux de permissions | | --- | --- | | Projets à analyser | `InstancesReadOnly`, `ObjectStorageBucketsRead`, `RelationalDatabasesReadOnly`, `LoadBalancersReadOnly`, `VPCReadOnly`, `KubernetesReadOnly`, `FunctionsReadOnly`, `ContainersReadOnly`, `ContainerRegistryReadOnly`, `BlockStorageReadOnly` | | Organisation | `IAMReadOnly`, `ProjectReadOnly` | Si un produit n’est pas accordé, CISAPP l’indique comme « non accordé » dans la synchronisation et analyse le reste. Accordez les jeux de permissions sur **chaque projet** de l’organisation, ou restreignez la connexion aux projets accordés avec le champ **Projets** : sinon, les projets sans ces permissions sont signalés comme non collectés à chaque synchronisation. **N’accordez jamais** `SecretManagerSecretAccess`, un jeu `*FullAccess` ou `*Manager`, `BillingReadOnly` ni `AllProductsReadOnly` : CISAPP n’en a pas besoin. > La clé secrète n’est affichée qu’**une seule fois** par Scaleway. CISAPP la stocke chiffrée et ne l’affiche plus jamais. L’assistant de CISAPP propose aussi un guide repliable avec un exemple en ligne de commande (`scw iam …`). C’est un exemple à adapter : vérifiez les arguments avec `scw iam --help` avant de l’exécuter. ## Connecter dans CISAPP 1. Ouvrez **Mon entreprise → Connecteurs**, puis **Connecter** sur la carte Scaleway. 2. Collez la **clé d’accès** (elle commence par `SCW`) et la **clé secrète**. 3. Indiquez éventuellement les **projets** (identifiants UUID) et les **régions** à analyser. Vide : tous les projets accessibles à la clé et toutes les régions. 4. **Vérifier la clé** : CISAPP teste l’accès auprès de Scaleway avant d’enregistrer quoi que ce soit. 5. Contrôlez l’**organisation Scaleway** affichée, puis **Connecter**. La première synchronisation démarre. Si vous fermez l’assistant avant la confirmation, la connexion reste **En attente** : **Confirmer le compte** depuis sa fiche. ## Ce que CISAPP collecte CISAPP lit uniquement des **configurations**, jamais de contenu : - instances et leurs groupes de sécurité, volumes ; - buckets de stockage objet (configuration, pas les objets), bases de données managées ; - load balancers, clusters Kapsule, Functions et Containers, registres de conteneurs, réseaux privés ; - utilisateurs et clés API IAM (statut MFA, dates d’expiration). CISAPP ne lit jamais les secrets (Secret Manager), les variables d’environnement, les données utilisateur des instances, ni le fichier d’accès `kubeconfig`, et ne modifie rien dans votre organisation. Les ressources sont visibles dans le menu **Sécurité opérationnelle → Patrimoine cloud** et sa **Cartographie**. ## Constats de posture Les constats apparaissent dans les constats de sécurité avec la source **Posture Scaleway**. Une règle ne se déclenche que si l’information est certaine : un état inconnu (droit manquant, produit non accordé) ne crée ni ne résout de constat. - **Réseau** : groupe de sécurité joignable depuis tout Internet (0.0.0.0/0 ou ::/0) sur l’administration à distance (SSH 22, RDP 3389) ou sur un port de base de données courant (3306, 5432, 6379, 27017…) ; politique d’entrée par défaut sur « accepter » pour un groupe attaché à un serveur ; serveur avec IP publique derrière un groupe permissif. - **Bases de données** : accès public dont l’ACL autorise 0.0.0.0/0, chiffrement au repos désactivé, sauvegardes automatiques désactivées ou aucune sauvegarde prête (une base neuve est signalée jusqu’à sa première sauvegarde), pas de haute disponibilité. - **Stockage objet** : bucket dont l’ACL ouvre l’accès à tous (`AllUsers`) ou à tout utilisateur authentifié, versioning désactivé ou suspendu. - **Load balancers** : frontend HTTP (port 80) sans certificat, niveau TLS « old » sur un load balancer qui termine du TLS. - **Kubernetes** : cluster à mettre à jour sans mise à jour automatique, API ouverte (ACL du cluster qui autorise explicitement 0.0.0.0/0 ou ::/0 ; une ACL vide n’est pas signalée, et un réseau privé ne rend pas l’API privée). - **Functions, Containers et registres** : fonction ou conteneur public (invocable sans jeton), registre de conteneurs public. - **IAM** : utilisateur sans authentification multifacteur, clé API sans date d’expiration ou créée il y a plus de 365 jours. La clé de la connexion elle-même est exclue de ces règles et traitée à part : sans date d’expiration, elle affiche un avertissement sur la fiche ; à moins de 30 jours de l’échéance, un badge **Identifiants bientôt expirés**. ## Remplacer la clé (rotation) 1. Créez une nouvelle clé API pour la même application, avec une date d’expiration. 2. Sur la fiche de la connexion, **Mettre à jour les identifiants** et collez la nouvelle clé d’accès et la clé secrète. 3. La nouvelle clé doit appartenir à la **même organisation Scaleway** ; sinon elle est refusée et la clé actuelle est conservée. 4. Révoquez ensuite l’ancienne clé dans la console Scaleway. Les projets et régions se modifient depuis la fiche (**Modifier**), sans ressaisir la clé. Retirer un projet ou une région de la connexion retire ses ressources de l’inventaire à la synchronisation suivante. ## Difficultés courantes | Message | Que faire | | --- | --- | | Le connecteur Scaleway est indisponible sur cette instance | Le connecteur n’est pas encore configuré sur votre plateforme : contactez le support. | | Scaleway a refusé cette clé API | Vérifiez que la clé n’est ni révoquée ni expirée et que la politique accorde au minimum `IAMReadOnly` et `ProjectReadOnly` à l’organisation, en plus des jeux de lecture par produit. | | Cette organisation Scaleway est déjà connectée par une autre organisation CISAPP | Une organisation Scaleway n’a qu’une connexion : déconnectez-la d’abord de l’autre organisation CISAPP. | | Cette clé API appartient à une autre organisation Scaleway | Lors d’une rotation, utilisez une clé de la même organisation Scaleway. | | Identifiants expirés ou refusés | Créez une nouvelle clé et faites la rotation depuis la fiche. | | Produit « non accordé » | Ajoutez le jeu de permissions correspondant à la politique de l’application. | ## Déconnecter **Déconnecter** supprime la connexion et l’inventaire cloud associé, et passe ses constats de posture en résolus. Révoquez ensuite la clé API (et l’application si elle n’a plus d’usage) dans **IAM** sur la console Scaleway. ## Résultat attendu La connexion est active, l’inventaire cloud est alimenté et les constats de posture Scaleway remontent dans CISAPP. Voir aussi : [Configurer les connecteurs](https://docs.cisapp.eu/organisation/connecteurs). --- Source: https://docs.cisapp.eu/organisation/offres-facturation Markdown: https://docs.cisapp.eu/organisation/offres-facturation.md # Comprendre l’offre, les quotas et la facturation Lire les capacités de son offre et retrouver les documents de facturation. > **Accès :** administrateur d’entreprise. Selon les modules activés et votre offre. ## Consulter l’offre Un administrateur ouvre **Mon entreprise → Plan et abonnement**. Relisez l’offre en cours, les capacités affichées et les options de changement réellement proposées. Les fonctions accessibles dépendent à la fois de l’offre et de leur activation. ## Lire les quotas Les écrans concernés affichent les limites : fournisseurs créés, activités, projets, stockage ou actifs surveillés. L’interface indique les quantités pertinentes pour votre offre ; ne transposez pas les chiffres d’une capture de documentation à votre entreprise. Un fournisseur inactif reste enregistré et continue de compter parmi les fournisseurs créés. La suppression logique de cette relation ne libère donc pas nécessairement une place. ## Facturation Ouvrez **Facturation** pour consulter les informations et documents proposés à votre compte. Vérifiez la période et l’entreprise avant de télécharger un document. L’entrée **Administration → Plan et facturation** peut aussi orienter vers la gestion correspondante. ## Feature flags Un administrateur peut consulter les fonctionnalités de l’organisation dans **Feature flags**. Une activation ou un ajustement de cycle de vie ne rend pas accessible une fonction exclue de l’offre. Certaines pages restent en construction même si leur entrée est visible. ## Résultat attendu Vous savez si le blocage vient d’une limite, d’un droit ou de la disponibilité de la fonction. Pour la grille de lecture complète, consultez [Disponibilité des fonctions](https://docs.cisapp.eu/aide/disponibilite). --- Source: https://docs.cisapp.eu/parcours/integrer-fournisseur Markdown: https://docs.cisapp.eu/parcours/integrer-fournisseur.md # Intégrer un nouveau fournisseur Un parcours de l’identification du tiers jusqu’à sa première évaluation. > **Accès :** membre. Selon les modules activés et votre offre. ## Comment intégrer et évaluer un fournisseur ? Dans CISAPP, l’intégration d’un fournisseur consiste à retrouver ou créer sa fiche, qualifier sa criticité, relier ses activités et préparer une évaluation adaptée. La revue des réponses et des preuves permet ensuite de décider du suivi. Ce parcours de gestion des risques tiers évite de séparer l’identification du fournisseur de son évaluation. ## Objectif et préparation Obtenir une fiche fiable, qualifier son importance métier et préparer une première évaluation. Préparez le site web, le contact du fournisseur et les activités qu’il soutient. Vous avez besoin des droits de création de fournisseur et d’évaluation, et d’un quota disponible. ## 1. Identifier le tiers Dans **Registres → Fournisseurs**, recherchez d’abord l’entreprise. Si elle existe déjà, ouvrez sa fiche et contrôlez vos accès. Sinon, suivez [Créer un fournisseur](https://docs.cisapp.eu/registres/creer-fournisseur). ## 2. Qualifier la relation Renseignez les coordonnées, choisissez une criticité métier et ajoutez les contacts utiles. Déterminez qui répondra au questionnaire et qui suivra la relation dans votre entreprise. ![Qualification du fournisseur](https://docs.cisapp.eu/images/fr/vendor-criticality.webp) *La criticité permet de proportionner l’effort de revue à l’importance métier. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/vendor-criticality.webp)* ## 3. Rattacher les activités Ouvrez les [activités métier](https://docs.cisapp.eu/registres/activites) concernées et associez le fournisseur. Vérifiez ensuite la [carte de dépendances](https://docs.cisapp.eu/pilotage/dependances). ## 4. Lancer la première évaluation Choisissez un questionnaire adapté au besoin. Suivez [Évaluer un fournisseur](https://docs.cisapp.eu/evaluations/fournisseur), relisez le périmètre et vérifiez les accès du répondant. ## 5. Prévoir le suivi Notez les points à clarifier et organisez les actions après réception des réponses. Créez un risque lorsque le scénario le justifie et un plan d’action si plusieurs actions sont nécessaires. ## Critères de réussite La fiche est identifiable, la criticité est renseignée, les dépendances utiles sont liées et l’évaluation est accessible aux personnes concernées. Aucun doublon n’a été créé pour contourner un problème de droits. ## Questions fréquentes ### Faut-il créer une nouvelle fiche pour chaque évaluation ? Non. Recherchez d’abord le fournisseur et utilisez sa fiche existante si elle correspond à l’entreprise évaluée. Une nouvelle évaluation ne justifie pas un doublon ; contrôlez les droits si la fiche n’est pas accessible. ### Quelles informations préparer avant l’intégration ? Préparez l’identité et le site web du fournisseur, la prestation, les activités soutenues et les contacts utiles. La criticité métier et les attentes du questionnaire doivent correspondre à cette relation, pas seulement au nom de l’entreprise. ### L’évaluation donne-t-elle automatiquement une décision de risque ? La décision nécessite une revue des réponses, de leurs preuves et du contexte métier. Consultez les [résultats de l’évaluation](https://docs.cisapp.eu/evaluations/resultats), puis documentez les risques et les actions qui nécessitent un suivi. Retrouvez les autres [questions sur les fournisseurs, les risques et la conformité](https://docs.cisapp.eu/aide/questions-frequentes). --- Source: https://docs.cisapp.eu/parcours/lancer-evaluation Markdown: https://docs.cisapp.eu/parcours/lancer-evaluation.md # Lancer une évaluation de bout en bout Préparer le périmètre, créer l’évaluation et vérifier l’accès du répondant. > **Accès :** création d’évaluation. Selon les modules activés et votre offre. ## Comment lancer une évaluation fournisseur dans CISAPP ? Pour lancer une évaluation, choisissez le type adapté, le sujet et les questionnaires, puis définissez le contexte et les accès avant de valider. Vérifiez ensuite que le répondant peut ouvrir le questionnaire. Pour un fournisseur, ce contrôle évite de confondre la création de l’évaluation avec le démarrage effectif de la collecte. ## Avant de commencer Définissez la décision que l’évaluation doit éclairer. Préparez le sujet, le questionnaire et les personnes qui participeront. Vérifiez votre droit de création d’évaluation. ## Parcours 1. Choisissez le [type d’évaluation](https://docs.cisapp.eu/evaluations/types) correspondant au sujet. 2. Ouvrez sa liste dans **Évaluations**, puis démarrez la création. 3. Sélectionnez le périmètre ou le sujet demandé. 4. Choisissez les questionnaires adaptés ; vérifiez leur contenu plutôt que leur seul titre. 5. Complétez le nom, le contexte et les accès aux étapes proposées. 6. Relisez le récapitulatif puis validez. 7. Ouvrez l’évaluation créée et vérifiez la présence des questionnaires de réponse. 8. Vérifiez l’accès du répondant et l’état de son invitation avant de lui demander de commencer. ![Finalisation de l’évaluation](https://docs.cisapp.eu/images/fr/evaluation-finalize.webp) *Le contrôle final porte sur le sujet, les questionnaires et les accès. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/evaluation-finalize.webp)* ## Pendant et après la réponse Suivez la progression dans l’évaluation. Si une réponse manque, clarifiez l’attente avec le répondant. À la réception, [relisez les résultats](https://docs.cisapp.eu/evaluations/resultats) et les preuves avant de décider des suites. ## Critères de réussite Le bon sujet est évalué, le questionnaire est accessible au bon répondant et le responsable peut suivre l’avancement. Une évaluation créée sans accès répondant vérifié ne suffit pas à démarrer la collecte. ## Si le parcours bloque Un sujet ou questionnaire absent peut relever des droits, de sa finalité ou de l’offre. Corrigez ce point avant de recréer l’évaluation. ## Résultat attendu L’évaluation et les questionnaires attendus sont accessibles aux bonnes personnes. Le suivi distingue les réponses manquantes des évaluations terminées. ## Questions fréquentes ### Quelle différence entre questionnaire et évaluation ? Un questionnaire contient les questions. Une évaluation les associe à un sujet, à un périmètre et aux personnes concernées. Choisissez le [type d’évaluation](https://docs.cisapp.eu/evaluations/types) avant de sélectionner les questionnaires adaptés. ### Pourquoi mon questionnaire n’apparaît-il pas ? Vérifiez sa destination, sa finalité et vos droits de consultation dans la [bibliothèque](https://docs.cisapp.eu/evaluations/questionnaires). Une absence dans le sélecteur ne signifie pas nécessairement que le questionnaire a été supprimé. ### Comment vérifier que la collecte a commencé ? Ouvrez l’évaluation créée, contrôlez l’accès du répondant et suivez l’avancement des réponses. La présence d’une évaluation dans la liste ne prouve pas qu’un répondant y a accès ou qu’il a commencé à la compléter. Retrouvez les autres [questions sur les fournisseurs, les risques et la conformité](https://docs.cisapp.eu/aide/questions-frequentes). --- Source: https://docs.cisapp.eu/parcours/repondre-questionnaire Markdown: https://docs.cisapp.eu/parcours/repondre-questionnaire.md # Répondre à un questionnaire reçu Un parcours pour les collaborateurs et répondants externes invités à compléter une évaluation. > **Accès :** répondant. Selon les modules activés et votre offre. ## Comment répondre à un questionnaire de sécurité ? Pour répondre à un questionnaire reçu dans CISAPP, utilisez le compte associé à l’invitation, vérifiez le sujet et complétez les réponses avec les preuves demandées. Contrôlez l’enregistrement de vos modifications et le statut après soumission lorsque cette action est disponible. La sauvegarde et la finalisation sont deux étapes distinctes. ## Préparation Utilisez l’adresse email à laquelle l’invitation a été envoyée. Préparez les réponses et les documents utiles. Si vous représentez un fournisseur, vérifiez l’entreprise et le périmètre de la demande. ## Parcours 1. Ouvrez le lien reçu et [connectez-vous ou activez votre compte](https://docs.cisapp.eu/demarrer/connexion). 2. Vérifiez le titre du questionnaire, le sujet et l’organisation demandeuse affichés. 3. Parcourez les sections pour comprendre les informations attendues. 4. Répondez aux questions ; complétez les commentaires et les preuves proposées. 5. Vérifiez la progression et l’enregistrement après vos modifications. 6. Relisez les réponses obligatoires et les documents joints. 7. Soumettez le questionnaire lorsque l’action est disponible, puis vérifiez le statut affiché. ![Navigation dans le questionnaire de réponse](https://docs.cisapp.eu/images/fr/assessment.webp) *Le sommaire aide à vérifier les sections avant la soumission. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/assessment.webp)* ## Si vous n’avez pas toutes les informations Rapprochez-vous du responsable de l’évaluation. Distinguez une réponse en attente d’une réponse négative ; n’inventez pas une preuve pour terminer le formulaire. ## Si l’accès ne fonctionne pas Vérifiez l’adresse du compte, l’activation et l’invitation. Retrouvez vos évaluations et les questions qui vous sont assignées dans **Évaluations → À traiter**, ou utilisez le lien reçu. Demandez au responsable de contrôler les droits si le questionnaire ne s’ouvre pas. ## Critères de réussite Les réponses attendues sont enregistrées et le statut confirme la soumission lorsque requise. Le responsable peut consulter les informations et leurs preuves. ## Résultat attendu Vos réponses sont enregistrées et l’état de la demande a été vérifié avant d’informer l’émetteur de son avancement. ## Questions fréquentes ### Puis-je préparer mes réponses avant de soumettre ? Complétez les réponses et vérifiez leur sauvegarde au fil de la saisie. Relisez les informations et les pièces jointes avant d’utiliser l’action de soumission lorsqu’elle est proposée. Ne déduisez pas la finalisation du seul pourcentage de progression. ### Que faire si je ne connais pas une réponse ? Demandez les informations au responsable concerné et signalez l’élément en attente au responsable de l’évaluation. Une absence d’information ne doit pas devenir une réponse négative ou une preuve inventée. ### Pourquoi mon lien d’invitation ne fonctionne-t-il plus ? Vérifiez l’adresse du compte, son activation et la validité de l’invitation. Si le lien a expiré ou a été révoqué, demandez un nouvel envoi à la personne responsable. Consultez le [dépannage](https://docs.cisapp.eu/aide/depannage) avant de créer un autre compte. Retrouvez les autres [questions sur les fournisseurs, les risques et la conformité](https://docs.cisapp.eu/aide/questions-frequentes). --- Source: https://docs.cisapp.eu/parcours/traiter-risque Markdown: https://docs.cisapp.eu/parcours/traiter-risque.md # Passer d’un risque à un plan de traitement Documenter le scénario, décider du traitement et vérifier les mesures réalisées. > **Accès :** membre. Selon les modules activés et votre offre. ## Comment créer un plan de traitement des risques ? Un plan de traitement relie un scénario de risque à une décision, des mesures, des responsables et des échéances. Dans CISAPP, documentez le risque et son évaluation, organisez les actions, puis vérifiez les mesures avant de réévaluer le niveau résiduel. La création de tâches est une étape du suivi, pas une preuve de réduction du risque. ## Préparation Partez d’un fait ou d’un scénario précis, par exemple l’indisponibilité d’un fournisseur qui soutient une activité critique. Préparez le contexte, le responsable et les informations d’évaluation. ## Parcours 1. Vérifiez si le risque existe déjà dans **Registres → Risques**. 2. Sinon, [créez le risque](https://docs.cisapp.eu/risques/registre) avec son scénario et les entités concernées. 3. Évaluez la vraisemblance et l’impact avec la méthode de l’entreprise. 4. Décidez de la stratégie de traitement et documentez sa justification. 5. Ajoutez les mesures, responsables et échéances utiles. 6. Utilisez un [plan d’action](https://docs.cisapp.eu/collaboration/projets) si le travail comporte plusieurs actions. 7. Faites évoluer les mesures selon leur réalisation et vérifiez les preuves. 8. Réévaluez le niveau résiduel, puis utilisez l’action de cycle de vie adaptée. ![Registre des risques à revoir](https://docs.cisapp.eu/images/fr/risks.webp) *Le registre permet de retrouver les risques avant de préparer les décisions. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/risks.webp)* ## Si un écart doit être toléré temporairement Un administrateur peut préparer une [dérogation](https://docs.cisapp.eu/risques/derogations) avec justification, mesures compensatoires et échéance. La dérogation ne remplace pas le traitement du risque. ## Critères de réussite Le scénario, la décision, les actions et le niveau résiduel sont relisibles. Le risque n’est pas clôturé uniquement parce qu’une action a été créée : la réalisation et la vérification des mesures doivent appuyer la décision. ## Résultat attendu Le risque dispose d’un traitement, de responsables et d’un suivi dont la prochaine revue peut vérifier l’avancement. ## Questions fréquentes ### Quelle différence entre un plan de traitement et un plan d’action ? Le traitement explique comment le risque est pris en charge et comment son niveau sera revu. Un [plan d’action](https://docs.cisapp.eu/collaboration/projets) organise les actions et leur réalisation. Reliez les actions au risque pour conserver le contexte de la décision. ### Quand faut-il réévaluer le risque résiduel ? Réévaluez-le lorsque vous disposez d’informations sur la réalisation et l’efficacité des mesures. Appliquez la méthode de votre entreprise et conservez les éléments qui justifient le nouveau niveau. Une échéance passée ne démontre pas qu’une mesure fonctionne. ### Une dérogation remplace-t-elle le plan de traitement ? Non. Une [dérogation](https://docs.cisapp.eu/risques/derogations) encadre un écart temporaire avec justification, conditions et échéance. Le traitement et le suivi des mesures restent nécessaires ; la préparation d’une dérogation exige un accès administrateur d’entreprise. Retrouvez les autres [questions sur les fournisseurs, les risques et la conformité](https://docs.cisapp.eu/aide/questions-frequentes). --- Source: https://docs.cisapp.eu/parcours/comite-risque Markdown: https://docs.cisapp.eu/parcours/comite-risque.md # Préparer un comité risque tiers Rassembler les indicateurs, prioriser les sujets et tracer les décisions. > **Accès :** membre. Selon les modules activés et votre offre. ## Comment préparer un comité des risques fournisseurs ? Pour préparer un comité des risques fournisseurs, rassemblez les tiers critiques, les évaluations récentes, les risques à décider et les actions en cours. Précisez la période, le périmètre et les informations manquantes. Dans CISAPP, partez des indicateurs, puis ouvrez les fiches détaillées pour préparer des décisions traçables. ## Préparation Définissez la période de revue et le périmètre des fournisseurs concernés. Vérifiez que vos registres, criticités et relations avec les activités sont à jour. ## Préparer les éléments 1. Ouvrez **Accueil** et actualisez les indicateurs. 2. Depuis le registre fournisseurs, filtrez les tiers critiques ou à évaluer. 3. Ouvrez les évaluations récentes et identifiez les réponses ou preuves manquantes. 4. Filtrez les risques par criticité et statut. 5. Consultez les dérogations expirant sous 30 jours. 6. Examinez la carte des dépendances et la concentration pour les activités importantes. 7. Préparez les exports disponibles avec leur date et leur périmètre. ![Indicateurs de pilotage pour préparer la revue](https://docs.cisapp.eu/images/fr/dashboard.webp) *Les indicateurs orientent la revue ; les décisions doivent s’appuyer sur les fiches détaillées. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/dashboard.webp)* ## Pendant le comité Pour chaque sujet, vérifiez le contexte, la décision attendue, le responsable et l’échéance. Distinguez les faits établis des données manquantes. Consignez les actions dans les risques, mesures ou plans d’action concernés. ## Après le comité Mettez à jour les décisions et les échéances. Affectez les actions et vérifiez qu’elles sont visibles des personnes concernées. Conservez les documents utiles dans l’espace Fichiers avec les droits appropriés. ## Résultat attendu Chaque décision est rattachée à un sujet et à un suivi. La revue suivante peut vérifier ce qui a changé. Ce parcours utilise les vues actuelles ; il ne nécessite pas de tableau de bord personnalisable. La consultation des dérogations nécessite un accès administrateur d’entreprise. Si vous ne le possédez pas, faites préparer cet élément par une personne autorisée. ## Questions fréquentes ### Quels éléments faut-il présenter au comité ? Présentez les sujets nécessitant une décision, leur contexte, les preuves disponibles et les propositions de suivi. Les indicateurs orientent la revue ; les fiches fournisseurs, les évaluations et les risques permettent d’expliquer chaque situation. ### Peut-on préparer le comité sans tableau de bord personnalisable ? Oui. Ce parcours utilise le [tableau de bord actuel](https://docs.cisapp.eu/pilotage/tableau-bord), les registres et les vues de dépendances. Il ne repose pas sur un éditeur de widgets ni sur une fonctionnalité en construction. ### Comment suivre les décisions après le comité ? Reportez les décisions sur les risques, mesures ou plans d’action concernés avec un responsable et une échéance. Contrôlez les droits des personnes chargées des actions et conservez les documents utiles. La revue suivante doit pouvoir retrouver les décisions et les changements. Retrouvez les autres [questions sur les fournisseurs, les risques et la conformité](https://docs.cisapp.eu/aide/questions-frequentes). --- Source: https://docs.cisapp.eu/aide/depannage Markdown: https://docs.cisapp.eu/aide/depannage.md # Résoudre un problème Vérifier la connexion, les droits, les filtres, les imports et les invitations. > **Accès :** membre. ## Avant de commencer Notez l’action, le message affiché, la date et le module concerné. Vérifiez que vous êtes dans la bonne entreprise et que votre session est toujours active. ## Connexion impossible 1. Vérifiez l’adresse de connexion et l’adresse e-mail utilisée pour l’invitation. 2. Utilisez **Mot de passe oublié** si nécessaire ; ouvrez le lien le plus récent. 3. Contrôlez les courriers indésirables et la date de validité du lien. 4. Si une authentification supplémentaire est demandée, utilisez la méthode configurée pour votre compte. Consultez [Connexion et compte](https://docs.cisapp.eu/demarrer/connexion) pour les états d’activation et d’autorisation. ## Fonction ou objet introuvable | Symptôme | Vérification | |---|---| | Menu absent | Disponibilité dans l’offre, activation du module et rôle du compte. | | Accès refusé | Droit au niveau de l’entreprise, puis accès à la ressource ou à son équipe. | | Liste vide | Recherche, filtres, statut et entreprise courante. | | Bouton désactivé | Champs obligatoires et étapes précédentes. | | Impossible de créer un fournisseur | Quota de l’offre ; un fournisseur inactif peut encore être compté. | | Page « En construction » | Fonction non disponible dans cette version ; voir les alternatives dans [Disponibilité](https://docs.cisapp.eu/aide/disponibilite). | Demandez à un administrateur de vérifier les [droits et partages](https://docs.cisapp.eu/organisation/droits). Une URL directe ne donne pas un droit supplémentaire. ## Questionnaire, import ou invitation - Questionnaire absent du sélecteur : vérifiez sa destination, son type et les droits de consultation. - Réponse non enregistrée : attendez la confirmation de sauvegarde ; distinguez sauvegarde et finalisation. - Import refusé : utilisez le modèle proposé, vérifiez colonnes et valeurs et relisez le compte rendu avant de recommencer. - Invitation expirée ou révoquée : demandez un nouvel envoi depuis la ressource concernée. - Pièce jointe inaccessible : vérifiez le partage et le niveau de diffusion du fichier. ## Préparer une demande d’aide Transmettez le module, l’heure, les étapes reproduisant le problème, le message exact et une capture masquant les informations sensibles. Ne transmettez pas votre mot de passe, un code d’authentification ou un lien privé d’invitation. Le résultat attendu est soit une action qui fonctionne après correction, soit un signalement reproductible auprès de votre administrateur ou de votre interlocuteur CISAPP. --- Source: https://docs.cisapp.eu/aide/disponibilite Markdown: https://docs.cisapp.eu/aide/disponibilite.md # Comprendre la disponibilité des fonctions Distinguer offre, rôles, activation, bêta et écrans en construction. > **Accès :** membre. ## Pourquoi votre écran peut être différent Les menus dépendent de l’offre de votre entreprise, des fonctions activées, de leur état et de vos droits. La documentation décrit le produit vérifié à la date indiquée en haut de chaque article. Les captures utilisent un espace de démonstration avec des données fictives. Votre entreprise peut afficher moins de modules, d’autres noms ou davantage de données. ## Vérifier un accès 1. Vérifiez l’entreprise courante. 2. Demandez à un administrateur de contrôler **Offres**, les quotas et les modules activés. 3. Vérifiez votre rôle et le partage de la ressource. 4. Consultez les badges affichés par l’application : **Bêta** signale une fonctionnalité susceptible d’évoluer. Il n’existe pas de liste universelle d’options garantie pour chaque offre dans ce guide : l’état de votre abonnement et des activations de votre entreprise fait foi. ## Écrans actuellement en construction | Espace | Limite et alternative | |---|---| | Partenaires & autres | Utilisez les registres Fournisseurs, Activités, Applications et Projets. | | Évaluations à traiter | Ouvrez l’évaluation partagée ou le lien reçu dans l’invitation. | | Campagnes | Utilisez les évaluations individuelles ; aucun parcours opérationnel de campagne n’est disponible sur ces écrans. | | NIS2, DORA, AI Act | Les pages dédiées ne constituent pas un suivi opérationnel ; consultez les référentiels réellement proposés dans Conformité. | | Mon exposition, Certifications, Mes clients, Partages | Ces pages ne constituent pas encore un portail de partage de posture. | | Administration : utilisateurs et rôles, sécurité, workflows | Utilisez les pages opérationnelles de Mon entreprise pour les membres, droits et paramètres de sécurité. | ## Tableaux de bord Les tableaux de bord sont personnalisables : modèles, widgets, requêtes et formules. Leur création et leur modification dépendent de vos droits. Voir [Tableaux de bord](https://docs.cisapp.eu/pilotage/tableau-bord) et [Configurer un widget](https://docs.cisapp.eu/pilotage/widgets). ## Résultat attendu Vous pouvez expliquer un écart entre ce guide et votre espace, puis identifier l’administrateur ou le module approprié. Une fonctionnalité masquée n’est pas nécessairement en panne. --- Source: https://docs.cisapp.eu/aide/glossaire Markdown: https://docs.cisapp.eu/aide/glossaire.md # Glossaire Les termes utilisés dans les registres, évaluations et plans de traitement. > **Accès :** membre. | Terme | Définition | |---|---| | Activité | Processus métier supporté par des ressources et des fournisseurs. | | Criticité | Importance d’un sujet pour l’entreprise et impact potentiel de sa défaillance. | | Fournisseur | Tiers suivi dans le registre pour ses prestations et ses dépendances. | | Évaluation | Démarche qui associe un sujet, un périmètre et des questionnaires. | | Questionnaire | Ensemble structuré de questions à renseigner ou à réutiliser dans une évaluation. | | Campagne | Regroupement envisagé d’évaluations ; les écrans dédiés sont en construction dans cette version. | | Référentiel | Ensemble d’exigences servant de base au suivi de conformité. | | Exigence | Attendu auquel une entreprise doit répondre dans son périmètre applicable. | | Mesure | Action ou contrôle permettant de répondre à une exigence ou de traiter un risque. | | Preuve | Document ou information démontrant la réalisation ou l’efficacité d’une mesure. | | Risque initial | Niveau de risque évalué avant prise en compte du traitement prévu. | | Risque résiduel | Niveau restant après prise en compte des mesures de traitement. | | Incident | Événement à qualifier, suivre et clôturer selon ses impacts. | | Crise | Situation nécessitant une coordination et des décisions exceptionnelles. | | Dérogation | Acceptation temporaire d’un écart, assortie de conditions et d’une échéance. | | Dépendance | Relation entre une activité et les fournisseurs ou ressources qui la supportent. | | Concentration | Importance d’une dépendance commune à plusieurs activités ou fournisseurs. | | ASM | Gestion de la surface d’attaque : périmètres, actifs exposés et vulnérabilités. | | Trust Center | Espace de présentation et de partage d’informations de confiance, selon les accès configurés. | | TLP | Niveau de diffusion associé à un fichier ; il complète les droits d’accès. | | Rôle | Autorisation attribuée à un membre ou à un utilisateur d’une ressource. | | Équipe | Groupe de membres auquel des ressources peuvent être partagées. | Consultez [Droits et partage](https://docs.cisapp.eu/organisation/droits) et [Disponibilité](https://docs.cisapp.eu/aide/disponibilite) pour distinguer accès, offre et activation. --- Source: https://docs.cisapp.eu/aide/utiliser-avec-ia Markdown: https://docs.cisapp.eu/aide/utiliser-avec-ia.md # Utiliser la documentation avec une IA Copier un article Markdown ou transmettre les index de documentation à un assistant. > **Accès :** membre. ## Lire ou copier un article Chaque article existe en HTML et en Markdown, générés depuis la même source. 1. Ouvrez l’article utile. 2. Cliquez sur **Copier en Markdown** pour copier le contenu avec des liens et images absolus. 3. Ou cliquez sur **Voir le Markdown** pour ouvrir le fichier texte et l’enregistrer. 4. Transmettez ce texte à votre assistant, accompagné de votre question. Pour un article, ajoutez `.md` à son URL. Pour l’accueil, utilisez `/index.md` ou `/en/index.md`. ## Index et exports | Ressource | Usage | |---|---| | [Index général](https://docs.cisapp.eu/llms.txt) | Choisir la langue et le corpus. | | [Index français](https://docs.cisapp.eu/fr/llms.txt) | Trouver les articles français et leurs descriptions. | | [Documentation française complète](https://docs.cisapp.eu/fr/llms-full.txt) | Importer le corpus français dans un outil. | | [Index anglais](https://docs.cisapp.eu/en/llms.txt) | Trouver les articles anglais. | | [Documentation anglaise complète](https://docs.cisapp.eu/en/llms-full.txt) | Importer le corpus anglais. | | [Documentation complète FR/EN](https://docs.cisapp.eu/llms-full.txt) | Importer les deux langues ensemble. | Un assistant capable de consulter le Web peut utiliser l’index pour choisir les articles pertinents. Si votre outil ne récupère pas les liens, téléchargez le fichier et joignez-le vous-même. Le support de `llms.txt` dépend de l’outil utilisé. ## Exemple de demande > À partir de la documentation CISAPP jointe, explique comment intégrer un fournisseur, puis lancer sa première évaluation. Cite les articles utilisés, précise les droits nécessaires et signale les fonctions indisponibles. Les exports portent sur le fonctionnement du produit. Ils ne contiennent pas les données de votre entreprise et ne donnent aucun accès à votre compte. Vérifiez les propositions de l’assistant dans votre espace, notamment les droits, les quotas et les fonctions en bêta. ## En cas de difficulté Si la copie échoue, ouvrez **Voir le Markdown** et copiez le texte manuellement. Si un assistant ne peut pas lire une URL, joignez le fichier. Pour une réponse imprécise, limitez votre demande à un parcours et demandez des références aux articles. --- Source: https://docs.cisapp.eu/aide/questions-frequentes Markdown: https://docs.cisapp.eu/aide/questions-frequentes.md # Questions fréquentes : fournisseurs, risques et conformité CISAPP aide à organiser les fournisseurs, leurs évaluations, les risques et les informations de conformité. Retrouvez ici des réponses courtes aux questions de gestion des risques tiers, puis les procédures pour les mettre en pratique. Les modules accessibles dépendent de votre offre et de vos droits. ## Comment évaluer la sécurité d’un fournisseur ? Définissez la prestation et les activités concernées, qualifiez l’importance du fournisseur, puis choisissez un questionnaire adapté aux informations à vérifier. Analysez les réponses et les preuves avant de décider des actions de suivi. Dans CISAPP, le parcours associe la fiche fournisseur à une évaluation ; un score seul ne remplace pas cette revue. Suivez [Intégrer un fournisseur](https://docs.cisapp.eu/parcours/integrer-fournisseur), puis [Lancer une évaluation](https://docs.cisapp.eu/parcours/lancer-evaluation). ## Quelle différence entre criticité fournisseur et risque cyber ? La criticité décrit l’importance du fournisseur pour votre activité et les conséquences de sa défaillance. Le risque porte sur un scénario, sa vraisemblance et son impact. Un fournisseur critique mérite une attention particulière, mais sa criticité ne démontre pas à elle seule une faiblesse de sécurité. Consultez [Créer et qualifier un fournisseur](https://docs.cisapp.eu/registres/creer-fournisseur) et le [registre des risques](https://docs.cisapp.eu/risques/registre). ## Quels fournisseurs faut-il évaluer en priorité ? Commencez par les fournisseurs qui soutiennent des activités importantes, présentent des dépendances fortes ou nécessitent une décision prochaine. Vérifiez les évaluations déjà réalisées et les informations manquantes pour éviter les demandes en double. La priorité dépend de votre contexte métier et de votre méthode de risque. Utilisez les [cartes de dépendances](https://docs.cisapp.eu/pilotage/dependances) et le parcours [Préparer un comité risque tiers](https://docs.cisapp.eu/parcours/comite-risque). ## Comment choisir un questionnaire d’évaluation fournisseur ? Choisissez un questionnaire dont la destination et les questions correspondent au sujet évalué. Relisez les sections, les réponses attendues et les preuves utiles avant de le sélectionner. Dans CISAPP, un questionnaire peut être absent du sélecteur en raison de sa finalité ou de vos droits. Consultez la [bibliothèque de questionnaires](https://docs.cisapp.eu/evaluations/questionnaires) et les [types d’évaluation](https://docs.cisapp.eu/evaluations/types). ## Comment répondre à un questionnaire de sécurité reçu ? Ouvrez l’invitation avec le compte associé à l’adresse destinataire, vérifiez le sujet et renseignez les réponses avec leurs preuves. Contrôlez l’enregistrement, puis le statut après soumission lorsque cette action est proposée. Une réponse sauvegardée n’est pas nécessairement une réponse finalisée. Suivez [Répondre à un questionnaire reçu](https://docs.cisapp.eu/parcours/repondre-questionnaire). ## Que faire lorsqu’un répondant ne peut pas ouvrir son évaluation ? Vérifiez l’adresse du compte, son activation, la validité de l’invitation et l’accès à la ressource. Le rôle dans l’entreprise et les droits sur l’évaluation sont deux contrôles distincts. Recréer une évaluation ne corrige pas nécessairement un problème de partage. Consultez [Droits et partage](https://docs.cisapp.eu/organisation/droits) et le [dépannage](https://docs.cisapp.eu/aide/depannage). ## Comment transformer un risque en plan d’action ? Décrivez le scénario, évaluez-le avec votre méthode, puis choisissez un traitement. Associez des mesures à des responsables et à des échéances, vérifiez leur réalisation et réévaluez le risque résiduel. Un plan d’action peut organiser les actions, mais sa création ne prouve pas que le risque est traité. Suivez [Passer d’un risque à un plan de traitement](https://docs.cisapp.eu/parcours/traiter-risque). ## Quelle différence entre risque initial et risque résiduel ? Le risque initial correspond au niveau évalué avant le traitement prévu. Le risque résiduel est le niveau restant après prise en compte des mesures. Sa réévaluation doit s’appuyer sur les mesures effectivement réalisées et les preuves disponibles. Consultez le [plan de traitement](https://docs.cisapp.eu/risques/traitement) et le [glossaire](https://docs.cisapp.eu/aide/glossaire). ## Quels indicateurs préparer pour un comité risque fournisseurs ? Rassemblez les fournisseurs critiques, l’avancement des évaluations, les réponses ou preuves manquantes, les risques à décider et les actions à suivre. Ajoutez les dépendances importantes et, avec un compte autorisé, les dérogations proches de leur échéance. Datez les éléments et indiquez le périmètre couvert. Suivez [Préparer un comité risque tiers](https://docs.cisapp.eu/parcours/comite-risque) et le [guide du tableau de bord](https://docs.cisapp.eu/pilotage/tableau-bord). ## Comment organiser les preuves de conformité ? Reliez les exigences applicables aux mesures et aux preuves qui démontrent leur réalisation. Vérifiez les accès aux documents pour que les personnes chargées de la revue puissent les consulter. Une preuve stockée ne constitue pas, à elle seule, une validation de conformité. Consultez les [exigences, mesures et preuves](https://docs.cisapp.eu/conformite/exigences-mesures) et la [gestion des fichiers](https://docs.cisapp.eu/collaboration/fichiers). ## À quoi sert un Trust Center ? Un Trust Center présente des informations de confiance et permet leur partage selon les accès configurés. Il complète les évaluations et les échanges documentaires ; il ne remplace pas la revue des informations reçues. Sa disponibilité dans CISAPP dépend de l’activation du module et de l’offre. Consultez [Configurer et utiliser le Trust Center](https://docs.cisapp.eu/conformite/trust-center). ## Quelle différence entre une évaluation fournisseur et l’ASM ? Une évaluation collecte et analyse des informations sur un sujet à l’aide de questionnaires et de preuves. L’ASM concerne la surface d’attaque externe : périmètres, actifs exposés et vulnérabilités. Ces approches apportent des informations complémentaires, sans couvrir à elles seules tous les risques. Consultez [Évaluer un fournisseur](https://docs.cisapp.eu/evaluations/fournisseur) et [ASM et surface d’attaque](https://docs.cisapp.eu/securite/perimetres-analyses). ## Peut-on importer un questionnaire depuis Excel ? Oui, lorsque l’import de questionnaires Excel est activé pour votre offre. CISAPP analyse le classeur ; vous devez ensuite relire les feuilles, les sections et les éléments reconnus, corriger les correspondances si nécessaire, puis publier le questionnaire. Contrôlez particulièrement les cellules fusionnées et les en-têtes ambigus. Suivez le [guide des imports Excel](https://docs.cisapp.eu/evaluations/import-excel). ## CISAPP permet-il déjà d’utiliser les écrans NIS2 et DORA ? Les écrans dédiés NIS2 et DORA sont en construction dans la version vérifiée. Leur présence dans un menu ne signifie pas que le parcours est opérationnel. Consultez les fonctions de conformité disponibles et les limites documentées avant d’organiser votre suivi. Consultez [NIS2, DORA et AI Act](https://docs.cisapp.eu/conformite/vue-ensemble) et la [disponibilité des fonctions](https://docs.cisapp.eu/aide/disponibilite). ## Comment consulter cette documentation avec un assistant IA ? Donnez à l’assistant l’article utile en Markdown ou l’index correspondant à votre langue, puis demandez-lui de citer ses sources et de préciser les conditions d’accès. Si l’outil ne sait pas consulter les URL, joignez le fichier téléchargé. La documentation publique ne donne aucun accès aux données de votre compte. Consultez [Utiliser la documentation avec une IA](https://docs.cisapp.eu/aide/utiliser-avec-ia).