# Français Source: https://docs.cisapp.eu/ Bienvenue dans le centre d’aide CISAPP. Retrouvez les [premiers pas](https://docs.cisapp.eu/demarrer/bienvenue), les [parcours pratiques](https://docs.cisapp.eu/parcours/integrer-fournisseur), le [dépannage](https://docs.cisapp.eu/aide/depannage) et les [formats pour les assistants IA](https://docs.cisapp.eu/aide/utiliser-avec-ia). Consultez les [questions fréquentes sur les fournisseurs, les risques et la conformité](https://docs.cisapp.eu/aide/questions-frequentes). --- Source: https://docs.cisapp.eu/demarrer/bienvenue # Bienvenue dans CISAPP Comprendre les principaux espaces et choisir votre premier parcours. > **Accès :** membre. CISAPP relie les fournisseurs, les activités métier, les évaluations, les risques et les preuves de conformité. Vous pouvez partir d’un fournisseur pour comprendre son exposition, ou d’une activité pour identifier vos dépendances. ## Avant de commencer Vous devez disposer d’un compte activé et rattaché à votre entreprise. Les menus visibles dépendent de votre offre et de vos droits. Un menu absent ne signifie pas que vos données ont disparu. ## Votre premier parcours 1. [Connectez-vous](https://docs.cisapp.eu/demarrer/connexion) avec l’adresse utilisée pour votre invitation. 2. Vérifiez le nom de votre entreprise dans l’interface. 3. Découvrez les [menus et la recherche](https://docs.cisapp.eu/demarrer/navigation). 4. Consultez le registre **Fournisseurs**, puis ouvrez une fiche à laquelle vous avez accès. 5. Suivez le parcours [Intégrer un fournisseur](https://docs.cisapp.eu/parcours/integrer-fournisseur) si vous devez en ajouter un, ou [Répondre à un questionnaire](https://docs.cisapp.eu/parcours/repondre-questionnaire) si vous êtes répondant. ![Accueil de CISAPP et indicateurs de pilotage](https://docs.cisapp.eu/images/fr/dashboard.webp) *L’Accueil présente les indicateurs disponibles pour votre organisation. Les données illustrées sont fictives. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/dashboard.webp)* ## Comprendre les objets | Objet | À quoi sert-il ? | |---|---| | Activité métier | Décrire ce que votre organisation doit continuer à faire. | | Fournisseur | Identifier un tiers et centraliser ses informations. | | Évaluation | Examiner un périmètre à l’aide de questionnaires. | | Risque | Formaliser un scénario et suivre son traitement. | | Mesure | Décrire une action de maîtrise et son état d’avancement. | | Preuve | Appuyer une réponse ou une mesure par un document. | ## Si votre espace semble vide Commencez par vérifier vos [droits](https://docs.cisapp.eu/organisation/droits), puis la [disponibilité des fonctions](https://docs.cisapp.eu/aide/disponibilite). Le compte d’un répondant externe n’ouvre pas nécessairement les mêmes espaces que celui d’un administrateur. --- Source: https://docs.cisapp.eu/demarrer/connexion # Se connecter et activer son compte Activer une invitation, utiliser le mot de passe ou le SSO et résoudre un blocage de connexion. > **Accès :** membre. ## Prérequis Utilisez l’adresse exacte à laquelle votre entreprise vous a invité. Pour un premier accès, ouvrez le lien d’activation reçu par email et terminez les étapes affichées : définition du mot de passe, informations personnelles et acceptation des documents proposés. ## Se connecter 1. Ouvrez [l’application CISAPP](https://app.cisapp.eu/login). 2. Saisissez votre adresse email, puis cliquez sur **Continuer**. 3. Utilisez le mode proposé pour votre compte : mot de passe, Google, Microsoft ou authentification de votre entreprise. 4. Si une vérification supplémentaire apparaît, terminez-la avant de quitter l’écran. 5. Vérifiez que vous arrivez dans votre espace CISAPP. ![Première étape de connexion à CISAPP](https://docs.cisapp.eu/images/fr/login.webp) *La première étape identifie votre compte avant de proposer les méthodes de connexion disponibles. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/login.webp)* ## Invitation ou autorisation en attente Un compte peut être activé sans être encore autorisé à rejoindre l’entreprise. Si l’écran indique une autorisation en attente, contactez un administrateur de votre entreprise. Recréer un compte avec une autre adresse ne résout pas cette attente. Si le lien d’invitation a expiré ou a été révoqué, demandez à l’administrateur de le renvoyer depuis **Mon entreprise → Membres**. ## Mot de passe oublié Utilisez la récupération du mot de passe depuis la connexion. Vérifiez les courriers indésirables. Un compte utilisant uniquement le SSO doit suivre le parcours de son fournisseur d’identité. ## Résultat attendu Votre session est ouverte sur la bonne entreprise. Pour régler la langue et l’authentification de votre profil, consultez [Mon profil](https://docs.cisapp.eu/organisation/profil). --- Source: https://docs.cisapp.eu/demarrer/navigation # Se repérer et rechercher Utiliser les menus, la palette de commandes et les filtres des listes. > **Accès :** membre. ## Les principaux espaces | Espace | Usage | |---|---| | Accueil et Pilotage | Lire les indicateurs et explorer les dépendances. | | Registres | Retrouver activités, fournisseurs, projets, applications, risques, incidents et dérogations. | | Évaluations | Lancer une évaluation et gérer les questionnaires. | | Conformité | Suivre les exigences, mesures et éléments de confiance. | | Plans d’action | Organiser les plans d’action et suivre toutes les actions ou **Mes actions**. | | Fichiers | Centraliser et partager les documents. | | Sécurité opérationnelle | Consulter l’exposition et les actifs surveillés. | | Mon entreprise | Gérer le profil de l’entreprise et les accès. | ## Accéder rapidement à une action 1. Cliquez sur **Rechercher**, ou utilisez **⌘ K** sur Mac et **Ctrl K** sur Windows/Linux. 2. Tapez quelques mots correspondant à un écran ou une action. 3. Parcourez les propositions au clavier puis validez avec Entrée. 4. Fermez la palette avec Échap si vous ne souhaitez rien ouvrir. ![Palette de commandes et raccourcis](https://docs.cisapp.eu/images/fr/command-palette.webp) *La palette propose les destinations et actions autorisées pour votre compte. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/command-palette.webp)* ## Rechercher dans un registre La recherche d’une liste est distincte de la palette. Combinez le champ de recherche avec les filtres disponibles : statut, criticité, tags ou responsable selon le registre. Si la liste est vide, retirez les filtres avant de conclure qu’aucune donnée n’existe. ## Bouton ou menu absent Vérifiez d’abord les droits et le périmètre partagé avec vous. Certains modules sont conditionnés par l’offre ou leur activation. Consultez [Disponibilité des fonctions](https://docs.cisapp.eu/aide/disponibilite). --- Source: https://docs.cisapp.eu/registres/fournisseurs # Le registre des fournisseurs Rechercher, filtrer et exporter les fournisseurs de votre entreprise. > **Accès :** membre, création de sous-traitant. Selon les modules activés et votre offre. Le registre centralise les tiers de votre entreprise. Une fiche fournisseur regroupe son identité, sa criticité et les informations accessibles à votre compte. ## Consulter le registre 1. Ouvrez **Registres → Fournisseurs**. 2. Recherchez un nom et appliquez, si nécessaire, les filtres **Statut**, **Niveau de criticité** et **Tags**. 3. Cliquez sur une ligne pour consulter la fiche. 4. Utilisez **Exporter en CSV** pour exploiter la liste dans un autre outil. Vérifiez les filtres et les colonnes souhaitées avant l’export. ![Registre des fournisseurs et filtres](https://docs.cisapp.eu/images/fr/vendors.webp) *Le registre permet de retrouver un tiers avant de consulter son détail. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/vendors.webp)* ## Comprendre la visibilité Vous pouvez voir l’existence d’un fournisseur sans avoir accès à toutes ses informations. Les accès à la fiche et aux objets associés dépendent des droits partagés avec vous ou votre équipe. Les indicateurs en haut du registre résument les fournisseurs visibles et leur engagement dans les évaluations. Un fournisseur jamais évalué n’a pas nécessairement un mauvais niveau de sécurité : il manque une évaluation. ## Ajouter ou retrouver un fournisseur Utilisez **Ajouter un fournisseur** et recherchez d’abord l’entreprise pour éviter les doublons. Consultez [Créer et qualifier un fournisseur](https://docs.cisapp.eu/registres/creer-fournisseur). ## Difficultés courantes - **Aucun résultat** : effacez la recherche et les filtres. - **Fiche inaccessible** : demandez au responsable de partager l’accès. - **Limite atteinte** : consultez le quota indiqué. Un fournisseur rendu inactif reste dans le registre et continue de compter dans le quota de fournisseurs créés. - **Export incomplet** : vérifiez le périmètre visible et les options de l’export. ## Résultat attendu Vous avez retrouvé le bon fournisseur et les informations de sa fiche correspondent au périmètre de travail. --- Source: https://docs.cisapp.eu/registres/creer-fournisseur # Créer et qualifier un fournisseur Identifier une entreprise, renseigner sa criticité et ajouter ses contacts. > **Accès :** création de sous-traitant. Selon les modules activés et votre offre. ## Prérequis et droits Vous devez disposer du droit de création de sous-traitant ou d’un accès administratif approprié, et d’un quota de fournisseurs disponible. Préparez le nom, le site web et un contact du tiers. ## Identifier l’entreprise 1. Ouvrez **Fournisseurs → Créer un fournisseur**. 2. Recherchez par nom, domaine ou numéro d’identification. 3. Sélectionnez l’entreprise correspondante. Si elle n’existe pas, choisissez **Créer manuellement**. 4. Dans le formulaire, vérifiez le **Nom du fournisseur** et le **Site web**, obligatoires. Complétez les coordonnées utiles. 5. Cliquez sur **Suivant** pour passer à sa qualification. Selon la version affichée, ce bouton peut encore être nommé **Créer** ; la création complète intervient à la fin du parcours. ![Informations d’un fournisseur fictif](https://docs.cisapp.eu/images/fr/vendor-info.webp) *Vérifiez l’identité avant de créer la relation fournisseur. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/vendor-info.webp)* ## Qualifier la criticité Choisissez le mode de qualification proposé. En mode manuel, sélectionnez le niveau correspondant à l’impact de ce fournisseur sur votre activité. Le questionnaire de criticité permet une qualification guidée lorsqu’un questionnaire adapté est disponible. ![Choix de la criticité d’un fournisseur](https://docs.cisapp.eu/images/fr/vendor-criticality.webp) *La criticité décrit l’importance métier du fournisseur ; elle est distincte de son score de sécurité. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/vendor-criticality.webp)* ## Ajouter les contacts et les accès Renseignez les contacts utiles : prénom, nom, email et fonction. Vérifiez chaque adresse avant toute invitation. Si une étape de droits est proposée, attribuez uniquement les accès nécessaires aux personnes et équipes concernées. ## Résultat attendu La fiche est accessible depuis le registre. Vous pouvez vérifier ses informations, la rattacher à vos activités et préparer une [évaluation fournisseur](https://docs.cisapp.eu/evaluations/fournisseur). ## Si la création échoue Vérifiez le format du site web, les champs obligatoires et le quota. Si l’entreprise existe déjà, revenez à la recherche plutôt que de créer une variante de son nom. --- Source: https://docs.cisapp.eu/registres/fiche-fournisseur # Exploiter la fiche fournisseur Retrouver les informations, contacts, notes, évaluations et accès d’un fournisseur. > **Accès :** membre. Selon les modules activés et votre offre. ## Ouvrir et vérifier la fiche Depuis **Registres → Fournisseurs**, ouvrez le tiers concerné. Vérifiez son nom et son domaine avant de modifier ses informations. Certaines informations appartiennent à l’entreprise du fournisseur ; leur modification peut dépendre de son statut et des droits de votre compte. ![Fiche d’un fournisseur fictif](https://docs.cisapp.eu/images/fr/vendor-detail.webp) *La fiche rassemble le contexte du tiers et les objets qui lui sont liés. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/vendor-detail.webp)* ## Maintenir les informations utiles - Vérifiez le statut de la relation et la criticité métier. - Complétez les contacts et leur fonction pour identifier le bon répondant. - Utilisez les notes pour conserver le contexte utile à votre organisation. - Consultez les évaluations et les activités associées avant de décider d’une nouvelle action. - Revoyez les accès lors d’un changement de responsable ou d’équipe. ## Documents échangés L’onglet **Documents** rassemble les documents échangés avec le fournisseur : ajoutés à la main, reçus via un questionnaire ou issus d’une certification (la source et le sens **Reçu** / **Envoyé** sont indiqués). - **Ajouter des documents** (ou glisser-déposer les fichiers sur l’onglet) : choisissez une **catégorie** pour chaque document (Contrat, DPA, NDA, Certification, Politique de sécurité, Rapport d’audit, Rapport de pentest, Assurance, PCA / PRA, Preuve de questionnaire, Financier, Autre) ; une catégorie est parfois suggérée d’après le nom du fichier. Pour les catégories concernées (contrat, DPA, NDA, certification…), renseignez **Valable jusqu’au**. - Côté client, **Partager avec le fournisseur** permet au fournisseur de consulter les documents ajoutés. - Une bannière signale les documents **à classer** (**Classer maintenant**) ainsi que les documents expirés ou bientôt à échéance. - Recherchez et filtrez par catégorie ; la liste est limitée aux 1 000 documents les plus récents. - Certains documents sont en **lecture sécurisée** : le téléchargement est alors impossible. ## Données personnelles et sous-traitance Lorsque les options RGPD sont activées, les champs dédiés décrivent le traitement de données personnelles, les rôles du tiers et les informations de sous-traitance. Renseignez-les à partir de votre relation réelle avec le fournisseur. La présence d’un champ rempli ne constitue pas une validation juridique. ## Préparer une réévaluation Ouvrez la précédente évaluation, vérifiez le périmètre et la date, puis lancez une nouvelle évaluation si nécessaire. Consultez le [parcours d’intégration](https://docs.cisapp.eu/parcours/integrer-fournisseur). ## Résultat attendu Un autre membre autorisé peut comprendre qui est le fournisseur, pourquoi il est important et quelles vérifications ont été réalisées. Si un onglet ne se charge pas, vérifiez vos droits sur l’objet associé avant de réessayer. --- Source: https://docs.cisapp.eu/registres/activites # Décrire les activités métier Créer une activité, qualifier sa criticité et associer ses fournisseurs. > **Accès :** création d’activité. Selon les modules activés et votre offre. Une activité métier décrit un processus que votre organisation souhaite suivre, par exemple « Traitement des commandes ». Elle sert à rattacher les fournisseurs à un besoin métier. ## Prérequis Le droit de création d’activité est nécessaire pour ajouter une activité. Préparez sa description, le responsable et les fournisseurs qui la soutiennent. ## Créer une activité 1. Ouvrez **Registres → Activités métier** et cliquez sur **Créer une activité**. 2. Renseignez le nom et les informations de contexte demandées. 3. Qualifiez sa criticité à l’étape dédiée. 4. Sélectionnez les fournisseurs impliqués. Une relation oubliée ne sera pas visible dans la carte de dépendances. 5. Vérifiez les accès proposés, puis terminez la création. ![Création d’une activité métier](https://docs.cisapp.eu/images/fr/activity-create.webp) *L’assistant commence par identifier le processus métier suivi. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/activity-create.webp)* ## Tenir l’activité à jour Ouvrez sa fiche depuis le registre pour revoir les informations et les relations. Lorsqu’un fournisseur change, mettez aussi à jour les activités qu’il soutient. Vous pouvez utiliser une évaluation de **Criticité d’activité** pour qualifier un périmètre avec un questionnaire. ## Résultat attendu L’activité existe dans le registre et ses dépendances peuvent alimenter le [pilotage](https://docs.cisapp.eu/pilotage/dependances). ## À distinguer L’activité métier et l’activité de traitement RGPD répondent à des besoins différents. Pour décrire les données personnelles traitées, utilisez le [registre RGPD](https://docs.cisapp.eu/conformite/rgpd). --- Source: https://docs.cisapp.eu/registres/applications # Applications Recenser les applications de l’organisation, internes ou fournies par un éditeur, et suivre leurs dépôts, relations, données personnelles et évaluations. > **Accès :** membre. Le registre dépend de votre offre. La liste n’affiche que les fiches auxquelles vous avez accès ; un administrateur d’entreprise les voit toutes. L’onglet **Données personnelles** dépend du module RGPD et est en **bêta**. Une application est une solution technique de l’organisation (portail client, API de facturation, outil métier…), développée en interne ou fournie par un éditeur. Les anciens projets internes ont été repris comme applications ; les anciens liens y mènent directement. ## Créer une application 1. Ouvrez **Registres → Applications**, puis **Nouvelle application** (ou le raccourci **+** du menu). 2. **Identité** : nom, type (Application web, Application mobile, API / service, Outil métier, Pipeline de données, Script d’automatisation, Connecteur système, Reporting réglementaire, Autre), provenance (**Interne** ou **Fournisseur**) et **Responsable**. Si la provenance est **Fournisseur**, choisissez l’**Éditeur**. Le nom et le responsable sont obligatoires. 3. **Contexte** (facultatif) : **Projets liés**, cycle de vie (Prévue, En service, Retirée), hébergement (Sur site, Cloud, SaaS, Hybride, Inconnu) et environnements. Nommez chaque environnement ajouté, ou supprimez-le. 4. **Accès** (facultatif) : choisissez qui peut consulter ou modifier la fiche. Vous en restez administrateur. 5. **Récapitulatif**, puis créez la fiche. Depuis la fiche d’un fournisseur, la section **Applications** liste les solutions qu’il édite et propose **Ajouter une application**. ## Lire la fiche | Onglet | Contenu | |---|---| | Vue d’ensemble | Identité, responsable, provenance, cycle de vie, hébergement, environnements, informations techniques. | | Code et DevSecOps | Dépôts GitHub ou GitLab liés, avec les outils activés sur chacun (aujourd’hui : **Dépendances**, l’import des alertes de vulnérabilité des dépendances). | | Relations | Fiches associées et suivi : fournisseurs, projets, risques, actions, évaluations… | | Données personnelles | Déclaration RGPD de l’application (si le module est disponible). | | Accès | Personnes et équipes autorisées, avec les droits Lecture, Modification ou Administration. | **Modifier la fiche** met à jour ses informations, avec le droit de modification. ## Lier des dépôts de code Les dépôts se lient depuis la page du connecteur GitHub ou GitLab, pas depuis la fiche. L’onglet **Code et DevSecOps** propose **Ouvrir les connecteurs** si aucun connecteur de code n’est actif. Voir [GitHub](https://docs.cisapp.eu/organisation/connecteurs/github) et [GitLab](https://docs.cisapp.eu/organisation/connecteurs/gitlab). ## Associer des fiches et des actions Dans **Relations** : 1. **Associer une fiche** : choisissez le type (Application, Fournisseur, Activité métier, Évaluation, Risque, Incident, Dérogation, Traitement RGPD, Action, Plan d’action, Projet), puis la fiche. Pour un fournisseur, précisez son rôle : Associé, Hébergeur, Intégrateur ou Autre prestataire. 2. **Ajouter une action** : action à réaliser, responsable, échéance, dans un plan d’action existant ou un nouveau plan. 3. **Évaluer** lance une évaluation de l’application ; **Réutiliser une évaluation** associe une évaluation existante. Les relations ne donnent aucun droit d’accès : accordez explicitement les accès nécessaires dans **Accès**. Les évaluations conservent leur périmètre et leur date ; les scores fournisseurs ne sont pas reportés sur les applications. ## Déclarer les données personnelles L’onglet **Données personnelles** pose la question « Cette application traite-t-elle des données personnelles ? » (Oui, Non, À qualifier), puis demande les catégories de données, le rôle RGPD, l’hébergement, l’AIPD (Non requise, Requise, En cours, Réalisée) et la durée de conservation. Des constats signalent les incohérences avec le registre des traitements : AIPD manquante, conservation non définie, hébergement non déclaré, aucun traitement lié, déclaration contradictoire ou obsolète. ## Évaluer une application Ouvrez **Évaluations → Évaluations des applications**, ou **Évaluer** depuis la fiche. Voir [Les types d’évaluation](https://docs.cisapp.eu/evaluations/types). ## Résultat attendu L’application est identifiable dans le registre avec son responsable, ses relations et ses accès, et son évaluation peut être lancée. ## Difficultés courantes - Fiche absente de la liste : elle n’est pas partagée avec vous. Demandez l’accès à son administrateur plutôt que de la recréer. - Création bloquée : renseignez le nom et le responsable, et l’éditeur pour une application fournisseur. - Une personne liée par une relation ne voit pas la fiche : les relations ne donnent pas d’accès. - Aucun dépôt affiché : liez le dépôt depuis la page du connecteur. --- Source: https://docs.cisapp.eu/registres/cartographies # Lire les cartographies fournisseurs Explorer la criticité des fournisseurs et les données qu’ils traitent. > **Accès :** membre. Selon les modules activés et votre offre. ## Prérequis Les cartographies utilisent les fournisseurs auxquels vous avez accès. La cartographie fournisseurs et la génération d’un registre de traitements dépendent des fonctions activées dans votre offre. ## Cartographie de criticité 1. Ouvrez la cartographie depuis le registre **Fournisseurs**. 2. Filtrez les niveaux de criticité et le statut. 3. Repérez les fournisseurs dans le radar et leur état d’évaluation. 4. Ouvrez la fiche du fournisseur à investiguer et vérifiez la date et le contexte de sa criticité. La vue représente les données renseignées ; elle ne réalise pas une nouvelle évaluation. ## Cartographie des données 1. Ouvrez la **Cartographie des données** du registre. 2. Filtrez par rôle et catégorie de données. 3. Relisez les catégories, pays, mécanismes de transfert et état de l’accord de traitement des données. 4. Si la fonction est activée, utilisez la génération de registre de traitements, puis relisez la confirmation et le résultat. Un accord manquant ou un champ vide est un point à compléter. La génération facilite la préparation du registre et nécessite une revue métier avant utilisation. ## Résultat attendu et difficultés Vous identifiez les fournisseurs prioritaires et les informations manquantes. Si la carte est vide, retirez les filtres et vérifiez les accès. Si la génération n’est pas proposée, vérifiez l’offre et l’activation avec l’administrateur. Les [cartographies de dépendances](https://docs.cisapp.eu/pilotage/dependances) analysent un autre aspect : le lien entre activités et fournisseurs. La cartographie des données et la génération du registre sont en **bêta** dans la version illustrée. --- Source: https://docs.cisapp.eu/registres/projets # Projets et décision de lancement Créer un projet, désigner le référent sécurité et le décideur, instruire les livrables et formaliser l’avis sécurité puis la décision de lancement. > **Accès :** membre. Le registre dépend de votre offre. Les actions d’instruction sont réservées au **référent sécurité** et au **décideur du lancement** désignés sur le projet, avec le droit de modification de la fiche. Un projet (projet SI, évolution métier, événement, acquisition…) est un dossier dont on suit la sécurité jusqu’à la décision de lancement. À ne pas confondre avec un **plan d’action**, qui regroupe des actions à réaliser : voir [Plans d’action et actions](https://docs.cisapp.eu/collaboration/projets). ## Créer un projet 1. Ouvrez **Registres → Projets**, puis **Nouveau projet** (ou le raccourci **+** du menu). 2. **Identité** : nom, type (Projet SI, Évolution métier, Événement, Acquisition, Autre), porteur, avancement (Prévu, En cours, Livré, Annulé), criticité, date de début, date cible de lancement et description. Les dates peuvent rester **À définir**. 3. **Contexte** (facultatif) : **Référent sécurité** et **Décideur du lancement**, deux personnes distinctes ; livrables requis (Questionnaire sécurité, Analyse de risques, Revue d’architecture, Évaluation fournisseur, Examen RGPD). Un livrable écarté demande une justification. 4. **Accès** (facultatif) : choisissez qui peut consulter ou modifier la fiche. Vous en restez administrateur. 5. **Récapitulatif**, puis créez la fiche. ## Lire la fiche | Onglet | Contenu | |---|---| | Vue d’ensemble | Identité, porteur, dates, étape de sécurité, avis et décision. | | Sécurité | Livrables, prérequis et engagements, historique des décisions. | | Applications | Applications livrées ou modifiées par le projet. | | Risques et actions | Fiches associées : risques, dérogations, actions, évaluations… | | Accès | Personnes et équipes autorisées (Lecture, Modification, Administration). | ## Suivre les étapes de sécurité | Étape | Ce qui est attendu | Action | |---|---|---| | À qualifier | Désigner les intervenants et confirmer les livrables requis. | Le référent sécurité clique **Commencer l’instruction**. | | En instruction | Compléter les éléments examinés, faire revoir les livrables, formaliser l’avis. | Le référent clique **Rendre l’avis sécurité** : Favorable, Favorable avec réserves ou Défavorable. | | À décider | Examiner l’avis, les prérequis et les risques résiduels. | Le décideur clique **Décider du lancement** : Lancement autorisé ou refusé, en cochant « J’accepte explicitement les risques résiduels du périmètre examiné. » | | Suivi | Suivre les engagements restants après lancement. | Le décideur ou le porteur clique **Clôturer le dossier** : bilan et responsable du suivi opérationnel. | | Clôturé | Les risques et actions encore ouverts poursuivent leur suivi. | — | À l’étape **À décider**, ou après un refus, le référent peut **Reprendre l’instruction**. Le décideur ou le porteur peut **Annuler le projet** tant qu’il n’est ni clôturé ni annulé ; l’historique reste consultable. ## Instruire les livrables et les prérequis Dans l’onglet **Sécurité** : - Pour chaque livrable, renseignez les **Éléments examinés et références**, enregistrez, puis **Marquer comme examiné**. - **Ajouter un prérequis** : mesure à réaliser, marquée ou non **Bloquant avant lancement**. Un prérequis bloquant doit être satisfait ou couvert par une dérogation approuvée, active et liée au dossier. - Un engagement restant après lancement doit être lié à une action du dossier, avec responsable et échéance. Après un avis ou une décision, modifier la fiche ouvre une nouvelle révision à instruire. Chaque avis, décision, révision, clôture ou annulation est conservé dans l’historique, avec le périmètre examiné. ## Associer des fiches et évaluer Les onglets **Applications** et **Risques et actions** proposent **Associer une fiche**, **Ajouter une action**, **Évaluer** et **Réutiliser une évaluation**, comme sur une [application](https://docs.cisapp.eu/registres/applications). Les évaluations de projets se retrouvent aussi dans **Évaluations → Évaluations des projets**. Voir [Les types d’évaluation](https://docs.cisapp.eu/evaluations/types). ## Résultat attendu Le projet porte un avis sécurité et une décision de lancement tracés, avec des prérequis satisfaits ou couverts, puis il est clôturé avec un responsable du suivi opérationnel. ## Difficultés courantes - Bouton d’instruction absent : seuls le référent sécurité et le décideur désignés, avec le droit de modification, voient les actions de leur étape. - « Désignez le référent sécurité et le décideur avant l’instruction. » : complétez le **Contexte** et confirmez au moins un livrable requis ; justifiez chaque livrable écarté. - Référent et décideur identiques refusés : choisissez deux personnes distinctes. - « Examinez tous les livrables requis avant de rendre un avis. » : marquez chaque livrable requis comme examiné. - Lancement non autorisable : il faut un avis **Favorable** ou **Favorable avec réserves**, des prérequis bloquants satisfaits ou couverts, et des engagements restants reliés à une action (voir [Instruire les livrables et les prérequis](https://docs.cisapp.eu/registres/projets#instruire-les-livrables-et-les-prerequis)). - Annulation refusée : précisez le motif d’annulation. - « Ce dossier a été modifié pendant votre saisie » : rechargez le dossier ou abandonnez vos modifications avant de poursuivre. --- Source: https://docs.cisapp.eu/evaluations/types # Choisir le bon type d’évaluation Différencier évaluation fournisseur, application, projet, criticité, audit et appel d’offre. > **Accès :** création d’évaluation. Selon les modules activés et votre offre. Une évaluation réunit un périmètre, un ou plusieurs questionnaires et les accès nécessaires pour travailler dessus. ## Quel espace ouvrir ? | Type | À utiliser pour | |---|---| | Évaluations fournisseur | Examiner la conformité ou la posture d’un fournisseur. | | Évaluations des applications | Examiner une application du registre Applications. | | Évaluations des projets | Examiner un projet du registre Projets, par exemple avant sa décision de lancement. | | Criticité d’activité | Qualifier l’importance d’une activité métier. | | Audits de conformité | Évaluer un périmètre interne et un référentiel. | | Appels d’offre | Comparer plusieurs fournisseurs sur un questionnaire commun. | ## Préparer l’évaluation 1. Identifiez le sujet à examiner et le résultat recherché. 2. Vérifiez que le sujet existe dans son registre et que vous y avez accès. 3. Choisissez un questionnaire adapté à la décision attendue. 4. Identifiez les personnes qui devront compléter ou consulter les réponses. 5. Ouvrez le type correspondant depuis **Évaluations**. ![Liste des évaluations fournisseur](https://docs.cisapp.eu/images/fr/evaluations.webp) *Chaque type possède sa liste et son assistant de création. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/evaluations.webp)* ## Droits et disponibilité La création d’évaluations nécessite le droit correspondant. L’appel d’offre est conditionné par l’activation de la comparaison fournisseurs. Le menu **Campagnes** est actuellement en construction ; il ne remplace pas les listes par type ni les liens de réponse reçus par email. ## Résultat attendu Le périmètre et le questionnaire correspondent au type choisi. Consultez [Évaluer un fournisseur](https://docs.cisapp.eu/evaluations/fournisseur), [Audits et projets](https://docs.cisapp.eu/evaluations/audits-projets) ou [Comparer des fournisseurs](https://docs.cisapp.eu/evaluations/comparaison). --- Source: https://docs.cisapp.eu/evaluations/fournisseur # Évaluer un fournisseur Sélectionner le fournisseur, les questionnaires et finaliser les accès. > **Accès :** création d’évaluation. Selon les modules activés et votre offre. ## Prérequis Le fournisseur doit être accessible dans votre registre. Vous devez disposer du droit de création d’évaluation et accéder au questionnaire choisi. ## Créer l’évaluation 1. Ouvrez **Évaluations → Évaluations fournisseur**, puis démarrez une création. 2. À l’étape **Fournisseurs**, sélectionnez le tiers à évaluer. Lorsque vous partez de sa fiche, cette sélection peut être déjà faite. 3. À l’étape **Questionnaires**, choisissez les questionnaires utiles au périmètre. 4. À l’étape **Finalisation**, vérifiez le récapitulatif, le nom et la description. 5. Ouvrez les options de droits si vous devez associer des collaborateurs. Vérifiez le rôle de chaque personne avant de l’inviter. 6. Validez la création. ![Sélection du questionnaire d’évaluation](https://docs.cisapp.eu/images/fr/evaluation-questionnaires.webp) *Le questionnaire doit correspondre à ce que vous souhaitez vérifier chez le fournisseur. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/evaluation-questionnaires.webp)* ![Finalisation d’une évaluation fournisseur](https://docs.cisapp.eu/images/fr/evaluation-finalize.webp) *Le récapitulatif permet de contrôler le périmètre et les accès avant création. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/evaluation-finalize.webp)* ## Récurrence Une cadence de surveillance peut être proposée lorsqu’une évaluation fournisseur est rattachée à une activité. Cette option n’est pas affichée dans tous les parcours. ## Après la création Ouvrez l’évaluation pour retrouver ses questionnaires et leurs réponses. Partagez le bon accès avec le répondant. Un questionnaire joint à une évaluation et une invitation au répondant sont deux éléments à vérifier séparément. ## Si vous êtes bloqué - Fournisseur absent : contrôlez vos droits et les filtres du sélecteur. - Questionnaire absent : vérifiez sa destination et vos droits. - Bouton de validation indisponible : renseignez les champs obligatoires et les étapes précédentes. - Invitation non reçue : vérifiez l’adresse et le statut de l’invitation avant de la renvoyer. ## Résultat attendu L’évaluation figure dans la liste et sa fiche présente le fournisseur et les questionnaires choisis. L’envoi au répondant reste une action à vérifier séparément. --- Source: https://docs.cisapp.eu/evaluations/audits-projets # Audits, applications, projets et criticité d’activité Adapter le périmètre et le questionnaire au sujet évalué. > **Accès :** création d’évaluation. Selon les modules activés et votre offre. ## Choisir le périmètre Ces parcours sont accessibles depuis leurs listes dans **Évaluations**. Le droit de création d’évaluation et l’accès aux sujets et questionnaires concernés sont nécessaires. ### Évaluation d’une application ou d’un projet 1. Ouvrez **Évaluations des applications** ou **Évaluations des projets**, puis démarrez une création. Depuis la fiche d’une application ou d’un projet, **Évaluer** ouvre le même assistant avec le sujet déjà choisi. 2. Sélectionnez l’application ou le projet à examiner (étape masquée si le sujet est déjà choisi). 3. **Informations**, puis **Questionnaires**. 4. **Réviseurs** (facultatif) : désignez les personnes ou équipes qui valideront les questionnaires remplis. Les administrateurs de l’entité peuvent aussi les réviser ; sans réviseur désigné, eux seuls le peuvent. 5. **Collaborateurs** : vérifiez les droits avant de terminer. Le sujet doit exister dans **Registres → Applications** ou **Registres → Projets**. Le détail de l’évaluation rappelle l’**Objet évalué** avec un lien **Voir la fiche**. Voir [Applications](https://docs.cisapp.eu/registres/applications) et [Projets et décision de lancement](https://docs.cisapp.eu/registres/projets). ### Criticité d’activité Ouvrez **Criticité d’activité** et choisissez l’activité métier concernée. Utilisez un questionnaire adapté à la criticité, puis contrôlez les informations et les accès. Cette évaluation qualifie une activité ; elle ne remplace pas une évaluation de sécurité du fournisseur. ### Audit de conformité Ouvrez **Audits de conformité**. Définissez le contexte, choisissez le référentiel proposé et les questionnaires utiles, puis attribuez les accès avant validation. Préparez les preuves à joindre aux réponses. ## Relire les résultats Ouvrez l’évaluation créée depuis sa liste. Vérifiez que les questionnaires, le sujet et les personnes autorisées correspondent au périmètre décidé. Consultez [Lire les résultats](https://docs.cisapp.eu/evaluations/resultats). ## Difficultés courantes Un sujet absent doit être créé ou partagé dans son registre. Un questionnaire destiné à une autre finalité peut ne pas être proposé. Si vous ne pouvez pas créer l’évaluation, vérifiez le droit de création auprès de votre administrateur. --- Source: https://docs.cisapp.eu/evaluations/comparaison # Comparer des fournisseurs Préparer un appel d’offre avec plusieurs tiers et un cadre commun. > **Accès :** création d’évaluation. Selon les modules activés et votre offre. ## Objectif et prérequis Utilisez **Appels d’offre** pour examiner plusieurs fournisseurs dans un même cadre. La comparaison doit être activée pour votre entreprise. Vous devez accéder aux fournisseurs et disposer du droit de création d’évaluation. ## Préparer la comparaison 1. Définissez le besoin métier et les critères de décision avant de solliciter les fournisseurs. 2. Ouvrez **Évaluations → Appels d’offre** et démarrez la création. 3. Sélectionnez les fournisseurs à comparer. 4. Choisissez les questionnaires communs et complétez les informations demandées. 5. Vérifiez les droits puis validez. ## Exploiter la comparaison Ouvrez le détail de l’appel d’offre pour consulter les évaluations. Comparez les réponses sur des périmètres équivalents. Une réponse manquante et une réponse négative doivent être interprétées différemment. Le score doit être rapproché de la criticité métier, des preuves et de la date de l’évaluation. Documentez les points ouverts avant de prendre une décision. ## Résultat attendu Vous disposez d’un cadre commun pour relire les réponses de chaque fournisseur. Si un fournisseur manque, vérifiez vos accès et son existence dans le registre. Si l’espace n’est pas visible, consultez [Disponibilité des fonctions](https://docs.cisapp.eu/aide/disponibilite). --- Source: https://docs.cisapp.eu/evaluations/questionnaires # Gérer les questionnaires Choisir un modèle, créer un questionnaire et organiser ses questions. > **Accès :** membre, création de questionnaire. Selon les modules activés et votre offre. Un questionnaire est une structure de questions réutilisable. Les réponses complétées dans une évaluation appartiennent à un questionnaire de réponse distinct du modèle. ## Trouver un questionnaire Ouvrez **Évaluations → Questionnaires**. Recherchez un titre et consultez le détail pour vérifier le contenu, la finalité et les sections avant de l’utiliser. ![Bibliothèque de questionnaires](https://docs.cisapp.eu/images/fr/questionnaires.webp) *Vérifiez la finalité du questionnaire avant de l’associer à une évaluation. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/questionnaires.webp)* ## Créer un questionnaire 1. Cliquez sur l’action de création. Le droit de création de questionnaire est nécessaire. 2. Renseignez les informations générales et la destination proposée. 3. Créez le questionnaire, puis ouvrez son éditeur. 4. Organisez les sections et ajoutez les questions avec les types de réponse appropriés. 5. Relisez les libellés, les réponses proposées et les champs obligatoires avant utilisation. Le détail et l’éditeur ne remplissent pas le même rôle : utilisez le détail pour consulter et l’éditeur pour modifier la structure. ## Modifier la structure Dans l’éditeur, la colonne centrale affiche l’arbre des sections et des questions, et la colonne de droite les propriétés de l’élément sélectionné. - **Ajouter** : survolez l’espace entre deux questions et cliquez sur **+** pour insérer une question à cet endroit, ou utilisez **Ajouter une question** en bas d’une section. La nouvelle question est sélectionnée et son libellé est prêt à être saisi. - **Supprimer** : la suppression est immédiate, sans confirmation. Un message apparaît pendant quelques secondes avec l’action **Annuler** pour rétablir l’élément (avec ses sous-sections et ses questions pour une section). Passé ce délai, la suppression est définitive. - **Réorganiser** : glissez-déposez une question ou une section dans l’arbre. Les modifications sont enregistrées automatiquement. ## Ajouter une échelle de maturité Le type de question **Échelle de maturité (%)** demande au répondant de situer son niveau sur une échelle que vous définissez. Le pourcentage du niveau choisi devient le score de la réponse. 1. Ajoutez une question de type **Échelle de maturité (%)**. Elle est créée avec le **Préréglage 0 – 100 %** : Non conforme (0 %), Initial (25 %), Défini (50 %), Géré (75 %), Optimisé (100 %). 2. Pour chaque niveau, renseignez le **Niveau (%)**, le **Libellé** et, si besoin, une **Description** de ce que le niveau signifie concrètement. 3. **Ajouter un niveau** ou **Supprimer le niveau** selon votre grille ; **Préréglage 0 – 100 %** rétablit les niveaux par défaut. 4. Cochez ou décochez **Justification obligatoire** (cochée par défaut) : le répondant doit alors expliquer le niveau choisi. 5. Vérifiez le rendu dans l’**Aperçu côté répondant**. Une échelle compte de 2 à 11 niveaux. Chaque niveau est un entier entre 0 et 100, utilisé une seule fois, avec un libellé. ## Raccourcis clavier de l’éditeur Les raccourcis fonctionnent quand aucun champ de saisie n’est actif. Appuyez sur **?** (ou cliquez sur l’icône clavier en haut de la page) pour afficher le récapitulatif dans l’éditeur. | Raccourci | Action | | --- | --- | | **J** ou **↓** | Élément suivant | | **K** ou **↑** | Élément précédent | | **Entrée** ou **E** | Modifier les propriétés de l’élément sélectionné | | **Échap** | Quitter le champ en cours, puis désélectionner | | **C** | Nouvelle question après l’élément sélectionné (ou en fin de section) | | **S** | Nouvelle section | | **Maj + S** | Nouvelle sous-section de la section sélectionnée | | **Suppr** ou **⌫** | Supprimer l’élément sélectionné | | **⌘ Z** / **Ctrl Z** | Annuler la dernière suppression, tant que le message est affiché | | **?** | Afficher les raccourcis | ## Bonnes pratiques Posez une seule question par sujet. Précisez la preuve attendue dans l’énoncé. Pour une comparaison, gardez la même version du questionnaire entre fournisseurs. ## Difficultés courantes - Création indisponible : vérifiez le droit de création de questionnaire. - Questionnaire introuvable dans une évaluation : contrôlez sa destination et son accès. - Question mal comprise : corrigez le libellé du modèle pour les prochaines utilisations et explicitez le contexte aux répondants concernés. ## Résultat attendu Le questionnaire contient les sections et questions prévues et peut être retrouvé dans les sélecteurs compatibles avec sa destination. --- Source: https://docs.cisapp.eu/evaluations/reponses # Compléter et soumettre les réponses Ouvrir le bon questionnaire, compléter les sections et vérifier avant soumission. > **Accès :** répondant, membre. Selon les modules activés et votre offre. ## Accéder aux réponses Ouvrez le lien de l’évaluation ou du questionnaire partagé avec vous. Connectez-vous avec le compte correspondant à l’invitation. L’accès à un modèle dans la bibliothèque ne suffit pas à donner accès aux réponses d’une évaluation. ## Répondre 1. Vérifiez le titre, le fournisseur ou sujet concerné et le périmètre de l’évaluation. 2. Utilisez le sommaire des sections pour avancer dans le questionnaire. 3. Renseignez les réponses et les commentaires utiles. 4. Ajoutez les preuves lorsque la question le permet ou les demande. 5. Vérifiez l’état d’enregistrement affiché avant de quitter la page. 6. Relisez les questions obligatoires, puis utilisez l’action de soumission lorsqu’elle est proposée. ![Questionnaire de réponse dans une évaluation](https://docs.cisapp.eu/images/fr/assessment.webp) *Les sections et la progression permettent de retrouver les questions restant à traiter. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/assessment.webp)* ## Répondre « Non applicable » Lorsque la question l’autorise, cochez **Non applicable** à côté de la réponse et, si besoin, renseignez la **Justification** (facultative). Côté client, la réponse « non applicable » se **valide** (**Valider le non applicable**) ou se **conteste** (**Contester le non applicable**) ; le répondant voit alors l’avis « Le client conteste le caractère non applicable de cette question » et peut corriger. ## Répondre à une échelle de maturité Pour une question **Échelle de maturité**, choisissez un niveau sous « Sélectionnez votre niveau actuel ». Si l’échelle l’exige, renseignez la **Justification** : « Une justification est requise pour ce niveau. » s’affiche tant qu’elle manque. **Non applicable** reste possible si la question l’autorise. Côté client, le réviseur peut **Ajuster le score** : il choisit un autre niveau ou saisit une **Valeur libre (%)**. L’écart reste visible sous la forme « Déclaré X % → validé Y % ». ## Répartir les questions entre collaborateurs Un responsable d’évaluation autorisé peut assigner des sections ou des questions : 1. Dans l’en-tête d’une section ou d’une question, ouvrez l’assignation (**Assigner cette section** / **Assigner cette question**). 2. Choisissez un **Responsable** et des **Contributeurs**, ajoutez un message facultatif. Saisir une adresse email permet d’**inviter** une personne non encore inscrite (sauf si le fournisseur gère ses propres utilisateurs : seuls ses membres sont alors assignables). 3. Une question hérite de l’assignation de sa section ; la modifier crée une assignation propre à la question. 4. Le bouton **Répartition** ouvre la vue d’ensemble : progression par personne (« x / y répondues »), questions sans responsable, réponses à corriger, **Relancer** (une relance par personne et par jour) et **Historique** des assignations et relances. 5. Filtrez les questions avec **Toutes**, **Mes questions** ou **Non assignées**. Les personnes assignées voient une bannière « Vous avez N questions à traiter » et retrouvent leurs questions dans **À traiter**. À la soumission, un avertissement liste les questions assignées encore sans réponse. Les assignations ne sont plus modifiables quand l’évaluation est clôturée. ## Après la soumission Le statut et les actions disponibles peuvent changer. Vérifiez l’état affiché avant de considérer le questionnaire comme transmis. Si vous devez corriger une réponse verrouillée, contactez le responsable de l’évaluation. ## Difficultés courantes - Questionnaire inaccessible : vérifiez l’adresse du compte et l’invitation. - Question obligatoire manquante : parcourez toutes les sections, y compris celles non encore ouvertes. - Preuve absente : contrôlez que le document est accessible aux personnes qui reliront la réponse. - Assignation impossible : il faut le droit d’assigner sur cette évaluation ; trop d’invitations email récentes bloquent aussi l’envoi. - Bouton absent : votre accès peut être en lecture ou le statut peut interdire la modification. Pour un parcours guidé, consultez [Répondre à un questionnaire reçu](https://docs.cisapp.eu/parcours/repondre-questionnaire). ## Résultat attendu Les réponses sont enregistrées dans le bon questionnaire. Le statut affiché indique si une finalisation supplémentaire est nécessaire. ## Répondre pour le fournisseur Lorsque vous gérez l’évaluation côté client, les champs peuvent être désactivés. Si vous devez saisir une réponse pour le tiers, utilisez **Répondre à la place du fournisseur** lorsque cette action est proposée. Distinguez ces réponses des informations confirmées directement par le fournisseur. --- Source: https://docs.cisapp.eu/evaluations/resultats # Lire les résultats d’une évaluation Interpréter la progression, les réponses, les scores et les preuves. > **Accès :** membre. Selon les modules activés et votre offre. ## Ouvrir les résultats Depuis la liste du type concerné, ouvrez l’évaluation. Consultez les questionnaires associés, leur progression et leur statut. Ouvrez un questionnaire pour examiner les réponses et les preuves. ## Faire une lecture utile 1. Vérifiez le périmètre, le sujet et la date de l’évaluation. 2. Contrôlez que les réponses attendues ont été complétées. 3. Examinez les commentaires et les documents qui appuient les réponses. 4. Comparez les scores avec les réponses détaillées : un score synthétique ne remplace pas la lecture des points critiques. 5. Identifiez les points nécessitant une action et rattachez-les au bon suivi : risque, mesure ou plan d’action selon le besoin. ## Exporter ou imprimer Lorsque l’action d’impression est disponible sur le questionnaire de réponse, ouvrez la vue dédiée puis utilisez l’impression du navigateur pour produire un PDF. Vérifiez le contenu et le périmètre avant de le partager. ## Analyse d’écart L’espace **Analyses d’écart** permet d’explorer les évaluations et les écarts exposés par l’interface. Vérifiez le référentiel et les éléments disponibles pour l’évaluation concernée. Ne supposez pas qu’un résultat incomplet signifie une conformité acquise. ## Résultat attendu Vous savez quels éléments sont suffisamment étayés et quels points demandent une action. Pour poursuivre, consultez [Traiter un risque](https://docs.cisapp.eu/parcours/traiter-risque) ou [Plans d’action et actions](https://docs.cisapp.eu/collaboration/projets). --- Source: https://docs.cisapp.eu/evaluations/import-excel # Importer un questionnaire Excel Analyser un classeur, vérifier sa structure et publier le questionnaire. > **Accès :** membre. Selon les modules activés et votre offre. ## Prérequis L’import de questionnaires Excel doit être activé pour votre offre. Préparez un classeur dont les questions et réponses sont identifiables ; gardez une copie du fichier original. ## Importer et vérifier 1. Ouvrez **Évaluations → Questionnaires Excel** et démarrez un import. 2. Sélectionnez le classeur et complétez les informations demandées. 3. Attendez la fin de l’analyse. Le traitement peut continuer pendant que vous consultez une autre page. 4. Ouvrez l’import pour contrôler les feuilles, les sections et les éléments reconnus. 5. Corrigez les rôles des cellules et les correspondances proposées lorsque nécessaire. Relisez les résultats de l’analyse avant publication. 6. Utilisez l’action de publication pour ouvrir le questionnaire dans l’éditeur de réponses. ![Liste des imports de questionnaires Excel](https://docs.cisapp.eu/images/fr/excel-imports.webp) *Le statut de l’import distingue l’analyse du classeur et l’ouverture du questionnaire. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/excel-imports.webp)* ## Contrôle humain L’analyse assistée ne dispense pas de vérifier les questions, les choix et les réponses importées. Les cellules fusionnées, feuilles multiples et en-têtes ambigus demandent une attention particulière. ## Échec ou structure vide Si l’import échoue, consultez le message affiché et utilisez **Réessayer** lorsque proposé. Si aucune structure exploitable n’est trouvée, vérifiez le fichier source avant de relancer. Ne créez pas plusieurs imports identiques pendant qu’un traitement est encore en cours. ## Résultat attendu Le questionnaire publié reflète le classeur relu et peut être complété dans CISAPP. Vérifiez ensuite ses réponses comme pour tout [questionnaire de réponse](https://docs.cisapp.eu/evaluations/reponses). --- Source: https://docs.cisapp.eu/evaluations/espace-fournisseur # Répondre en tant que fournisseur Retrouver les évaluations clients et distinguer le registre clients de Mon exposition. > **Accès :** membre. Selon les modules activés et votre offre. ## Prérequis Votre entreprise doit être connue comme fournisseur d’au moins un client dans CISAPP. Vous devez disposer de l’accès à l’évaluation ou au questionnaire transmis par le client. ## Retrouver les demandes clients 1. Ouvrez les **Évaluations clients** lorsque cette entrée est proposée dans votre menu. 2. Sélectionnez l’évaluation concernée, puis le questionnaire à compléter. 3. Relisez le périmètre demandé avant de répondre. 4. Suivez le parcours [Répondre à un questionnaire](https://docs.cisapp.eu/parcours/repondre-questionnaire) pour la sauvegarde et la finalisation. Le registre **Clients**, lorsqu’il est accessible, liste les entreprises clientes connues et permet d’ouvrir leur fiche et d’exporter la liste en CSV. Il ne crée pas une relation commerciale à lui seul. ## Compte répondant uniquement Un utilisateur invité uniquement pour répondre voit un menu réduit : **Évaluations → À traiter**, Mon exposition et Profil. La page **À traiter** liste ses évaluations (questionnaires, progression, statut Non commencé / En cours / Complété, bouton **Répondre**) et, en tête, **Mes questions à traiter** quand des questions lui sont assignées. Les anciennes adresses du portail (`/portal`) ne sont plus utilisées ; passez par le menu ou le lien reçu par email. ## Résultat attendu La réponse est associée à la demande du bon client. Vérifiez les permissions de chaque client avant d’associer des pièces justificatives. ## Difficultés courantes - Menu absent : l’entreprise peut ne pas être identifiée comme fournisseur, ou vous manquez d’un accès. - Demande absente : utilisez le lien reçu et faites vérifier le partage par l’émetteur. - Ne confondez pas le registre Clients avec **Mon exposition → Mes clients**, qui est actuellement en construction. --- Source: https://docs.cisapp.eu/risques/registre # Identifier et évaluer un risque Créer un scénario, rattacher le périmètre et évaluer son niveau. > **Accès :** membre. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Prérequis Le registre doit être activé pour votre entreprise. Préparez le scénario, les entités concernées et la méthode retenue dans vos paramètres d’organisation. ## Créer un risque 1. Ouvrez **Registres → Risques**, puis **Nouveau risque**. 2. À l’étape **Contexte**, renseignez le titre, la description et la catégorie. 3. À l’étape **Périmètre**, associez les entités concernées proposées : fournisseur, activité, actif ou équipe. 4. Décrivez le scénario, la menace et la vulnérabilité dans les champs proposés. 5. Évaluez la vraisemblance et l’impact selon la méthode de votre entreprise. 6. Complétez le responsable et l’échéance de traitement si connus, puis terminez. ![Contexte d’un nouveau risque](https://docs.cisapp.eu/images/fr/risk-create.webp) *Décrivez un scénario concret avant de lui attribuer un niveau. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/risk-create.webp)* ## Lire le registre Recherchez un titre et combinez les filtres **Statut**, **Criticité** et **Entité**. La **Matrice des risques** représente les niveaux selon la vraisemblance et l’impact. Un niveau inhérent décrit le risque avant prise en compte du traitement ; le niveau résiduel décrit ce qui reste après traitement. ![Registre et indicateurs des risques](https://docs.cisapp.eu/images/fr/risks.webp) *Les filtres permettent de préparer la revue des risques prioritaires. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/risks.webp)* ## Résultat attendu Le risque est présent dans le registre avec un scénario compréhensible. Vérifiez son statut : si la création a réussi mais que l’évaluation a échoué, ouvrez le risque existant pour compléter l’évaluation plutôt que de recréer un doublon. Pour poursuivre, consultez [Suivre le traitement](https://docs.cisapp.eu/risques/traitement). --- Source: https://docs.cisapp.eu/risques/traitement # Suivre le traitement d’un risque Choisir une stratégie, suivre les mesures et revoir le risque résiduel. > **Accès :** membre. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Ouvrir le risque Depuis **Registres → Risques**, ouvrez le risque concerné. Vérifiez son scénario, son périmètre, son responsable et l’évaluation avant de décider du traitement. ## Organiser le traitement 1. Choisissez la stratégie proposée : réduire, accepter, transférer ou éviter le risque. 2. Documentez la décision et l’échéance de traitement. 3. Ajoutez les mesures nécessaires. Une mesure peut être liée à une exigence de conformité ou décrite spécifiquement pour ce risque. 4. Affectez un responsable et une échéance lorsque les champs sont proposés. 5. Faites évoluer le statut des mesures au rythme de leur réalisation : planifiée, en cours, mise en œuvre, vérifiée ou non applicable. 6. Réévaluez le niveau résiduel à partir des mesures effectivement réalisées. ## Comprendre les statuts Le risque peut être brouillon, identifié, évalué, traité, accepté, clôturé ou à revoir. Utilisez les actions disponibles sur sa fiche pour faire évoluer son cycle de vie. Une mesure déclarée mise en œuvre n’est pas nécessairement déjà vérifiée. ## Résultat attendu Une personne autorisée peut retrouver la décision, les actions prévues et les éléments justifiant le niveau résiduel. Le statut doit refléter la situation réelle. ## Points d’attention Ne baissez pas le niveau résiduel uniquement parce qu’une action est planifiée. Vérifiez les preuves de réalisation. Si l’action n’est pas disponible, contrôlez les droits et le statut courant du risque. Voir aussi [Le parcours de traitement](https://docs.cisapp.eu/parcours/traiter-risque) et [Les dérogations](https://docs.cisapp.eu/risques/derogations). --- Source: https://docs.cisapp.eu/risques/incidents # Déclarer et suivre un incident Qualifier l’événement, suivre sa chronologie et gérer la communication. > **Accès :** administrateur d’entreprise. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Prérequis et accès La gestion des incidents est soumise à l’activation du module et aux droits de votre compte. Les opérations de gouvernance sur les incidents sont réservées aux administrateurs de l’entreprise. ## Déclarer un incident 1. Ouvrez **Registres → Incidents**, puis **Déclarer un incident**. 2. Complétez les étapes **Qualification**, **Contexte** et **Communication**. 3. Décrivez les faits observés et choisissez la catégorie et la gravité appropriées. 4. Associez le fournisseur ou les actifs concernés lorsque le parcours le propose. 5. Vérifiez les destinataires et la visibilité avant de terminer. ![Déclaration d’un incident](https://docs.cisapp.eu/images/fr/incident-create.webp) *La qualification précède le contexte et les choix de communication. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/incident-create.webp)* ## Suivre l’incident Le registre distingue **Mes incidents** et **Incidents reçus**. Ouvrez la fiche pour mettre à jour le statut et consulter la **Main courante**. Distinguez la description interne de la description publique, affichée aux clients uniquement si l’incident est propagé. ## Escalade et clôture Lorsqu’une cellule de crise est active, la fiche propose son ouverture. Un incident escaladé en crise ne peut pas être supprimé : utilisez sa clôture et conservez la traçabilité. Voir [Gestion de crise](https://docs.cisapp.eu/risques/crise). ## Résultat attendu Le registre et la main courante reflètent les faits, décisions et communications. Si une autre session a modifié l’incident, relisez la version rafraîchie avant de reprendre vos changements. --- Source: https://docs.cisapp.eu/risques/crise # Préparer et gérer une crise Retrouver le guide de crise, les contacts et les cellules actives. > **Accès :** administrateur d’entreprise. Selon les modules activés et votre offre. ## Accès Le dispositif de crise est réservé aux administrateurs de l’entreprise. Utilisez la palette de commandes pour ouvrir **Gestion de crise** si l’entrée n’est pas directement visible dans le menu. ## Préparer le dispositif 1. Ouvrez l’espace **Crise**. 2. Consultez l’onglet **Guide** pour préparer les étapes de réaction. 3. Vérifiez les **Contacts d’urgence** et leur actualité. 4. Consultez **Cellules actives** pour savoir si un événement est déjà coordonné. ![Guide et dispositif de crise](https://docs.cisapp.eu/images/fr/crisis.webp) *Le dispositif réunit préparation, contacts et cellules actives. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/crisis.webp)* ## Pendant un événement Partez de l’incident concerné et ouvrez la cellule de crise associée lorsqu’elle est active. Utilisez l’espace de travail pour suivre la coordination et consigner les informations proposées. Maintenez le statut de l’incident en cohérence avec la situation. ## Résultat attendu Les participants autorisés trouvent les contacts, le contexte et les éléments de coordination. La fiche incident conserve le lien avec la crise. ## Difficultés courantes Si l’espace ne s’ouvre pas, vérifiez votre rôle d’administrateur. Si une cellule existe déjà, ouvrez-la depuis l’incident plutôt que de traiter l’événement dans un suivi parallèle. Les obligations de communication de votre entreprise restent à déterminer par les personnes compétentes. --- Source: https://docs.cisapp.eu/risques/derogations # Encadrer une dérogation Définir la cible, la justification, le risque accepté et la durée. > **Accès :** administrateur d’entreprise. Selon les modules activés et votre offre. ## Prérequis Les dérogations sont accessibles aux administrateurs de l’entreprise lorsque le module est activé. Préparez la cible concernée, la justification métier et les mesures compensatoires. ## Créer une dérogation 1. Ouvrez **Registres → Dérogations**, puis **Nouvelle dérogation**. 2. Choisissez le type de cible et l’élément concerné. 3. Renseignez le **Titre**, la **Justification métier** et la **Mesure compensatoire**. 4. Définissez les dates de début et de fin, puis la prochaine revue si nécessaire. 5. Liez un risque existant ou décrivez le risque accepté et sa sévérité. Pour une cible de type risque, le lien est repris automatiquement. 6. Vérifiez les informations et cliquez sur **Créer la dérogation**. ![Formulaire de dérogation](https://docs.cisapp.eu/images/fr/exemptions.webp) *La justification, le risque et la durée permettent de relire la décision. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/exemptions.webp)* ## Suivre les échéances Dans le registre, combinez les filtres de statut, de cible et d’échéance. Utilisez **Expire sous 30 jours** pour préparer les revues. Relisez le détail et les actions disponibles pour suivre le cycle de décision. ## Erreurs de dates La fin doit être postérieure au début et respecter la durée maximale indiquée par l’interface. La date de revue doit précéder la fin. Corrigez les champs signalés avant de valider. ## Résultat attendu La décision est tracée avec une cible, une justification et une échéance. Une dérogation ne prouve pas que l’écart a été corrigé : conservez le suivi des mesures et du risque associé. --- Source: https://docs.cisapp.eu/conformite/vue-ensemble # Démarrer le suivi de conformité Créer son espace de conformité et lire la couverture par référentiel. > **Accès :** membre. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Créer votre espace Ouvrez **Conformité → Vue d’ensemble**. Si aucune entité de conformité n’existe, l’écran propose **Créer mon espace de conformité**. Utilisez cette action avec un compte autorisé et suivez le parcours affiché. ![Vue d’ensemble du suivi de conformité](https://docs.cisapp.eu/images/fr/compliance.webp) *Un espace de conformité est nécessaire pour commencer à suivre exigences et mesures. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/compliance.webp)* ## Lire le tableau de bord La vue présente les référentiels associés, la couverture des mesures et les prochaines actions. Utilisez **Reprendre mes tâches** pour revenir au travail à effectuer et **Ajouter un référentiel** pour étendre le périmètre lorsque l’action est disponible. 1. Vérifiez les référentiels inclus dans votre périmètre. 2. Identifiez les mesures attendues qui ne sont pas encore en place. 3. Ouvrez **Exigences & mesures** pour compléter les éléments. 4. Consultez les prochaines actions et répartissez le travail. 5. Relisez la couverture après mise à jour. ## Interpréter la couverture L’indicateur représente l’état déclaré dans CISAPP. Il ne constitue pas, à lui seul, une certification ou une validation réglementaire. Une même mesure peut contribuer à plusieurs référentiels ; évitez de dupliquer son suivi sans vérifier les correspondances proposées. ## Disponibilité des espaces réglementaires Les pages dédiées **NIS2**, **DORA** et **AI Act** sont actuellement en construction. Le suivi d’exigences et de mesures disponible dans l’espace commun reste distinct de ces pages dédiées. Pour la suite, consultez [Exigences et mesures](https://docs.cisapp.eu/conformite/exigences-mesures). ## Résultat attendu La vue d’ensemble reflète les référentiels et le périmètre sélectionnés. Les données manquantes et les actions à poursuivre sont identifiées. --- Source: https://docs.cisapp.eu/conformite/exigences-mesures # Suivre les exigences et les mesures Organiser les référentiels, mettre à jour les mesures et exporter la SoA. > **Accès :** membre. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Prérequis Un espace de conformité doit exister et être accessible à votre compte. Les actions de modification dépendent de vos droits. ## Travailler dans l’espace commun 1. Ouvrez **Conformité → Exigences & mesures**. 2. Sélectionnez le référentiel et le périmètre proposés par l’interface. 3. Utilisez les filtres pour retrouver les exigences ou les mesures à traiter. 4. Ouvrez un élément et vérifiez son applicabilité, son statut et les informations attendues. 5. Complétez le suivi et les preuves proposées, puis enregistrez. 6. Revenez à la vue d’ensemble pour relire la couverture. ![Espace Exigences et mesures](https://docs.cisapp.eu/images/fr/requirements.webp) *L’espace commun rassemble le suivi des exigences et des mesures. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/requirements.webp)* ## Exigence, mesure et preuve Une exigence exprime ce qui est attendu. Une mesure décrit ce qui est mis en place. Une preuve appuie l’état déclaré. Gardez ces trois niveaux cohérents : un document ajouté ne signifie pas automatiquement que la mesure est réalisée. ## Exporter la SoA Utilisez **Exporter la SoA** lorsque disponible. Vérifiez le référentiel, le périmètre et le contenu de l’export avant de le transmettre. Un export est un état à un instant donné. ## Difficultés courantes - Aucun espace : revenez à la [vue d’ensemble](https://docs.cisapp.eu/conformite/vue-ensemble) pour le créer. - Élément absent : vérifiez les filtres et le référentiel sélectionné. - Modification impossible : demandez les droits nécessaires sur le périmètre. - Preuve inaccessible : contrôlez les permissions du fichier, indépendamment de l’accès à l’exigence. ## Résultat attendu L’exigence et les mesures associées possèdent un suivi à jour, avec des preuves accessibles aux relecteurs autorisés. --- Source: https://docs.cisapp.eu/conformite/trust-center # Partager son Trust Center Préparer un instantané de conformité, choisir sa visibilité et révoquer son lien. > **Accès :** membre. Selon les modules activés et votre offre. Le Trust Center présente un instantané de votre démarche de conformité, à télécharger ou publier via un lien public. ## Préparer le partage 1. Ouvrez **Conformité → Trust Center** avec les droits nécessaires. 2. Relisez l’**Aperçu**, la date et les référentiels inclus. 3. Choisissez les options : **Référentiels inclus**, **Masquer le détail des preuves** et **Validité**. 4. Utilisez **Télécharger le PDF** pour obtenir une copie à relire. 5. Si vous souhaitez un accès public, activez **Publier publiquement**, puis utilisez **Copier le lien**. ![Préparation du Trust Center](https://docs.cisapp.eu/images/fr/trust-center.webp) *Les options de publication déterminent ce que votre lecteur peut consulter. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/trust-center.webp)* ## Vérifier et révoquer Ouvrez le lien dans une fenêtre privée pour vérifier ce qui est accessible sans connexion. Pour retirer l’accès public, désactivez sa publication. Si une validité limitée a été choisie, vérifiez l’échéance affichée. ## Ce que lit votre destinataire Il consulte un instantané, pas nécessairement l’état en cours de toutes vos mesures. Vérifiez la date et actualisez le partage lorsque le contenu doit être renouvelé. ## Difficultés courantes Sans espace de conformité, créez d’abord votre espace depuis la [vue d’ensemble](https://docs.cisapp.eu/conformite/vue-ensemble). Si le lien ne fonctionne plus, contrôlez sa publication et sa validité. Avant tout partage, vérifiez le contenu réellement affiché dans l’aperçu. ## Résultat attendu Le portail affiche uniquement les informations et documents que vous avez choisis de rendre accessibles. Le lien public a été relu hors de votre session. --- Source: https://docs.cisapp.eu/conformite/rgpd # Tenir les registres RGPD Créer un registre et décrire les activités de traitement, données et transferts. > **Accès :** membre. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Créer le registre 1. Ouvrez **Conformité → RGPD**. 2. Démarrez la création du registre et choisissez son **Type** et son **Mode**. 3. Renseignez les contacts proposés, notamment le DPO et le contact responsable de traitement lorsque pertinents. 4. Cliquez sur **Créer le registre**. Si un registre de ce type existe déjà, CISAPP peut ouvrir le registre existant plutôt que d’en créer un doublon. ![Registres de traitement RGPD](https://docs.cisapp.eu/images/fr/gdpr.webp) *Le registre regroupe les activités de traitement décrites par votre entreprise. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/gdpr.webp)* ## Ajouter une activité de traitement Depuis le registre, créez une activité. Complétez les informations générales, les informations client lorsqu’elles sont demandées, les données traitées, les destinataires et les transferts. Relisez le détail créé et vérifiez les pièces ou informations justificatives. L’activité de traitement RGPD est distincte de l’activité métier utilisée pour les dépendances fournisseurs. ## Mettre à jour Revenez à la fiche d’une activité lorsque les données, finalités, destinataires ou transferts changent. Utilisez les actions de modification du registre pour maintenir ses contacts et son contexte. ## Résultat attendu Un lecteur autorisé peut comprendre le traitement décrit et ses principaux acteurs. Le registre facilite votre suivi ; la validation des informations revient aux personnes responsables de votre démarche RGPD. Pour un événement affectant les données personnelles, consultez [Violations de données](https://docs.cisapp.eu/conformite/violations). --- Source: https://docs.cisapp.eu/conformite/violations # Évaluer une violation de données Décrire l’événement et utiliser l’assistant d’évaluation de gravité. > **Accès :** membre. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Objectif L’espace des violations permet de conserver les informations d’un événement affectant les données personnelles et d’utiliser un assistant d’évaluation de gravité. ## Utiliser l’assistant 1. Ouvrez les violations depuis l’espace RGPD ou la fiche liée à l’incident. 2. Démarrez l’évaluation de gravité. 3. Complétez **Détails de l’incident** : contexte, entité et faits connus. 4. À **Impact des données**, décrivez les données et les conséquences pertinentes. 5. Complétez les **Facteurs de risque** à partir des informations disponibles. 6. Relisez les **Résultats de l’évaluation** et enregistrez le suivi proposé. ## Relire et compléter Rouvrez la fiche lorsque de nouveaux faits sont connus. Si vous modifiez l’évaluation, contrôlez les résultats après mise à jour. Distinguez les faits confirmés des hypothèses dans vos descriptions. ## Limites de l’assistant Le résultat facilite l’analyse ; il ne décide pas à la place des responsables de votre entreprise. Les décisions de notification et les démarches correspondantes doivent être traitées dans votre processus de gestion de l’événement. Ne supposez pas qu’enregistrer une violation dans CISAPP réalise une notification externe. ## Résultat attendu La fiche conserve un contexte et une évaluation relisibles, cohérents avec l’[incident](https://docs.cisapp.eu/risques/incidents) associé. --- Source: https://docs.cisapp.eu/conformite/documents # Gérer les documents de gouvernance Utiliser le catalogue, préparer les documents attendus et suivre ses documents. > **Accès :** administrateur d’entreprise. Selon les modules activés et votre offre. ## Consulter les documents Ouvrez **Conformité → Documents**. L’espace distingue vos documents, ceux à produire, le catalogue de modèles et les paramètres accessibles selon vos droits. ![Documents et catalogue de gouvernance](https://docs.cisapp.eu/images/fr/governance.webp) *Le catalogue aide à démarrer un document adapté au besoin identifié. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/governance.webp)* ## Créer ou importer 1. Consultez les documents à produire ou le catalogue pour identifier un modèle adapté. 2. Démarrez sa création et complétez les informations proposées. 3. Ouvrez le document créé pour adapter le contenu à votre entreprise. 4. Utilisez l’import si vous disposez déjà d’un document à reprendre dans l’espace. 5. Relisez et enregistrez les informations avant de le partager. ## Paramétrer le périmètre Les paramètres de gouvernance déterminent les éléments proposés à votre entreprise. Leur modification nécessite les droits d’administration appropriés. Vérifiez les effets d’un changement avant de l’appliquer. ## Résultat attendu Les documents de votre entreprise correspondent à son contexte, plutôt qu’à un modèle laissé sans adaptation. Un document de gouvernance et une preuve jointe à une évaluation peuvent être liés dans votre démarche, mais leurs droits et leur suivi restent à vérifier séparément. ## Difficultés courantes Si un modèle n’apparaît pas, vérifiez les filtres, la langue et le périmètre. Si vous ne pouvez pas modifier un document, contrôlez les accès. Pour partager des fichiers, consultez [Fichiers et classement](https://docs.cisapp.eu/collaboration/fichiers). --- Source: https://docs.cisapp.eu/pilotage/tableau-bord # Lire et composer les tableaux de bord Lire l’Accueil, créer un tableau de bord à partir d’un modèle, ajouter des widgets, le partager et organiser le menu Pilotage. > **Accès :** membre pour consulter ; administrateur d’entreprise (ou administrateur d’entité client) pour organiser le menu et choisir l’Accueil. Le module tableaux de bord dépend de votre offre. ## Ouvrir l’Accueil Cliquez sur **Accueil**. L’entreprise choisit le tableau de bord qui s’affiche ici pour tous ses membres. Si aucun Accueil n’est défini, c’est le modèle **Vue d’ensemble** (fournisseurs critiques, risques ouverts, dérogations à échéance, couverture des évaluations) qui s’affiche. Si aucun tableau n’est disponible, la page propose de créer le vôtre ou, pour un administrateur, de choisir l’Accueil de l’entreprise. ![Tableau de bord Vue d’ensemble](https://docs.cisapp.eu/images/fr/dashboard.webp) *Les chiffres doivent être lus avec leur périmètre et les données effectivement renseignées. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/dashboard.webp)* Sur un tableau, les contrôles de **période et d’actualisation** permettent de fixer la période des graphiques, d’actualiser tous les widgets ou de choisir une actualisation automatique. Chaque widget offre aussi, selon son type, **Plein écran**, **Voir en tableau**, **Exporter en CSV** ou **en image (PNG)**, et un lien **Voir le détail** vers le registre concerné. ## Retrouver ses tableaux de bord Le menu **Pilotage** liste les tableaux épinglés par l’entreprise et vos favoris. **Tous les tableaux de bord** ouvre la liste complète, avec quatre onglets : | Onglet | Contenu | |---|---| | Mes tableaux de bord | Ceux que vous avez créés. | | Partagés avec moi | Ceux dont un collègue vous a donné l’accès. | | Organisation | Les tableaux de l’entreprise, visibles de tous les membres. | | Modèles | Tableaux préconstruits par CISAPP, en lecture seule. | Utilisez la recherche pour filtrer, l’étoile pour ajouter ou retirer un favori (les favoris sont triés en premier). ## Créer un tableau de bord 1. Dans la liste, cliquez **Nouveau tableau de bord**. 2. **Point de départ** : choisissez un tableau vierge ou un modèle (Vue d’ensemble, Fournisseurs, Risques, Conformité, Évaluations, Suivi des plans d’action, Suivi de plan d’action, SecOps, RGPD, Comité risque tiers). 3. **Informations** : nom, description et icône. 4. **Accès et partage** : vous en êtes propriétaire ; ajoutez des collègues ou des équipes avec les droits de lecture ou de modification, comme pour les autres éléments. 5. **Récapitulatif**, puis création. Un avertissement s’affiche si certains partages ont échoué : réessayez depuis **Partager**. Un brouillon de création interrompu peut être restauré à la réouverture de l’assistant. ## Ajouter et organiser des widgets Sur un tableau que vous pouvez modifier, cliquez **Personnaliser** (ou **Ajouter un widget** si le tableau est vide). La galerie a deux onglets : - **Prêts à l’emploi** : indicateurs préconfigurés, classés par catégorie (fournisseurs, risques, conformité, incidents, etc.). Utilisez **Rechercher un indicateur…** ou **Tout déplier** / **Tout replier**. Un indicateur absent de votre offre porte un cadenas (« Non inclus dans votre offre »). - **Créer depuis zéro** : choisissez un type de visualisation (chiffre clé, ratio, courbe, barres, anneau, liste, matrice, texte, section, actualités, graphe réseau, cartographie), puis configurez ses données. Glissez un widget sur le tableau, ou cliquez dessus pour l’ajouter. Un tableau compte au plus 40 widgets (« Limite de 40 widgets atteinte »). - **Configurer** ouvre l’éditeur du widget : visualisation, requêtes, formules, filtres, objectif et seuils. Voir [Configurer un widget](https://docs.cisapp.eu/pilotage/widgets). - Déplacez et redimensionnez les widgets à la souris, ou au clavier (flèches ; Maj + flèches pour redimensionner). La disposition ne se modifie que sur un écran d’au moins 1024 px. - **Dupliquer** et **Supprimer** sont disponibles sur chaque widget en mode personnalisation. - **Annuler/Rétablir**, puis **Enregistrer**. Si quelqu’un d’autre a enregistré le tableau pendant votre édition, choisissez **Recharger** ou **Écraser**. Des modifications non enregistrées peuvent être restaurées au retour. - **Il vous manque un indicateur ?** **Demander un widget** envoie votre besoin (titre, besoin, visualisation souhaitée) à l’équipe CISAPP, qui répond par email. Le nombre de demandes est limité par heure. ## Partager, dupliquer, publier Dans le menu d’actions d’un tableau : - **Partager** : donne l’accès à des membres ou équipes (droits de lecture/modification). - **Dupliquer** : crée une copie personnelle. Un modèle ou un tableau en lecture seule se personnalise ainsi (**Dupliquer pour personnaliser**). - **Proposer à l’organisation** : crée une copie en brouillon pour l’entreprise. - **Publier** / **Repasser en brouillon** (administrateur) : un brouillon d’entreprise est invisible des membres, du menu Pilotage et de l’Accueil. - **Définir comme Accueil de l’organisation** (administrateur) : les membres arrivent sur ce tableau. - **Supprimer** : définitif ; réservé au propriétaire. ## Organiser le menu Pilotage (administrateur) Deux accès mènent aux mêmes réglages : - Dans la liste, **Organiser le menu** : glissez des tableaux vers **Épinglés** (20 maximum) et réordonnez-les ; choisissez l’**Accueil**. - **Mon entreprise → Tableaux de bord** : la section **Accueil** choisit le **Tableau de bord d’accueil** ; la section **Menu Pilotage** liste les tableaux épinglés, dans l’ordre, avec **Gérer le menu**. Seuls les tableaux d’organisation publiés peuvent servir d’Accueil ; sans choix, les membres voient **Vue d’ensemble (modèle CISAPP)**. Le tableau d’Accueil est toujours épinglé ; le retirer des épinglés le retire de l’Accueil. Un brouillon d’organisation ne peut pas être épinglé : publiez-le d’abord. Épingler un tableau personnel le **transfère à l’entreprise** (visible de tous, modifiable par les administrateurs, partages personnels retirés) après confirmation. ## Préparer une revue 1. Vérifiez l’heure de mise à jour et la période. 2. Ouvrez les éléments prioritaires depuis les listes et liens **Voir le détail**. 3. Examinez leurs détails avant de décider d’une action. 4. Complétez les données manquantes dans les registres concernés. ## Limites actuelles Les widgets reflètent les données des modules activés. Une valeur vide ou un tiret peut correspondre à une donnée non disponible, pas à un zéro. L’évolution dans le temps d’un chiffre clé ou d’un ratio n’est disponible qu’après activation de **Suivre l’historique**, sans reconstitution du passé (voir [Fixer un objectif et des seuils](https://docs.cisapp.eu/pilotage/widgets#fixer-un-objectif-et-des-seuils)). Voir aussi [Configurer un widget](https://docs.cisapp.eu/pilotage/widgets), [Langage de requête](https://docs.cisapp.eu/pilotage/langage-requete) et [Préparer un comité risque](https://docs.cisapp.eu/parcours/comite-risque). ## Résultat attendu Vous ouvrez l’Accueil, retrouvez ou créez le tableau adapté, et les indicateurs sont relus avec leur périmètre avant d’ouvrir les registres correspondants. --- Source: https://docs.cisapp.eu/pilotage/dependances # Explorer la carte des dépendances Relier les activités aux fournisseurs pour comprendre les impacts d’une défaillance. > **Accès :** membre. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Préparer les données La carte s’appuie sur les activités et leurs relations avec les fournisseurs. Commencez par créer vos activités métier et associer leurs fournisseurs. Sans relations, la carte peut être vide même si le registre contient des tiers. ## Explorer la carte 1. Ouvrez **Pilotage → Carte de dépendances**. 2. Repérez les activités et les sujets qu’elles utilisent. 3. Utilisez les filtres et les options de présentation proposés. 4. Ouvrez les détails accessibles pour examiner les relations importantes. 5. Rapprochez cette lecture de la criticité et des risques identifiés. ![Carte des dépendances entre activités et fournisseurs](https://docs.cisapp.eu/images/fr/dependencies.webp) *Une relation non renseignée dans les registres ne peut pas être déduite de la carte. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/dependencies.webp)* ## Résultat attendu Vous pouvez identifier les activités touchées si un fournisseur devient indisponible et préparer les questions à examiner en revue. ## Carte vide ou incomplète Vérifiez les relations dans les fiches des activités, les filtres et vos droits. Un fournisseur isolé dans la carte peut indiquer un lien manquant ; ce n’est pas une preuve qu’il n’a aucun impact métier. Pour repérer les dépendances partagées, consultez [La concentration](https://docs.cisapp.eu/pilotage/concentration). --- Source: https://docs.cisapp.eu/pilotage/concentration # Lire la concentration des dépendances Repérer les fournisseurs partagés et les activités exposées. > **Accès :** membre. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Objectif La concentration permet d’examiner les dépendances communes entre plusieurs activités. Elle complète la carte sans remplacer la revue des données sources. ## Effectuer la revue 1. Ouvrez **Pilotage → Vue concentration**. 2. Vérifiez le périmètre et les filtres proposés. 3. Repérez les fournisseurs et sujets utilisés par plusieurs activités. 4. Ouvrez les éléments associés pour comprendre leur criticité et les solutions de repli décrites. 5. Identifiez les dépendances à approfondir avec les responsables métier. ![Vue de concentration des dépendances](https://docs.cisapp.eu/images/fr/concentration.webp) *La lecture dépend des relations renseignées dans les activités. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/concentration.webp)* ## Interpréter les résultats Une concentration élevée est un signal à examiner, pas une décision automatique. Vérifiez les alternatives réelles, les contraintes de remplacement et les risques déjà suivis. Une activité sans lien renseigné ne doit pas être considérée comme sans dépendance. ## Résultat attendu Vous disposez d’une liste de dépendances à examiner en comité, avec les activités concernées. Enregistrez les décisions dans vos [risques](https://docs.cisapp.eu/risques/registre) ou vos [projets](https://docs.cisapp.eu/collaboration/projets). Si la vue semble incohérente, commencez par vérifier la [carte de dépendances](https://docs.cisapp.eu/pilotage/dependances) et les fiches des activités. --- Source: https://docs.cisapp.eu/pilotage/actualites # Organiser sa veille GRC La veille rassemble les actualités des sources activées pour votre entreprise. > **Accès :** membre disposant des accès au module ; fonctionnalité en **bêta**, selon l’offre et les activations. ## Consulter les actualités 1. Dans **Accueil**, ouvrez la section des actualités puis son lien vers la liste complète. 2. Filtrez la **Catégorie** ou la **Source** pour isoler les sujets utiles. 3. Ouvrez un article pour consulter sa publication d’origine dans un nouvel onglet. 4. Parcourez les pages suivantes si la liste dépasse une page. ![Liste des actualités GRC](https://docs.cisapp.eu/images/fr/news.webp) *Les filtres réduisent le flux aux sources et catégories utiles. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/news.webp)* ## Gérer les sources Ouvrez **Gérer mes sources**. Le catalogue regroupe les sources par catégorie ; les interrupteurs déterminent celles utilisées pour votre entreprise. Les modifications peuvent donc affecter la veille des autres membres. Pour un flux supplémentaire, utilisez l’ajout de flux personnalisé, renseignez un nom et une URL RSS publique en HTTPS, puis validez. Les adresses privées ne sont pas acceptées ; respectez la limite de flux indiquée par l’interface. Vérifiez les droits nécessaires avant de modifier ou supprimer une source. ## Résultat attendu Les actualités proviennent des sources souhaitées et peuvent être filtrées par sujet. Un article de veille apporte du contexte ; il ne modifie pas automatiquement vos exigences ou votre registre des risques. ## Difficultés courantes Pour une liste vide, retirez les filtres et vérifiez les sources activées. Si un flux est refusé, vérifiez qu’il est public, en HTTPS et au format RSS attendu. L’absence d’article récent peut aussi venir de la source d’origine. --- Source: https://docs.cisapp.eu/pilotage/widgets # Configurer un widget Choisir la visualisation d’un widget, décrire ses données avec des requêtes et des filtres, les combiner par des formules et fixer un objectif. > **Accès :** droit de modification sur le tableau de bord. Un modèle ou un tableau en lecture seule se modifie après **Dupliquer pour personnaliser**. Le module tableaux de bord et certains indicateurs dépendent de votre offre. ## Ouvrir l’éditeur 1. Sur le tableau, cliquez **Personnaliser**. 2. Ajoutez un widget depuis la galerie, ou ouvrez le menu d’un widget existant et choisissez **Configurer**. 3. L’éditeur s’ouvre dans un panneau latéral. **Agrandir l’éditeur** lui donne toute la largeur de l’écran. Le panneau contient le **Titre**, un **Aperçu**, puis les sections **Visualisation**, **Données** et **Affichage**. **Appliquer** reporte les réglages sur le tableau ; pensez ensuite à **Enregistrer** le tableau. L’aperçu se met à jour pendant la saisie. Tant que la configuration est incomplète, il affiche « L’aperçu s’affichera une fois la configuration complète » ou « Aperçu de la dernière configuration valide ». **Épingler l’aperçu** le garde visible pendant que vous faites défiler les réglages. ## Choisir la visualisation | Visualisation | Usage | Données attendues | |---|---|---| | Chiffre clé | Une valeur mise en avant. | Une valeur unique. | | Ratio | Un pourcentage avec une barre ou un anneau de progression. | Une part et un total. | | Courbe | Une évolution dans le temps. | Un regroupement par date ; jusqu’à 12 séries. | | Barres | Une comparaison entre catégories ou périodes. | Un regroupement ; jusqu’à 12 séries. | | Anneau | Une répartition. | Un regroupement par catégorie. | | Liste | Des éléments avec un lien vers leur détail. | Des colonnes (8 maximum). | | Matrice | Une grille qui croise deux dimensions, colorée selon le volume. | Un regroupement et un champ **Séparer par**. | | Graphe réseau | Les liens entre fournisseurs, actifs ou risques. | Une source de type réseau. | | Texte | Des consignes, du contexte, des liens. | Aucune : contenu Markdown (titres, listes, liens, gras). | | Section | Un titre qui sépare le tableau en parties. | Aucune : titre et **Sous-titre** facultatif. | | Actualités | Les dernières actualités cyber. | Aucune : **Sources**, **Catégories** et **Nombre d’articles**. | | Cartographie | Une mini-carte de vos fournisseurs et de leurs dépendances. | Aucune. | Changer de visualisation adapte les requêtes existantes quand c’est possible. Si les données ne conviennent pas au nouveau type, un message l’indique en bas du panneau, par exemple « Ce type de widget demande un regroupement et un champ « Séparer par ». » ## Décrire les données avec des requêtes La section **Données** contient une ou plusieurs requêtes. Chaque requête porte un nom (**a**, **b**…) que la valeur affichée et les formules réutilisent. 1. Dans **Source**, choisissez un indicateur prêt à l’emploi (groupe **Indicateurs**) ou une famille de données (groupe **Données** : fournisseurs, risques, mesures de traitement, incidents, contrôles, preuves, dérogations, évaluations, actifs, vulnérabilités, applications, activités, traitements RGPD, connecteurs, plans d’action, tâches). 2. Ajoutez des filtres (voir plus bas). 3. Pour une courbe, des barres ou un anneau, choisissez **Regrouper par**. Pour une date, choisissez la période : jour, semaine, mois, trimestre ou année. 4. Pour une liste, choisissez les **Colonnes** (8 maximum). 5. Ouvrez **Options avancées** si nécessaire : **Calculer** (Nombre, Valeurs distinctes, Somme, Moyenne, Médiane, Minimum, Maximum, Part), **Sur le champ**, **Séparer par**, **Période** et **Date utilisée**, **Trier par** et **Nombre maximum de lignes** (200 maximum). 6. Le champ **Libellé** renomme la série dans la légende. Le sélecteur **Plans d’action** limite les données aux plans d’action choisis, pour les sources qui s’y rattachent. Sur chaque ligne de requête, vous pouvez **Masquer** ou **Afficher** la requête (elle reste calculée et utilisable par les formules), la **Dupliquer**, la **Supprimer** ou la replier. La bascule **Formulaire / Code** permet d’écrire la requête en texte ; voir [Langage de requête](https://docs.cisapp.eu/pilotage/langage-requete). Le bouton **Requête** ajoute une requête, copiée de la dernière requête de données : il suffit souvent d’en changer un filtre. Un widget compte au plus 6 requêtes. ## Filtrer les données 1. Cliquez **Ajouter un filtre**, choisissez un champ, une condition et une valeur. 2. Pour combiner des conditions, cliquez **Ajouter un groupe** et choisissez le mode : **Toutes** (toutes les conditions), **Au moins une** ou **Aucune**. Conditions disponibles selon le champ : est égal à, est différent de, supérieur, supérieur ou égal, inférieur, inférieur ou égal, contient, est parmi, n’est pas parmi, contient tous, est entre, est vide, est renseigné. Valeurs dynamiques : - **Moi (utilisateur connecté)** et **Mes équipes** : chaque lecteur voit ses propres chiffres. - Dates relatives : Aujourd’hui, Il y a 7, 30 ou 90 jours, Il y a un an, Dans 7 ou 30 jours, Début de la semaine, du mois, du trimestre ou de l’année, ou **Date précise**. Un filtre incomplet n’est pas appliqué ; il est signalé par « Pas encore pris en compte dans l’aperçu : complétez ou supprimez. » Une requête compte au plus 20 conditions et 4 niveaux de groupes. ## Choisir la valeur affichée En tête de la section **Données**, un bloc indique ce que le widget affiche. Il dépend de la visualisation. **Chiffre clé, anneau, matrice, graphe réseau : Valeur affichée.** Saisissez une expression : par défaut `a`, la première requête. Cliquez sur les puces de requêtes pour les insérer, par exemple `a - b`. Le bloc résume « Affiché : … ». **Ratio : Part et total.** Le widget affiche part / total en pourcentage. - **Part** : la requête comptée, avec ses **Filtres de la part** (« Part qui… »). - **Total** : par défaut, la même source sans les filtres de la part (« a sans les filtres de la part »). Vous pouvez aussi choisir une autre requête, une formule ou **Nouvelle source…**. Exemple : part des fournisseurs critiques dont l’évaluation est à jour, sur l’ensemble des fournisseurs critiques. **Courbe, barres, liste : Séries affichées.** Chaque requête visible est une série. **Combiner les séries** remplace les séries par une **Expression combinée** (par défaut `pct(a, b)`). **Afficher les séries séparément** revient aux séries. Une courbe ou des barres affichent au plus 12 séries. ## Combiner par des formules Le bouton **Formule** ajoute une valeur intermédiaire nommée, par exemple `d = max(a, b)`. La valeur affichée et les formules suivantes peuvent la réutiliser. - Opérateurs : `+`, `-`, `*`, `/` et parenthèses. - Le bouton **?** affiche les **Fonctions disponibles**. Pendant la saisie, les suggestions se parcourent avec ↑ ↓ ; **Entrée** ou **Tab** insère, **Échap** ferme. - Une formule ne lit que les requêtes et les formules déclarées avant elle. - Un widget compte au plus 4 formules, de 200 caractères et 8 niveaux d’imbrication maximum. | Fonction | Résultat | |---|---| | `abs(x)` | Valeur absolue. | | `round(x, digits)` | Arrondi, à `digits` décimales (0 par défaut). | | `floor(x)`, `ceil(x)` | Arrondi à l’entier inférieur ou supérieur. | | `sqrt(x)` | Racine carrée (vide si négatif). | | `pow(x, n)` | x à la puissance n. | | `min(…)`, `max(…)` | Plus petite ou plus grande des valeurs. | | `sum(…)`, `avg(…)` | Somme ou moyenne, les vides ignorés. | | `clamp(x, low, high)` | Borne x entre low et high. | | `coalesce(…)` | Première valeur non vide (valeur de repli). | | `pct(part, whole)` | Pourcentage : part / whole × 100. | Exemples : - `pct(a, b)` : part de **a** dans **b**, en pourcentage. - `a - b` : écart entre deux requêtes, par exemple les risques ouverts moins les risques traités. - `coalesce(a, 0)` : affiche 0 plutôt qu’une valeur vide. Les séries sont alignées par période et les répartitions par catégorie. Une division par zéro ou une valeur manquante donne une valeur vide, sauf pour `coalesce`, `min`, `max`, `sum` et `avg`, qui ignorent les vides. Supprimer une requête utilisée par une formule affiche un avertissement : corrigez la formule concernée. ## Fixer un objectif et des seuils Pour un chiffre clé ou un ratio, la section **Affichage** propose **Objectif et seuils** : - **Objectif** (ou **Objectif (%)**) : affiché à côté de la valeur ; une fois atteint, la valeur passe au vert. - **Seuil atteint** et **Seuil d’alerte** : vert au-delà du seuil atteint, orange au-delà du seuil d’alerte, rouge sinon. Si le seuil atteint est inférieur au seuil d’alerte, une valeur basse est meilleure. - **Suivre l’historique** : enregistre la valeur chaque jour. La courbe démarre à l’activation : rien n’est reconstitué. Pour un ratio, **Affichage** permet aussi de choisir **Barre** ou **Anneau**. Une fois l’historique activé, **Afficher l’évolution** dans le menu du widget ajoute une courbe de la valeur enregistrée. Seul son titre se modifie ; la requête se change sur le widget d’origine. ## Résultat attendu Le widget affiche la valeur, le pourcentage ou les séries voulus, l’aperçu correspond au résultat, et le tableau est enregistré. ## Difficultés courantes - **Appliquer** reste grisé : lisez les messages en bas du panneau, par exemple « Ajoutez une requête ou rendez-en une visible. » ou « 6 requêtes maximum. » - « Les sorties n’ont pas la même forme : alignez les regroupements des requêtes. » : les requêtes combinées doivent utiliser le même regroupement. - « La requête a est séparée par un second champ : retirez-le pour l’utiliser dans une formule. » : retirez **Séparer par** de cette requête. - « La requête a renvoie une liste ou un graphe : elle ne peut pas être utilisée dans une formule. » : une liste ou un graphe ne se combine pas. - « Aucune requête ni formule ne s’appelle d » : déclarez la formule **d** avant celle qui l’utilise, ou corrigez le nom. - **Suivre l’historique** absent : l’historique ne s’applique qu’à une seule requête de données, sans formule, et sans les valeurs **Moi** ou **Mes équipes**. - Valeur différente d’un autre widget : la période du tableau de bord peut s’imposer au widget (« Période imposée par le tableau de bord »). Une requête en échec est signalée par « Requêtes en erreur : … ». Voir aussi [Lire et composer les tableaux de bord](https://docs.cisapp.eu/pilotage/tableau-bord) et [Langage de requête](https://docs.cisapp.eu/pilotage/langage-requete). --- Source: https://docs.cisapp.eu/pilotage/langage-requete # Langage de requête des widgets Référence de la syntaxe texte qui décrit les données d’un widget : mesures, conditions, regroupements, période, tri et fonctions. > **Accès :** droit de modification sur le tableau de bord. Voir [Configurer un widget](https://docs.cisapp.eu/pilotage/widgets) pour l’éditeur. ## Écrire une requête en texte 1. Dans l’éditeur du widget, repérez la ligne de requête (**a**, **b**…). 2. Basculez de **Formulaire** à **Code**. 3. Saisissez la requête. L’éditeur propose des **Suggestions** (mesures, données, clauses, champs, valeurs) et signale les erreurs avec leur position. Le texte décrit toute la requête et équivaut au formulaire : vous passez de l’un à l’autre sans perte. La requête est appliquée dès qu’elle est valide. Le sélecteur **Plans d’action** se règle uniquement dans le formulaire. ``` count(ticket) where status IN (TODO, BLOCKED) by priority split assignee ``` ## Structure Une requête commence par `mesure(données)`, suivie de clauses, dans n’importe quel ordre et chacune au plus une fois. | Clause | Sens | Exemple | |---|---|---| | `where …` | Conditions sur les éléments comptés. | `where status != DONE` | | `of …` | Avec `percent` : part des éléments qui vérifient la condition. | `percent(riskMeasure) of status = VERIFIED` | | `by champ` | Regrouper. Pour une date : `by champ:day`, `week`, `month`, `quarter` ou `year`. | `by createdAt:month` | | `split champ` | Séparer par un second champ. | `split assignee` | | `columns a, b` | Avec `list` : colonnes de la liste (8 maximum). | `columns title, owner` | | `during …` | Période : `last7d`, `last30d`, `last90d`, `last12m`, `ytd`, `all`, ou `"2026-01-01" to "2026-03-31"`. | `during last12m` | | `on champ` | Champ de date auquel s’applique la période. | `on dueDate` | | `sort …` | Tri : `value` ou `key` pour un regroupement, un champ pour une liste, puis `asc` ou `desc`. | `sort value desc` | | `limit n` | Nombre maximum de lignes ou de groupes (200 maximum). | `limit 10` | ## Mesures | Mesure | Sens | |---|---| | `count(ticket)` | Nombre d’éléments. | | `sum`, `avg`, `min`, `max`, `median` | Calcul sur un champ numérique : `avg(vendor.criticality)`. | | `distinctCount(ticket.assignee)` | Nombre de valeurs distinctes. | | `percent(ticket)` | Pourcentage, avec la clause `of`. | | `list(ticket)` | Liste d’éléments, avec la clause `columns`. | ## Données | Code | Données | |---|---| | `vendor` | Fournisseurs | | `risk`, `riskMeasure` | Risques, mesures de traitement | | `incident` | Incidents | | `control`, `evidence` | Contrôles, preuves | | `exemption` | Dérogations | | `evaluation` | Évaluations | | `asset`, `finding` | Actifs, vulnérabilités | | `application` | Applications | | `scope` | Activités | | `processingActivity` | Traitements RGPD | | `connector` | Connecteurs | | `project`, `ticket` | Plans d’action, tâches | Les données proposées dépendent des modules de votre offre. ## Conditions Les clauses `where` et `of` contiennent des conditions, combinées par `AND`, `OR`, `NOT` et des parenthèses. `AND` est prioritaire sur `OR`. ``` criticality >= 3 AND status = ACTIVE AND (cf."SSO" = false OR cf."SSO" IS EMPTY) ``` | Opérateur | Sens | Exemple | |---|---|---| | `=` `!=` | Égal, différent. | `status = ACTIVE` | | `>` `>=` `<` `<=` | Comparaison de nombres ou de dates. | `criticality >= 3` | | `~` | Contient (texte). | `name ~ "bank"` | | `IN (…)` `NOT IN (…)` | Parmi, pas parmi. | `status IN (ACTIVE, ONBOARDING)` | | `ALL (…)` | Contient toutes les valeurs (champs à valeurs multiples). | `tags ALL ("critique", "UE")` | | `BETWEEN … AND …` | Entre deux valeurs. | `dueDate BETWEEN 2026-01-01 AND 2026-03-31` | | `IS EMPTY` `IS NOT EMPTY` | Vide, renseigné. | `assignee IS EMPTY` | Les opérateurs disponibles dépendent du type de champ. Une requête compte au plus 20 conditions et 4 niveaux de parenthèses. ## Champs et valeurs - **Champs** : utilisez le nom technique proposé par les suggestions (`status`, `criticality`, `assignee`, `dueDate`…). Un champ personnalisé s’écrit `cf."Nom du champ"`. - **Texte** entre guillemets : `"Implémentation SSO"`. - **Nombres** : `3`, `0.5`. **Booléens** : `true`, `false`. **Dates** : `2026-03-31`. - **Valeurs fixes** (statut, type…) : le code ou le libellé ; les suggestions affichent le libellé. - **Références** (utilisateur, équipe, plan d’action, fournisseur) : le nom entre guillemets, par exemple `project = "Implémentation SSO"`. CISAPP enregistre l’identifiant : le widget continue de fonctionner si l’élément est renommé. ## Fonctions | Fonction | Valeur | |---|---| | `me()` | L’utilisateur qui consulte le tableau de bord. | | `myTeams()` | Ses équipes. | | `now()` | Maintenant ; `now(-30d)` il y a 30 jours (`d` jours, `w` semaines, `m` mois, `y` années). | | `startOf(month)` | Début de la période : `day`, `week`, `month`, `quarter`, `year`. | Avec `me()` ou `myTeams()`, chaque lecteur voit ses propres chiffres. Un tel widget ne peut pas suivre d’historique. ## Exemples ``` count(ticket) where assignee = me() AND status != DONE by priority percent(riskMeasure) where status != PLANNED of dueDate < now() avg(vendor.criticality) by createdAt:month during last12m list(risk) columns title, owner, residualCriticality where open = true sort residualScore desc limit 10 count(ticket) where createdAt >= startOf(month) ``` ## Résultat attendu La requête est acceptée sans message d’erreur, l’aperçu du widget affiche les données attendues, et la bascule **Formulaire** montre les mêmes réglages. ## Difficultés courantes | Message | Cause | |---|---| | Champ « x » inconnu | Faute de frappe, ou champ personnalisé supprimé. | | Guillemet non fermé | Un texte entre guillemets n’est pas terminé. | | Valeur « x » inconnue | La valeur n’existe pas pour ce champ. | | Requête incomplète | La requête s’arrête au milieu d’une clause ou d’une condition. | | Mesure « x » inconnue | La requête doit commencer par une mesure : `count(…)`, `avg(…)`… | | Données « x » inconnues | Le nom entre parenthèses n’est pas une donnée de la liste ci-dessus. | | … demande un champ | `sum`, `avg`, `min`, `max`, `median` et `distinctCount` portent sur un champ : `avg(vendor.criticality)`. | | Le champ « x » n’est pas utilisable dans « by » | Ce champ ne peut pas servir à regrouper, séparer, trier ou afficher en colonne. | | La clause « x » n’est pas disponible | `of` va avec `percent`, `columns` avec `list` ; une liste n’a ni `by` ni `split`. | | La clause « x » apparaît deux fois | Chaque clause ne s’écrit qu’une fois. | | L’opérateur … n’est pas disponible pour le champ … | Choisissez un opérateur adapté au type du champ. | | Trop de conditions / Trop de parenthèses imbriquées | Au plus 20 conditions et 4 niveaux. | --- Source: https://docs.cisapp.eu/securite/exposition # Comprendre son exposition Distinguer le tableau de bord de sécurité, les périmètres, les actifs et les vulnérabilités. > **Accès :** membre, création d’outil. Selon les modules activés et votre offre. ## Les espaces disponibles Ouvrez **Sécurité opérationnelle** pour consulter le tableau de bord. Les fonctions avancées de périmètres, actifs et vulnérabilités nécessitent l’activation correspondante et le rôle de création d’outil. ![Tableau de bord de sécurité opérationnelle](https://docs.cisapp.eu/images/fr/asm.webp) *Le tableau de bord distingue les types de périmètres et le suivi des actifs exposés. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/asm.webp)* | Élément | Rôle | |---|---| | Périmètre | Définir les domaines, FQDN ou adresses à surveiller. | | Actif | Représenter un élément découvert ou déclaré dans le périmètre. | | Analyse | Exécuter une découverte ou un contrôle proposé. | | Vulnérabilité | Consigner une exposition ou un problème détecté. | ## Lire la synthèse Vérifiez le périmètre couvert et la date des dernières analyses. Un score partiel ou l’absence de vulnérabilités doit être rapproché des analyses réellement exécutées. Une page vide avant toute analyse ne signifie pas qu’aucun problème n’existe. ## Mon exposition Les écrans **Mon exposition**, **Certifications**, **Mes clients** et **Partages** de cet espace sont actuellement en construction. Ils ne doivent pas être utilisés comme un portail opérationnel de partage de posture dans cette version. ## Résultat attendu Vous savez quelles données alimentent la synthèse et quelles vérifications restent à réaliser. Pour configurer la surveillance, consultez [Périmètres et analyses](https://docs.cisapp.eu/securite/perimetres-analyses). --- Source: https://docs.cisapp.eu/securite/perimetres-analyses # Configurer les périmètres et analyses Déclarer un périmètre, vérifier sa propriété et suivre les actifs découverts. > **Accès :** création d’outil. Selon les modules activés et votre offre. ## Prérequis Les fonctions avancées doivent être incluses et activées. Le rôle de création d’outil est nécessaire. Préparez un périmètre que votre entreprise est autorisée à surveiller. ## Ajouter un périmètre 1. Ouvrez **Sécurité opérationnelle → Périmètres**, puis **Nouveau périmètre**. 2. Choisissez le type proposé : domaine, plage CIDR ou liste de FQDN. 3. Saisissez les informations demandées et vérifiez le périmètre avant validation. 4. Suivez la procédure de vérification de propriété affichée. Les plages CIDR nécessitent une vérification manuelle. 5. Ouvrez le détail du périmètre et lancez l’analyse proposée lorsque les vérifications nécessaires sont terminées. ![Gestion des périmètres de surveillance](https://docs.cisapp.eu/images/fr/asm-surface.webp) *La vérification précède les contrôles actifs qui la nécessitent. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/asm-surface.webp)* ## Lire les actifs et les vulnérabilités Consultez **Actifs** pour les éléments découverts, puis **Vulnérabilités** pour les problèmes détectés. Filtrez par sévérité, catégorie et statut. Ouvrez un résultat pour examiner les informations et recommandations proposées. La découverte du périmètre et les analyses d’outils sur les actifs ont des calendriers distincts. Vérifiez la date de la dernière exécution pertinente avant d’interpréter un résultat. ## Limites et arrêt Si la limite d’actifs est atteinte, certains nouveaux actifs ne peuvent pas être enregistrés. Consultez le message de quota. Arrêter ou supprimer la surveillance d’un périmètre ne signifie pas que tous les actifs et résultats historiques sont effacés. ## Résultat attendu Le périmètre déclaré correspond au besoin, les vérifications sont suivies et les résultats sont relus. Aucun scan n’est nécessaire pour consulter cette documentation. --- Source: https://docs.cisapp.eu/collaboration/projets # Organiser les plans d’action et les actions Créer un plan d’action, répartir les actions et suivre leur avancement. > **Accès :** membre. Fonctionnalité en **bêta**, selon les modules activés et votre offre. Le menu **Projets** s’appelle désormais **Plans d’action**, et les tickets des **actions**. Les **projets** du menu Registres sont d’une autre nature : voir [À distinguer](https://docs.cisapp.eu/collaboration/projets#a-distinguer). ## Créer un plan d’action 1. Ouvrez **Plans d’action → Tous les plans**, puis **Nouveau plan d’action** (ou le raccourci **Créer un plan d’action**). 2. Renseignez le titre et la description du travail à organiser. 3. Choisissez le statut proposé et vérifiez les accès. 4. Terminez la création et ouvrez le plan d’action. 5. Ajoutez des actions pour décomposer le travail en tâches concrètes. ![Plan d’action et actions de démonstration](https://docs.cisapp.eu/images/fr/projects.webp) *Un plan d’action rassemble les actions à réaliser. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/projects.webp)* ## Suivre les actions Renseignez les informations proposées : titre, description, priorité, responsable et échéance. Faites évoluer les actions entre **À faire**, **En cours**, **Bloquées** et **Terminées**. Dans la vue Kanban, le déplacement d’une carte met à jour son statut ; vérifiez la confirmation si une erreur est affichée. Utilisez **Toutes les actions** pour une lecture transversale (vues **Kanban** ou **Liste**, filtres **Assigné** et **Priorité**, bouton **Ajouter une action**) et **Mes actions** pour celles qui vous sont assignées. Les relations entre actions permettent de représenter les blocages lorsque proposées. Une action peut aussi être créée depuis la fiche d’une application ou d’un projet, avec **Ajouter une action** : elle est rangée dans un plan d’action existant ou nouveau, puis associée à la fiche. ## Collaborer Ouvrez une action pour consulter ou compléter ses commentaires, pièces jointes et relations. Contrôlez les droits du plan d’action avant d’y placer des informations à partager. ## Résultat attendu Chaque action utile possède un responsable et un état compréhensible. Le statut du plan d’action et celui de ses actions représentent des niveaux différents. ## À distinguer Un **projet** du menu **Registres → Projets** est un dossier dont on suit la sécurité jusqu’à la décision de lancement : voir [Projets et décision de lancement](https://docs.cisapp.eu/registres/projets). Une **application** est une solution technique évaluée : voir [Applications](https://docs.cisapp.eu/registres/applications). --- Source: https://docs.cisapp.eu/collaboration/fichiers # Classer et partager les fichiers Créer des dossiers, importer des documents et contrôler leur accès et leur classification. > **Accès :** membre. Selon les modules activés et votre offre. ## Ajouter des documents 1. Ouvrez **Fichiers**. 2. Créez un dossier avec **Créer un dossier** ou ouvrez un dossier existant. 3. Déposez les fichiers dans l’espace prévu ou utilisez l’action d’import proposée. 4. Attendez la confirmation du transfert et vérifiez les fichiers affichés. 5. Ouvrez un fichier pour contrôler son contenu avant de le réutiliser comme preuve. ![Explorateur de fichiers](https://docs.cisapp.eu/images/fr/files.webp) *Les vues cartes, liste et arborescence permettent de retrouver les documents. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/files.webp)* ## Organiser et classifier Utilisez les actions du fichier ou du dossier pour renommer, compléter la description et gérer les tags. Vérifiez la classification **TLP**. Lors de la modification d’un dossier, l’option d’application aux fichiers et sous-dossiers étend le changement aux éléments contenus : relisez le périmètre avant de valider. ## Partager Vérifiez les permissions proposées pour les personnes et équipes. L’accès à une évaluation ne garantit pas automatiquement l’accès à tous les fichiers que vous mentionnez. Testez la visibilité avec le destinataire concerné. ## Quotas et suppression Le stockage utilisé et disponible est affiché dans l’explorateur. Si un import échoue, vérifiez le quota et le message de transfert. La suppression d’un ou plusieurs éléments demande confirmation et est irréversible. ## Résultat attendu Le bon document est classé, identifiable et accessible aux personnes prévues. Pour l’interroger avec le chat CISAPP, consultez [Chat IA et documents](https://docs.cisapp.eu/collaboration/chat). --- Source: https://docs.cisapp.eu/collaboration/signatures # Préparer une demande de signature Importer un PDF, ajouter les destinataires et suivre la demande. > **Accès :** membre. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Préparer le document Ouvrez **Signatures électroniques** depuis la palette de commandes. Vérifiez que vous utilisez le PDF définitif à envoyer et que vous disposez des accès nécessaires. ## Créer la demande 1. Démarrez une création de signature. 2. Déposez le fichier PDF dans la zone prévue. 3. Attendez la confirmation du transfert. 4. Renseignez le **Titre du document**, puis cliquez sur **Créer une signature**. 5. Ouvrez la demande créée et relisez l’aperçu du document. ![Création d’une demande de signature](https://docs.cisapp.eu/images/fr/signature.webp) *Le formulaire commence par le PDF et le titre du document. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/signature.webp)* ## Ajouter les destinataires Utilisez **Ajouter un destinataire** et renseignez son nom et son email. Contrôlez les adresses avant de cliquer sur **Envoyer pour signature**. L’envoi est une action distincte de la création de la demande. ## Suivre la demande Rouvrez la fiche pour consulter les destinataires, le statut et les dates de création et de complétion. Un document créé mais non envoyé n’a pas encore été soumis aux destinataires. ## Difficultés courantes Si le transfert échoue, vérifiez que le fichier est un PDF et respecte la limite affichée. Si l’envoi est impossible, contrôlez la présence des destinataires et les champs obligatoires. ## Résultat attendu La demande contient le bon PDF et les bons destinataires ; son état reflète la progression affichée par CISAPP. --- Source: https://docs.cisapp.eu/collaboration/chat # Interroger ses documents avec le chat IA Choisir l’entreprise et interroger les documents accessibles à votre compte. > **Accès :** membre. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Prérequis Le **Chat IA** doit être inclus dans votre offre. Votre compte doit accéder à des documents de l’entreprise sélectionnée. Sans document accessible, ajoutez des fichiers ou demandez un partage avant de créer la conversation. ## Démarrer une conversation 1. Ouvrez **Chat IA**. 2. Utilisez **Nouvelle conversation**. 3. Choisissez l’entreprise dont vous souhaitez interroger les documents. 4. Ajoutez une description si utile et créez la conversation. 5. Posez une question précise sur les documents disponibles. ![Espace de conversation IA](https://docs.cisapp.eu/images/fr/chat.webp) *L’accès aux documents conditionne la création et l’utilité de la conversation. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/chat.webp)* ## Bien formuler la question Précisez le document ou le sujet, le contexte et le résultat attendu. Par exemple : « Dans notre politique d’accès, quelles étapes concernent la revue des comptes externes ? » Relisez les éléments cités avant de réutiliser la réponse. ## Ce que le chat consulte Le chat répond à partir des documents de l’entreprise sélectionnée. Il ne consulte pas les données en direct des registres fournisseurs, risques ou incidents. Pour un état actuel, ouvrez les registres correspondants. ## Résultat attendu Vous obtenez une aide à la lecture de vos documents. Vérifiez les informations importantes dans leur source. Ce chat du produit est distinct de l’[accès à la documentation en Markdown](https://docs.cisapp.eu/aide/utiliser-avec-ia), qui ne nécessite aucun service IA CISAPP. --- Source: https://docs.cisapp.eu/organisation/entreprise # Configurer son entreprise Vérifier le profil, les domaines et les paramètres fonctionnels de l’entreprise. > **Accès :** administrateur d’entreprise. Selon les modules activés et votre offre. ## Ouvrir le bon espace Cliquez sur **Mon entreprise** et vérifiez le nom de l’organisation. Les onglets de gestion accessibles dépendent de votre rôle. Utilisez un compte administrateur pour les paramètres de l’entreprise. ## Maintenir le profil Ouvrez **Profil** pour vérifier les informations d’identité et les coordonnées proposées. Enregistrez les changements et contrôlez leur affichage avant de poursuivre. ## Domaines et paramètres - **Domaines** : ajoutez et vérifiez les domaines suivant les actions proposées. Ne confondez pas le domaine de l’entreprise avec un périmètre d’analyse ASM. - **Questionnaires et risques** : choisissez les questionnaires de criticité fournisseur et activité. Seuls les questionnaires de la finalité appropriée sont proposés. - **Méthodologie du registre des risques** : choisissez EBIOS RM ou ISO 27005. Ce choix sert aux nouveaux risques ; les risques existants conservent leur méthode de création. - **Divers** : gérez notamment le registre public des fournisseurs lorsqu’il est disponible. ## Publier le registre public Dans **Divers**, l’activation du registre public fournit un lien de consultation. Seuls les fournisseurs marqués publics y figurent. Relisez le résultat dans une fenêtre privée avant de communiquer le lien. Ce registre est distinct du Trust Center. ## Résultat attendu Le profil et les paramètres correspondent à votre entreprise. Pour organiser les accès, consultez [Membres et équipes](https://docs.cisapp.eu/organisation/membres-equipes). Le registre public des fournisseurs est en **bêta** dans la version illustrée. --- Source: https://docs.cisapp.eu/organisation/membres-equipes # Inviter des membres et organiser les équipes Suivre les invitations, autoriser les comptes et structurer les équipes. > **Accès :** administrateur d’entreprise. Selon les modules activés et votre offre. ## Inviter un membre 1. Ouvrez **Mon entreprise → Membres** avec les droits d’invitation nécessaires. 2. Cliquez sur **Inviter** et renseignez l’adresse de la personne. 3. Vérifiez les informations et les accès proposés avant de valider. 4. Suivez le statut du membre dans la liste. ![Membres et suivi des invitations](https://docs.cisapp.eu/images/fr/members.webp) *Le statut distingue l’activation du compte et son autorisation. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/members.webp)* ## Comprendre les états Un membre peut être non invité, en attente d’activation, en attente d’autorisation ou actif. Les actions disponibles dépendent de l’état : **Envoyer l’invitation**, **Renvoyer l’invitation**, **Révoquer l’invitation** et **Autoriser**. Révoquer une invitation rend le lien déjà envoyé inutilisable. Avant de renvoyer une invitation, vérifiez l’adresse et les courriers indésirables avec le destinataire. ## Organiser les équipes 1. Ouvrez **Équipes**, puis **Ajouter une équipe**. 2. Définissez son nom, ses membres, ses propriétaires et les rôles proposés. 3. Utilisez les équipes pour attribuer des accès collectifs aux ressources. 4. Revoyez les membres lors des changements d’affectation. L’équipe peut donner des droits sur les objets qui lui sont partagés ; elle ne rend pas automatiquement toutes les ressources visibles. ## Import et retrait L’import de membres est proposé dans la liste : utilisez le format demandé par l’interface et relisez les résultats. Avant de supprimer un membre, vérifiez les accès et responsabilités qui doivent être transférés. ## Résultat attendu Chaque personne dispose d’un compte au bon statut et appartient aux équipes nécessaires. Pour le détail des rôles, consultez [Droits et partage](https://docs.cisapp.eu/organisation/droits). ## Examiner les demandes d’accès fournisseur Dans **Mon entreprise → Demandes d’accès fournisseur**, les personnes autorisées peuvent ouvrir la fiche concernée, lire le demandeur et son message, puis **Approuver** ou **Refuser** une demande en attente. Vérifiez le périmètre avant d’accorder l’accès. Cette décision est distincte de l’invitation d’un membre. --- Source: https://docs.cisapp.eu/organisation/droits # Comprendre les droits et le partage Distinguer les rôles de création, les accès aux objets et les droits d’administration. > **Accès :** membre. Selon les modules activés et votre offre. ## Deux niveaux à vérifier Les **rôles** autorisent des actions dans l’entreprise. Les **droits sur les objets** permettent de lire, modifier ou administrer une ressource précise. Disposer d’un rôle de création ne donne pas automatiquement accès à toutes les ressources existantes. | Rôle utilisateur | Capacité principale | |---|---| | Utilisateur | Consulter les ressources partagées. | | Admin de l’entreprise | Administrer l’organisation et ses membres. | | Création de sous-traitant | Créer et gérer des fournisseurs selon les accès accordés. | | Création d’évaluation | Créer et gérer des évaluations. | | Création de questionnaire | Créer et gérer des questionnaires. | | Création d’activité | Créer et gérer des activités. | | Création d’outil | Accéder aux opérations d’outillage et de sécurité correspondantes. | | Utilisateur portail | Répondre aux questionnaires assignés. | ## Vérifier les permissions 1. Ouvrez **Mon entreprise → Droits & Rôles**. 2. Relisez les permissions d’invitation et les rôles proposés. 3. Vérifiez les droits de la personne et de ses équipes. 4. Ouvrez le partage de la ressource concernée pour vérifier son accès spécifique. ![Paramètres de droits et rôles](https://docs.cisapp.eu/images/fr/permissions.webp) *Les permissions d’organisation et les accès aux ressources sont complémentaires. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/permissions.webp)* ## Partager une ressource Dans l’action de partage ou l’étape de droits, choisissez la personne ou l’équipe puis le niveau nécessaire : lecture, écriture ou administration selon l’objet. Vérifiez la portée d’une invitation externe avant de la valider. ## En cas d’accès refusé Vérifiez successivement l’entreprise, le rôle, l’accès à l’objet et l’activation du module. La facturation, les connecteurs, les incidents et les fonctions ASM peuvent avoir des droits spécifiques. Demandez l’accès adapté plutôt que de partager un compte. ## Résultat attendu Les membres disposent du rôle nécessaire et les ressources sont partagées avec les personnes ou équipes attendues. --- Source: https://docs.cisapp.eu/organisation/profil # Régler son profil et ses notifications Choisir sa langue, son apparence et ses préférences personnelles. > **Accès :** membre. ## Accéder au profil Ouvrez votre menu utilisateur puis **Mon profil**. Les paramètres personnels concernent votre compte ; ils ne remplacent pas les réglages de l’entreprise. ## Langue et apparence Dans **Paramètres**, choisissez une langue parmi celles proposées et le thème clair, sombre ou système. Le changement de langue de l’application est indépendant de celui de ce site de documentation. ![Paramètres personnels de langue et d’apparence](https://docs.cisapp.eu/images/fr/profile.webp) *Les préférences personnelles permettent d’adapter votre espace de travail. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/profile.webp)* ## Informations personnelles Ouvrez la section des informations personnelles pour contrôler les coordonnées affichées. Enregistrez les changements et vérifiez le résultat. ## Notifications Dans **Notifications**, relisez les préférences disponibles et les événements qui vous concernent. Les notifications reçues dans l’application restent accessibles depuis leur entrée dédiée. Une notification d’évaluation peut ouvrir un objet qui nécessite lui-même des droits d’accès. ## Authentification Utilisez **Authentification** pour consulter les méthodes et options de sécurité proposées à votre compte. Suivez l’assistant de vérification lorsqu’il est requis. Pour un compte géré par SSO, certaines opérations relèvent du fournisseur d’identité de l’entreprise. ## Résultat attendu Votre langue, votre apparence et vos préférences correspondent à vos besoins. Si vous ne recevez pas un message attendu, vérifiez aussi l’adresse de votre compte et les courriers indésirables. --- Source: https://docs.cisapp.eu/organisation/tags-champs # Organiser les tags et champs personnalisés Définir un classement partagé et des informations supplémentaires adaptées à vos registres. > **Accès :** administrateur d’entreprise. Selon les modules activés et votre offre. ## Choisir le bon outil Un **tag** sert à regrouper des éléments sous une étiquette commune. Un **champ personnalisé** ajoute une information structurée à un type d’objet pris en charge. Définissez leur usage avant de les créer pour éviter les variantes inutiles. ## Gérer les tags Un administrateur ouvre **Mon entreprise → Tags**. Créez des libellés clairs, puis appliquez-les aux objets qui proposent ce classement. Utilisez ensuite les filtres de tags pour retrouver le périmètre souhaité. ## Gérer les champs personnalisés 1. Ouvrez **Mon entreprise → Champs personnalisés** avec un compte administrateur. 2. Choisissez le type d’objet concerné. 3. Créez un champ avec un libellé compréhensible et le type adapté parmi les options proposées. 4. Enregistrez, puis ouvrez une fiche de ce type pour vérifier le champ et renseigner une valeur. 5. Contrôlez les filtres ou colonnes qui proposent ce champ. ![Gestion des champs personnalisés](https://docs.cisapp.eu/images/fr/custom-fields.webp) *Le type d’objet et le type de champ doivent correspondre au besoin de classement. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/custom-fields.webp)* ## Modifier ou supprimer Avant de supprimer un tag ou un champ, identifiez les usages dans les fiches et les filtres. Informez les utilisateurs concernés et vérifiez les vues après modification. ## Résultat attendu Les membres utilisent un vocabulaire commun et des données comparables. Les technologies, lorsqu’elles sont proposées dans les paramètres de l’entreprise, complètent ce classement pour les objets concernés. --- Source: https://docs.cisapp.eu/organisation/securite # Administrer la sécurité des accès Retrouver les réglages de sécurité de l’entreprise et distinguer les écrans disponibles. > **Accès :** administrateur d’entreprise. Selon les modules activés et votre offre. ## Prérequis Les paramètres de sécurité de l’entreprise sont réservés aux administrateurs de cette entreprise. Les réglages de votre propre authentification se trouvent dans [Mon profil](https://docs.cisapp.eu/organisation/profil). ## Utiliser le bon écran Ouvrez **Mon entreprise → Sécurité**. Consultez les options et les informations de connexion proposées. Les réglages de fournisseurs d’identité et de restrictions réseau dépendent des capacités activées pour l’entreprise. L’entrée **Administration → Sécurité** est actuellement une page en construction. Elle ne remplace pas la page Sécurité de Mon entreprise. ## Préparer un changement 1. Vérifiez que vous administrez la bonne entreprise. 2. Relisez le mode d’authentification utilisé par ses membres. 3. Préparez les informations demandées par l’interface pour le réglage choisi. 4. Appliquez le changement avec les personnes responsables de l’authentification de l’entreprise. 5. Vérifiez une connexion avec un compte concerné avant de considérer le réglage opérationnel. ## Résultat attendu Les paramètres reflètent la politique décidée par votre entreprise et les membres concernés peuvent se connecter. En cas d’accès refusé, utilisez votre procédure d’assistance interne avec les informations non sensibles utiles : heure, navigateur et message affiché. Pour les blocages de connexion courants, consultez [Dépannage](https://docs.cisapp.eu/aide/depannage). --- Source: https://docs.cisapp.eu/organisation/connecteurs # Configurer les connecteurs Connecter un service proposé, vérifier son état et relire les synchronisations. > **Accès :** administrateur d’entreprise. Fonctionnalité en **bêta**, selon les modules activés et votre offre. ## Prérequis Les connecteurs doivent être inclus et activés. Leur gestion est réservée aux administrateurs de l’entreprise. Préparez les accès au service que vous souhaitez connecter. ## Ajouter une connexion 1. Ouvrez **Mon entreprise → Connecteurs** ou l’entrée **Intégrations** correspondante. 2. Consultez les fournisseurs réellement proposés dans le catalogue de l’interface. 3. Choisissez le service et suivez le mode de connexion demandé : autorisation du fournisseur ou paramètres et identifiants dédiés. 4. Vérifiez les accès demandés et terminez la configuration. 5. Ouvrez la connexion créée pour contrôler son état et les fonctions de synchronisation disponibles. ![Liste des connecteurs](https://docs.cisapp.eu/images/fr/integrations.webp) *Le catalogue disponible dans votre espace fait référence pour les services pris en charge. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/integrations.webp)* ## Guides par connecteur - [Connecter GitHub](https://docs.cisapp.eu/organisation/connecteurs/github) : installation de l’application, liaison des dépôts, Dependabot. - [Connecter GitLab](https://docs.cisapp.eu/organisation/connecteurs/gitlab) : autorisation OAuth, liaison des projets, rapport de vulnérabilités. - [Connecter un compte AWS](https://docs.cisapp.eu/organisation/connecteurs/aws) : rôle en lecture seule, inventaire cloud, Security Hub. - [Connecter une organisation Scaleway](https://docs.cisapp.eu/organisation/connecteurs/scaleway) : clé API en lecture seule, inventaire cloud, constats de posture. - [Connecter un compte OVHcloud](https://docs.cisapp.eu/organisation/connecteurs/ovh) : autorisation en lecture seule, inventaire cloud, constats de posture. - [Connecter un tenant Microsoft Azure](https://docs.cisapp.eu/organisation/connecteurs/azure) : principal de service en lecture seule, inventaire cloud, constats de posture, Defender for Cloud. - [Connecter un compte Google Cloud](https://docs.cisapp.eu/organisation/connecteurs/gcp) : compte de service en lecture seule dont CISAPP emprunte l’identité, inventaire cloud, constats de posture. Chaque fiche de connexion propose aussi un bouton **Documentation** vers le guide correspondant. ## Suivre la connexion Relisez l’état, la dernière synchronisation et les erreurs proposées sur la fiche. Une connexion enregistrée n’implique pas que toutes les données attendues ont déjà été synchronisées. ## Corriger ou retirer Si l’authentification expire, suivez l’action de reconnexion proposée. Si les données n’apparaissent pas, vérifiez le périmètre et les permissions accordées dans le service distant. Utilisez la désactivation ou suppression lorsque la connexion n’est plus nécessaire. ## Résultat attendu La connexion est autorisée pour le bon périmètre et son état est vérifié. Les services non proposés par le catalogue ne sont pas présentés comme disponibles dans cette documentation. --- Source: https://docs.cisapp.eu/organisation/connecteurs/aws # Connecter un compte AWS Déployer un rôle AWS en lecture seule pour inventorier les ressources cloud et importer les constats Security Hub. > **Accès :** administrateur d’entreprise. Fonctionnalité en **bêta** ; le connecteur doit être activé sur votre plateforme. ## Prérequis - Être administrateur de l’entreprise dans CISAPP. - Pouvoir créer une stack CloudFormation et un rôle IAM dans le compte AWS visé. - Pour les constats de sécurité : AWS Security Hub activé dans les régions à analyser. ## Déployer le rôle 1. Ouvrez **Mon entreprise → Connecteurs**, puis **Connecter** sur la carte AWS. 2. Étape **Déployer le rôle** : CISAPP affiche son principal et un **ExternalId** propre à cette connexion. 3. Cliquez **Déployer via CloudFormation**, ou copiez le template et déployez-le vous-même avec ces deux valeurs. 4. Le rôle créé est en lecture seule (SecurityAudit et Security Hub en lecture) : CISAPP ne modifie rien dans votre compte. ## Vérifier et connecter 1. Cliquez **J’ai déployé le rôle**. 2. Collez l’**ARN du rôle** (sortie RoleArn de la stack). 3. Indiquez éventuellement des **Régions** ; laissez vide pour toutes les régions activées. 4. **Vérifier et connecter** : CISAPP teste l’accès, active la connexion et lance la première synchronisation. Si vous fermez l’assistant avant la vérification, la connexion reste **En attente** : **Reprendre la configuration** depuis sa fiche. ## Suivre la synchronisation La fiche affiche la dernière synchronisation et, le cas échéant, une synchronisation incomplète (par exemple une région inaccessible). **Synchroniser** relance une analyse ; une synchronisation automatique a aussi lieu chaque nuit. Les ressources sont visibles dans **Voir le patrimoine** et **Voir la cartographie**, les constats Security Hub dans les constats de sécurité. ## Difficultés courantes | Message | Que faire | | --- | --- | | Le connecteur AWS n’est pas configuré | Le connecteur n’est pas encore disponible sur votre plateforme : contactez le support. | | AWS a refusé l’accès | Vérifiez que la stack est déployée, que le principal et l’ExternalId correspondent à ceux affichés. | | Security Hub n’est activé dans aucune région analysée | Activez Security Hub ou ajustez les régions. | ## Déconnecter **Déconnecter** supprime la connexion et l’inventaire cloud associé, et passe ses constats Security Hub en résolus. Supprimez ensuite la stack CloudFormation dans votre compte AWS. ## Résultat attendu La connexion est active, l’inventaire cloud est alimenté et les constats Security Hub remontent dans CISAPP. Voir aussi : [Configurer les connecteurs](https://docs.cisapp.eu/organisation/connecteurs). --- Source: https://docs.cisapp.eu/organisation/connecteurs/azure # Connecter un tenant Microsoft Azure Créer un principal de service Azure en lecture seule (rôle Reader) pour inventorier les ressources cloud et remonter les constats de posture et les recommandations Defender for Cloud. > **Accès :** administrateur d’entreprise. Fonctionnalité en **bêta** ; le connecteur doit être activé sur votre plateforme. ## Prérequis - Être administrateur de l’entreprise dans CISAPP. - Pouvoir créer une **inscription d’application** dans Microsoft Entra ID et attribuer un rôle sur les abonnements visés (ou sur leur groupe d’administration) : propriétaire, administrateur de l’accès utilisateur ou droits équivalents. - Un tenant Azure ne peut être connecté qu’à **une seule** organisation CISAPP ; une organisation peut en revanche connecter plusieurs tenants. - Cloud Azure **public** uniquement : les clouds Chine (21Vianet) et US Government ne sont pas pris en charge. ### Droits minimaux Le rôle **Reader** (Lecteur) suffit, sur chaque abonnement à analyser ou sur un groupe d’administration. Le rôle **Security Reader** n’est pas nécessaire : Reader lit déjà les recommandations de Microsoft Defender for Cloud. **N’accordez jamais** Contributor, Owner, User Access Administrator, ni un rôle d’accès aux données (par exemple Key Vault Secrets User, Storage Blob Data Reader) : CISAPP n’en a pas besoin. Aucune permission Microsoft Graph n’est requise non plus. ## Créer l’accès dans Azure CISAPP n’utilise jamais votre compte personnel : créez un **principal de service** dédié, en lecture seule, avec un **secret client**. ### Avec Azure CLI Remplacez `` par l’identifiant de l’abonnement à analyser. ```bash az ad sp create-for-rbac --name cisapp-reader --role Reader --scopes /subscriptions/ --years 1 ``` Plusieurs abonnements : séparez les portées par des espaces. ```bash az ad sp create-for-rbac --name cisapp-reader --role Reader --scopes /subscriptions/ /subscriptions/ ``` Un groupe d’administration (couvre les abonnements actuels et futurs). Indiquez son **identifiant**, pas son nom d’affichage : ```bash az ad sp create-for-rbac --name cisapp-reader --role Reader --scopes /providers/Microsoft.Management/managementGroups/ ``` N’exécutez qu’**une** de ces trois commandes (chacune crée le principal de service). Pour étendre ensuite le périmètre, utilisez `az role assignment create` : ```bash az role assignment create --assignee --role Reader --scope /subscriptions/ ``` La commande de création affiche un JSON, **une seule fois** ; le secret ne peut plus être relu ensuite : | Champ affiché par Azure | Champ CISAPP | | --- | --- | | `tenant` | **Tenant** | | `appId` | **Identifiant client** | | `password` | **Secret client** (c’est la **valeur** du secret) | | `displayName` | Information seulement, non demandé | Le secret est valable un an (`--years 1`). Pour relever sa date de fin (à saisir dans CISAPP, voir plus bas ; gardez les 10 premiers caractères, au format `AAAA-MM-JJ`) : ```bash az ad app credential list --id --query "[].[displayName,keyId,endDateTime]" -o tsv ``` La commande affiche aussi le `keyId` de chaque secret, utile pour supprimer l’ancien lors d’une rotation. La date saisie dans CISAPP doit être **à venir**. ### Depuis le portail 1. Dans le centre d’administration Microsoft Entra, **Inscriptions d’applications → Nouvelle inscription** : un seul tenant, sans URI de redirection, et n’ajoutez aucune permission d’API (Microsoft Graph). Copiez l’**ID d’application (client)** et l’**ID de l’annuaire (tenant)**. 2. **Certificats & secrets → Nouveau secret client** : choisissez une expiration, puis copiez immédiatement la **Valeur** (et non l’**ID du secret**). 3. Dans le portail Azure, ouvrez **Abonnements** (ou **Groupes d’administration**), choisissez la portée, puis **Contrôle d’accès (IAM) → Ajouter → Ajouter une attribution de rôle**. 4. Choisissez le rôle **Reader** (Lecteur), puis **Membres → Sélectionner des membres**, recherchez le nom de l’application, sélectionnez-la et validez avec **Vérifier + attribuer**. Répétez pour chaque abonnement. > Une attribution de rôle peut mettre jusqu’à **10 minutes** à se propager (parfois davantage pour un groupe d’administration). Si CISAPP ne voit encore aucun abonnement, patientez puis réessayez. ## Connecter dans CISAPP 1. Ouvrez **Mon entreprise → Connecteurs**, puis **Connecter** sur la carte Azure. 2. Renseignez : - **Tenant** : le GUID de l’annuaire (champ `tenant` de la commande), ou un domaine vérifié du tenant (par exemple `contoso.onmicrosoft.com`) ; - **Identifiant client** : l’ID d’application (`appId`) ; - **Secret client** : la **valeur** du secret (pas son ID) ; - **Le secret expire le** (facultatif, format `AAAA-MM-JJ`, obligatoirement **une date à venir**) : permet d’être alerté 30 jours avant l’expiration du secret ; - **Abonnements** (facultatif) : identifiants GUID, 100 au maximum. Vide : tous les abonnements que le principal peut lire (au-delà de 100 abonnements, laissez le champ vide ou attribuez le rôle Reader sur un groupe d’administration). La liste se modifie plus tard depuis la fiche. 3. **Vérifier les identifiants** : CISAPP teste les identifiants auprès de Microsoft avant d’enregistrer quoi que ce soit. 4. À l’étape **Confirmer le tenant Azure**, contrôlez l’**identifiant du tenant** affiché, puis **Connecter**. Un tenant Azure ne peut être connecté qu’à une seule organisation CISAPP. La première synchronisation démarre. Si vous fermez le panneau avant la confirmation, la connexion reste **En attente** : utilisez **Confirmer le compte** depuis sa fiche. Les abonnements dont l’état est **Disabled** ne sont pas collectés (voir « Abonnement non collecté » ci-dessous). Connecter un tenant déjà rattaché à une autre organisation CISAPP est refusé (« Ce tenant Azure est déjà connecté par une autre organisation CISAPP. »). ## Ce que CISAPP collecte CISAPP interroge **Azure Resource Graph** et quelques lectures ciblées d’Azure Resource Manager. Il ne lit que des **configurations**, jamais de contenu : - comptes de stockage (configuration du service blob, pas les objets) ; - groupes de sécurité réseau, réseaux virtuels et sous-réseaux, adresses IP publiques ; - machines virtuelles et disques managés ; - serveurs SQL (Azure SQL), serveurs flexibles PostgreSQL et MySQL, comptes Cosmos DB ; - coffres Key Vault (propriétés du coffre uniquement), clusters AKS ; - applications App Service et Functions ; - abonnements et nombre de propriétaires (attributions de rôle Owner) ; - recommandations de Microsoft Defender for Cloud. CISAPP ne modifie rien dans votre tenant. Il ne lit jamais les clés d’accès, les secrets, les paramètres d’application, les chaînes de connexion ni les fichiers `kubeconfig`, et n’utilise pas le plan de données de Key Vault. Le rôle Reader ne permet d’ailleurs pas les actions qui révèlent ces valeurs, et CISAPP ne les appelle pas. Les ressources sont visibles dans le menu **Sécurité opérationnelle → Patrimoine cloud** et sa **Cartographie**. ## Constats de posture Les constats apparaissent dans les constats de sécurité avec la source **Posture Azure**. Une règle ne se déclenche que si l’information est certaine : un état inconnu (droit manquant, donnée absente, ressource non collectée) ne crée ni ne résout de constat. | Identifiant | Règle | Gravité | | --- | --- | --- | | `azure-storage-public-blob-access` | Compte de stockage autorisant l’accès public aux blobs | Élevée | | `azure-storage-http-allowed` | Compte de stockage acceptant le trafic HTTP non chiffré | Moyenne | | `azure-storage-weak-tls` | Compte de stockage acceptant TLS 1.0 ou 1.1 | Moyenne | | `azure-storage-network-open` | Compte de stockage ouvert à tous les réseaux | Moyenne | | `azure-storage-blob-soft-delete-disabled` | Compte de stockage sans suppression réversible des blobs | Faible | | `azure-nsg-remote-admin-exposed` | Groupe de sécurité réseau exposant SSH ou RDP à Internet | Élevée | | `azure-nsg-database-ports-exposed` | Groupe de sécurité réseau exposant un port de base de données à Internet | Élevée | | `azure-sql-public-network-access` | Serveur SQL accessible depuis le réseau public | Moyenne | | `azure-sql-weak-tls` | Serveur SQL acceptant TLS inférieur à 1.2 | Moyenne | | `azure-sql-firewall-open-to-internet` | Serveur SQL avec règle de pare-feu ouverte à toutes les adresses IP | Critique | | `azure-dbflex-public-network-access` | Serveur PostgreSQL/MySQL flexible accessible depuis le réseau public | Moyenne | | `azure-dbflex-tls-not-required` | Serveur PostgreSQL/MySQL flexible n’imposant pas TLS | Élevée | | `azure-keyvault-purge-protection-disabled` | Coffre de clés sans protection contre la purge | Moyenne | | `azure-keyvault-public-network-open` | Coffre de clés ouvert à tous les réseaux | Moyenne | | `azure-aks-api-server-public` | Cluster AKS dont l’API Kubernetes est exposée sans restriction IP | Élevée | | `azure-aks-rbac-disabled` | Cluster AKS sans RBAC Kubernetes | Élevée | | `azure-webapp-https-only-disabled` | Application web n’imposant pas HTTPS | Moyenne | | `azure-webapp-weak-tls` | Application web acceptant TLS 1.0 ou 1.1 | Moyenne | | `azure-cosmos-public-network-open` | Compte Cosmos DB accessible publiquement sans filtre | Élevée | | `azure-subscription-too-many-owners` | Abonnement avec plus de 3 propriétaires (Owner) | Moyenne | Un pare-feu SQL n’est signalé que pour la plage complète 0.0.0.0 à 255.255.255.255 ; la règle spéciale « services Azure » (0.0.0.0 à 0.0.0.0) ne déclenche pas de constat, et un serveur dont l’accès réseau public est désactivé est conforme. Pour les groupes de sécurité réseau, les règles sont évaluées par priorité : une règle illisible placée avant la règle décisive rend l’état inconnu, et une règle de refus ne ferme un port pour tout le groupe que si sa destination est quelconque (`*`, `0.0.0.0/0`, `::/0`). ### Abonnement non collecté Si un abonnement sélectionné n’est pas collecté (état **Disabled**, identifiant configuré mais plus listé, ou pas encore visible d’Azure Resource Graph), CISAPP crée toujours les nouveaux constats mais **ne résout automatiquement aucun constat des règles CISAPP** pendant cette synchronisation, et ne supprime rien de cet abonnement. Les recommandations Defender for Cloud des abonnements collectés se résolvent normalement. La cause est signalée par une note en anglais, affichée sous le texte de la dernière synchronisation incomplète : `Posture findings are not auto-resolved while these subscriptions are not collected: . Remove them from subscriptionIds, or wait until Azure deletes them.` Azure supprime un abonnement **Disabled** environ 90 jours plus tard ; il disparaît alors de la liste. Si vous avez saisi une liste d’abonnements, retirez-le de la liste. Si un abonnement **Disabled** reste listé (mode par défaut : tous les abonnements), saisissez une liste explicite d’abonnements qui ne le contient pas pour reprendre la résolution automatique. ### Recommandations Defender for Cloud Si Microsoft Defender for Cloud est activé sur un abonnement, CISAPP importe aussi ses recommandations à l’état **Unhealthy** comme constats, avec la même source **Posture Azure**. Un constat est créé par recommandation et par ressource concernée. Leurs titres, descriptions et gravités sont ceux de Microsoft : ils restent en **anglais**. Le nombre de recommandations importées est plafonné par abonnement (les plus graves d’abord). Quand une recommandation n’est plus en défaut, son constat est résolu. Si Defender for Cloud n’est pas activé ou ne renvoie aucune donnée, rien n’est importé ni résolu. Rien n’est non plus résolu lorsque le plafond est atteint. ### Expiration du secret La date d’expiration (**Le secret expire le**) est traitée à part des règles : sans date saisie, aucun avertissement n’est affiché ; à moins de 30 jours de l’échéance déclarée, un badge **Identifiants bientôt expirés** apparaît sur la fiche. ## Remplacer le secret (rotation) 1. Créez un nouveau secret **en conservant l’ancien** : ```bash az ad app credential reset --id --append --years 1 --display-name cisapp-AAAA ``` N’oubliez jamais `--append` : sans lui, la commande supprime tous les secrets existants et la connexion tombe immédiatement en erreur. 2. Sur la fiche de la connexion, **Mettre à jour les identifiants** : dans le panneau **Remplacer le secret Azure**, collez la **valeur** du nouveau secret, renseignez **Le secret expire le** avec sa nouvelle date (obligatoirement à venir : le champ est prérempli avec l’ancienne date, à remplacer surtout après une expiration), puis **Vérifier et remplacer**. L’ancien secret reste utilisé tant que le nouveau n’est pas validé. 3. Le nouveau secret doit appartenir au **même tenant Azure** ; sinon il est refusé et le secret actuel est conservé. 4. Supprimez ensuite l’ancien secret : relevez son `keyId` avec `az ad app credential list --id --query "[].[displayName,keyId,endDateTime]" -o tsv`, puis `az ad app credential delete --id --key-id `. Les abonnements se modifient depuis la fiche (**Modifier**, panneau **Modifier le périmètre**), sans ressaisir le secret. Retirer un abonnement de la connexion retire ses ressources de l’inventaire à la synchronisation suivante. La date d’expiration (**Le secret expire le**), elle, se met à jour avec le secret, pas depuis **Modifier**. Un secret expiré met la connexion en **Erreur** (**Identifiants expirés**) : créez un nouveau secret et faites la rotation depuis la fiche. ## Difficultés courantes **À la connexion**, Azure ne détaille pas la cause dans l’interface : tout refus affiche le message « Azure a refusé ces identifiants : secret invalide (collez la valeur du secret, pas son identifiant) ou expiré, application ou tenant introuvable, accès bloqué par une politique d’accès conditionnel, ou rôle Reader absent… ». **À la synchronisation**, les codes AADSTS ci-dessous apparaissent dans **Dernière synchronisation incomplète** (fiche de la connexion) lorsqu’un secret déjà enregistré est refusé ; leur sens y diffère parfois de celui de la connexion. | Message | Que faire | | --- | --- | | Le connecteur Azure est indisponible sur cette instance CISAPP (chiffrement des secrets non configuré). Contactez le support. | Le connecteur n’est pas encore configuré sur votre plateforme : contactez le support. | | Azure a refusé ces identifiants… | Vérifiez, dans l’ordre : la **valeur** du secret (pas son ID), sa date d’expiration, le **Tenant** et l’**Identifiant client**, l’absence de politique d’accès conditionnel bloquant l’application, et l’attribution du rôle Reader sur chaque abonnement indiqué (propagation : jusqu’à 10 minutes). | | AADSTS7000215 / AADSTS70002 à la synchronisation (secret invalide) | Le secret enregistré a été supprimé ou remplacé côté Azure (par exemple `az ad app credential reset` sans `--append`) : créez un nouveau secret et faites la rotation depuis la fiche. À la connexion, la cause habituelle est l’**ID du secret** collé à la place de sa **valeur** (`password` dans la sortie de la commande). | | AADSTS7000222 (secret expiré) | Le secret client a expiré : créez-en un nouveau et faites la rotation depuis la fiche. | | AADSTS700016 (application introuvable) | À la connexion : l’identifiant client ou le tenant est incorrect, vérifiez que l’application appartient bien à ce tenant. À la synchronisation : l’application a été supprimée dans Microsoft Entra ID ; recréez-la, puis faites la rotation depuis la fiche. | | AADSTS90002 (tenant introuvable) | L’identifiant ou le domaine du tenant est incorrect : utilisez le GUID de l’annuaire. | | Ce principal de service appartient à un autre tenant Azure : le secret actuel est conservé. | Lors d’une rotation, le nouveau secret doit appartenir au même tenant que la connexion. | | Statut **Permissions insuffisantes** et dernière synchronisation `no readable subscription` (message en anglais) | Le rôle Reader n’est pas attribué à l’application (ou a été retiré), ou l’attribution n’est pas encore propagée (jusqu’à 10 minutes) : vérifiez l’attribution, patientez puis réessayez. | | Un abonnement est signalé comme non lisible dans la synchronisation (message en anglais, `Subscription … not readable`) | Le rôle Reader manque sur cet abonnement, ou son identifiant est erroné dans la liste : les autres abonnements sont analysés normalement. Corrigez l’attribution ou retirez-le de la liste. | | Abonnement absent de l’inventaire, ou constats qui ne se résolvent plus | Un abonnement sélectionné n’est pas collecté (état **Disabled**, plus listé, pas encore visible d’Azure Resource Graph) : la synchronisation le signale (note sous la dernière synchronisation incomplète) et suspend la résolution automatique des constats de règles CISAPP. Voir « Abonnement non collecté ». | | Ressource récente absente | Azure Resource Graph est à cohérence différée : une ressource créée à l’instant apparaît à la synchronisation suivante. | | Ce tenant Azure est déjà connecté par une autre organisation CISAPP. | Un tenant Azure n’a qu’une connexion : déconnectez-le d’abord de l’autre organisation CISAPP. | | Identifiants expirés ou Identifiants refusés | Créez un nouveau secret et faites la rotation depuis la fiche. | ## Limites - Cloud Azure public uniquement (pas de Chine ni d’US Government). - Un tenant Azure ne peut être connecté qu’à une seule organisation CISAPP ; une organisation peut connecter plusieurs tenants. - La synchronisation suit la même périodicité que les autres connecteurs cloud : automatique chaque nuit, et relançable à la demande avec **Synchroniser** sur la fiche. - La date d’expiration du secret est **déclarative** : CISAPP ne peut pas la lire dans Azure, et elle doit être à venir. Sans date, l’expiration n’est détectée qu’au moment où Microsoft refuse le secret. - Les abonnements sélectionnés sont limités à 100 (au-delà : champ vide, ou rôle Reader sur un groupe d’administration). - Quand un abonnement quitte le périmètre (retiré de la liste, ou supprimé par Azure), ses ressources sont retirées de l’inventaire et ses constats de règles CISAPP sont résolus, mais ses recommandations Defender for Cloud déjà importées restent ouvertes jusqu’à la déconnexion du connecteur. ## Déconnecter **Déconnecter** supprime la connexion et l’inventaire cloud associé, et passe ses constats de posture en résolus. Supprimez ensuite le secret (ou l’inscription d’application et ses attributions de rôle si elles n’ont plus d’usage) dans Microsoft Entra ID et dans le portail Azure. ## Résultat attendu La connexion est active, l’inventaire cloud est alimenté et les constats de posture Azure, ainsi que les recommandations Defender for Cloud, remontent dans CISAPP. Voir aussi : [Configurer les connecteurs](https://docs.cisapp.eu/organisation/connecteurs). --- Source: https://docs.cisapp.eu/organisation/connecteurs/gcp # Connecter un compte Google Cloud Autoriser CISAPP en lecture seule sur un environnement Google Cloud (GCP) grâce à un compte de service dont CISAPP emprunte l’identité, pour inventorier les ressources cloud et remonter les constats de posture de sécurité. > **Accès :** administrateur d’entreprise. Fonctionnalité en **bêta** ; le connecteur doit être activé sur votre plateforme. ## Comment ça fonctionne Aucune clé n’est échangée ni stockée. Vous créez dans l’un de vos projets un **compte de service en lecture seule** et vous autorisez le **compte de service de la plateforme CISAPP** à **emprunter son identité** (rôle « Créateur de jetons du compte de service », sur ce compte de service uniquement). À chaque synchronisation, CISAPP obtient auprès de Google un jeton d’accès de courte durée (environ une heure) au nom de votre compte de service et lit vos configurations. Ce jeton n’est jamais enregistré : il reste en mémoire chez CISAPP et est réutilisé au plus une heure (renouvelé 5 minutes avant son expiration). Retirer l’autorisation côté Google Cloud empêche d’en obtenir de nouveaux : l’accès prend fin au plus tard à l’expiration du jeton en cours (une heure au maximum), sous réserve de la propagation IAM de Google. Pour un arrêt immédiat côté CISAPP, utilisez **Déconnecter**. ## Prérequis - Être administrateur de l’entreprise dans CISAPP. - Disposer, dans Google Cloud, des droits pour créer un compte de service, créer un rôle personnalisé et attribuer des rôles IAM : par exemple Administrateur IAM de l’organisation (ou du projet), ou le propriétaire du projet. Sans organisation Google Cloud, ces droits sont requis sur chaque projet à analyser. - Disposer de la CLI `gcloud` connectée à un compte habilité, ou de Cloud Shell. - Un compte de service ne peut être connecté qu’à **une seule** organisation CISAPP. Plusieurs comptes de service (donc plusieurs connexions) restent possibles dans une même organisation CISAPP. - Le compte de service doit être **un compte que vous avez créé** (`nom@projet.iam.gserviceaccount.com`). Les comptes gérés par Google (agents de service `gcp-sa-…` et anciens agents de service Google, compte Compute par défaut `…-compute@developer.gserviceaccount.com`, compte App Engine) et les projets à nom de domaine hérités (`exemple.com:projet`) ne sont pas pris en charge. Il ne doit pas appartenir au projet de CISAPP. ## Configurer Google Cloud Les commandes ci-dessous sont celles du panneau de configuration de CISAPP. **Le panneau les affiche déjà préremplies** avec le jeton de vérification de votre connexion et l’adresse du compte de service de CISAPP : copiez-les depuis le panneau plutôt que d’utiliser les valeurs génériques de cette page (`` et ``). 1. Ouvrez **Mon entreprise → Connecteurs**, puis **Connecter** sur la carte Google Cloud. Le panneau **Configurer Google Cloud** affiche deux valeurs à copier : - le **compte de service CISAPP (plateforme)** : l’adresse à autoriser ; - le **jeton de vérification** : propre à cette connexion, de la forme `cisapp-verify-` suivi de 32 caractères hexadécimaux. 2. **Adaptez les variables.** `PROJECT_ID` est le projet qui hébergera le compte de service (son « projet d’accueil »), `ORG_ID` l’identifiant numérique de votre organisation (inutile sans organisation). ```bash PROJECT_ID="my-project-id" SA_NAME="cisapp-readonly" SA_EMAIL="${SA_NAME}@${PROJECT_ID}.iam.gserviceaccount.com" ORG_ID="123456789012" ``` 3. **Créez le compte de service**, avec le jeton de vérification comme **description** : il prouve que vous contrôlez ce compte. ```bash gcloud iam service-accounts create "$SA_NAME" --project="$PROJECT_ID" \ --display-name="CISAPP read-only" \ --description="" ``` Si le compte de service existe déjà, mettez seulement sa description à jour : ```bash gcloud iam service-accounts update "$SA_EMAIL" --project="$PROJECT_ID" \ --description="" ``` 4. **Autorisez CISAPP à emprunter l’identité du compte de service**, **sur ce compte de service uniquement**. Ne l’accordez **jamais** sur le projet, un dossier ou l’organisation : CISAPP refuse la connexion si ce rôle est accordé plus largement. ```bash gcloud iam service-accounts add-iam-policy-binding "$SA_EMAIL" \ --project="$PROJECT_ID" \ --member="serviceAccount:" \ --role="roles/iam.serviceAccountTokenCreator" ``` 5. **Enregistrez la définition du rôle personnalisé** dans un fichier `role.yaml`. Il ne contient que des permissions de lecture de métadonnées (voir la liste plus bas) : aucun accès aux données. ```yaml title: CISAPP Posture Reader description: Read-only metadata access for CISAPP security posture scans. No data-plane access. stage: GA includedPermissions: - resourcemanager.projects.get - resourcemanager.projects.getIamPolicy - compute.instances.list - compute.firewalls.list - compute.networks.list - compute.subnetworks.list - compute.projects.get - storage.buckets.list - storage.buckets.getIamPolicy - cloudsql.instances.list - container.clusters.list - iam.serviceAccounts.get - iam.serviceAccounts.list - iam.serviceAccountKeys.list - cloudfunctions.functions.list - cloudfunctions.functions.getIamPolicy - run.locations.list - run.services.list - run.services.getIamPolicy - cloudkms.locations.list - cloudkms.keyRings.list - cloudkms.cryptoKeys.list - bigquery.datasets.get - bigquery.datasets.getIamPolicy - serviceusage.services.list ``` 6. **Créez le rôle et attribuez-le au compte de service.** Le rôle doit couvrir **le projet d’accueil du compte de service** (il doit pouvoir se lire lui-même) **et** les projets à analyser. - **Avec une organisation Google Cloud** : une seule attribution au niveau de l’organisation couvre tous ses projets, y compris le projet d’accueil. ```bash gcloud iam roles create cisappPostureReader --organization="$ORG_ID" \ --file=role.yaml gcloud organizations add-iam-policy-binding "$ORG_ID" \ --member="serviceAccount:$SA_EMAIL" \ --role="organizations/$ORG_ID/roles/cisappPostureReader" ``` - **Sans organisation** : projet par projet. Remplacez `project-a project-b` par vos projets, **sans oublier le projet d’accueil du compte de service**. Le rôle est créé dans chacun. ```bash for P in project-a project-b; do gcloud iam roles create cisappPostureReader --project="$P" \ --file=role.yaml gcloud projects add-iam-policy-binding "$P" \ --member="serviceAccount:$SA_EMAIL" \ --role="projects/$P/roles/cisappPostureReader" done ``` 7. **Activez les API dans le projet d’accueil** du compte de service : ses appels y sont comptabilisés et limités. ```bash gcloud services enable cloudresourcemanager.googleapis.com iam.googleapis.com serviceusage.googleapis.com \ --project="$PROJECT_ID" ``` Les API des produits (Compute Engine, Cloud Storage, Cloud SQL…) n’ont pas à être activées pour CISAPP : un produit désactivé dans un projet n’a simplement rien à inventorier. ### Rôles prédéfinis de secours Si votre organisation interdit les rôles personnalisés, attribuez plutôt ces rôles prédéfinis au compte de service, sur l’organisation ou sur chaque projet (sans oublier le projet d’accueil) : - `roles/browser` - `roles/compute.networkViewer` - `roles/cloudsql.viewer` - `roles/container.clusterViewer` - `roles/iam.serviceAccountViewer` - `roles/cloudfunctions.viewer` - `roles/run.viewer` - `roles/cloudkms.viewer` - `roles/bigquery.metadataViewer` - `roles/serviceusage.serviceUsageViewer` - `roles/storage.bucketViewer` > **Limite :** ces rôles ne permettent pas de lire les règles d’accès (IAM) des buckets. Le contrôle des **buckets publics reste alors « inconnu »** : il ne crée ni ne résout de constat. ## Connecter dans CISAPP 1. Dans le panneau de configuration, cliquez **J’ai terminé**. 2. Indiquez l’**e-mail du compte de service** (par exemple `cisapp-readonly@mon-projet.iam.gserviceaccount.com`). 3. Indiquez éventuellement les **projets** à analyser, un identifiant par entrée (50 au maximum). **Vide : tous les projets actifs que le compte de service peut lire**, dans la limite d’un plafond fixé par la plateforme (100 par défaut) ; au-delà, seuls les premiers sont analysés et la synchronisation le signale. 4. **Vérifier l’accès** : CISAPP contrôle que le compte de service existe, qu’il peut en emprunter l’identité, que le jeton figure dans sa description et que les projets sont lisibles. 5. Contrôlez le **compte de service** affiché (son identifiant numérique), puis **Connecter**. La connexion devient active et la **première synchronisation** démarre. Si vous fermez l’assistant avant la confirmation, la connexion reste **En attente** et le panneau de configuration est repris depuis sa fiche (le jeton de vérification reste le même). Une connexion en attente depuis plus de 7 jours sans activité est supprimée automatiquement. Les droits IAM de Google se propagent avec un léger délai (de quelques secondes à quelques minutes). Si la vérification échoue juste après les commandes, patientez puis recommencez. De même, la première synchronisation peut signaler quelques erreurs partielles « non accordé » : la suivante les corrige. Une fois la connexion active, la liste des **projets** est modifiable depuis la fiche de la connexion (**Modifier le périmètre**) ; l’e-mail du compte de service ne l’est pas. ## Ce que CISAPP collecte CISAPP n’effectue que des **lectures** (requêtes `GET` ; les lectures de politiques IAM utilisent la méthode `POST` de l’API Google, sans rien modifier) et ne lit que des **configurations**, jamais de contenu. Pour chaque projet analysé : - projets Google Cloud (identifiant, état) et **politique IAM du projet**, résumée en compteurs (aucune adresse de membre n’est conservée) ; - Compute Engine : instances, règles de pare-feu VPC, réseaux et sous-réseaux ; - Cloud Storage : buckets (configuration et règles d’accès IAM, pas les objets) ; - Cloud SQL : instances ; - Google Kubernetes Engine (GKE) : clusters ; - comptes de service et leurs clés gérées par l’utilisateur (métadonnées : âge, état) ; - Cloud Functions et services Cloud Run (configuration et qui peut les invoquer) ; - Cloud KMS : clés de chiffrement (métadonnées de rotation) ; - BigQuery : jeux de données (configuration et accès publics) ; - la liste des API activées dans chaque projet. Les ressources sont visibles dans le menu **Sécurité opérationnelle → Patrimoine cloud** et sa **Cartographie**, avec leur région et leur localisation. Un produit que le compte de service ne peut pas lire est signalé comme **non accordé** dans le résultat de la synchronisation. ## Ce que CISAPP ne lit jamais CISAPP ne modifie rien dans votre environnement. Le rôle n’inclut aucune permission d’écriture ni de lecture de données. CISAPP ne lit **jamais**, et ne stocke donc jamais : - le contenu des buckets (objets), les tables, lignes et requêtes BigQuery ; - le **matériel des clés** de compte de service (aucune clé n’est créée, téléchargée ni utilisée), les secrets (Secret Manager), les clés KMS elles-mêmes (aucun chiffrement, déchiffrement ni signature) ; - les variables d’environnement et les secrets des fonctions et services Cloud Run, les images et arguments des conteneurs ; - les identifiants des clusters GKE (certificats, jetons), les mots de passe, certificats et valeurs d’options des instances Cloud SQL ; - les clés de chiffrement des disques, les libellés, les sorties du port série, captures d’écran et attributs invités ; - les adresses IP publiques elles-mêmes (seule l’existence d’une adresse publique est conservée) et les adresses des membres des politiques IAM. Les métadonnées des instances et du projet Compute (par exemple scripts de démarrage, clés SSH) sont lues pour **trois indicateurs seulement** : `enable-oslogin`, `block-project-ssh-keys` et `serial-port-enable`. Google ne permet pas de demander une seule clé : les éléments sont donc demandés sous forme de paires clé/valeur et les valeurs transitent en mémoire pendant la lecture de la réponse ; seuls ces trois indicateurs sont conservés et rien d’autre n’est converti, stocké ni journalisé. Rien d’autre n’est stocké, journalisé ni transmis. ## Constats de posture Les constats apparaissent dans les constats de sécurité avec la source **Posture Google Cloud**. Une règle ne se déclenche que si l’information est certaine : un état inconnu (produit non accordé, lecture impossible, valeur absente de la réponse) ne crée ni ne résout de constat. 20 règles sont évaluées. | Titre du constat | Gravité | | --- | --- | | Rôle de base Propriétaire ou Éditeur attribué dans le projet | Élevée ; moyenne si seuls des utilisateurs détiennent le rôle | | Politique IAM du projet ouverte à allUsers ou allAuthenticatedUsers | Critique | | Clé de compte de service gérée par l'utilisateur de plus de 90 jours | Moyenne | | Instance de calcul exposée avec une adresse IP publique | Moyenne | | Instance utilisant le compte de service par défaut avec accès complet aux API | Élevée | | Connexion OS Login désactivée sur l'instance | Moyenne | | Accès à la console série activé sur l'instance | Moyenne | | Règle de pare-feu ouverte à Internet sur un port d'administration | Élevée | | Règle de pare-feu ouverte à Internet sur un port de base de données | Élevée | | Règle de pare-feu autorisant tout le trafic depuis Internet | Critique | | Bucket de stockage accessible publiquement | Critique ; élevée si seuls des rôles de lecture sont publics | | Accès uniforme au niveau du bucket désactivé | Moyenne | | Instance Cloud SQL accessible depuis Internet | Critique | | Instance Cloud SQL n'imposant pas le chiffrement TLS | Élevée ; moyenne si l’instance n’a pas d’adresse publique | | Sauvegardes automatiques désactivées sur l'instance Cloud SQL | Moyenne | | Autorisation ABAC héritée activée sur le cluster GKE | Élevée | | Point d'accès du plan de contrôle GKE ouvert à Internet | Élevée | | Fonction ou service serverless invocable publiquement | Moyenne ; élevée si l’ingress est ouvert à tous et que le compte Compute par défaut l’exécute | | Clé de chiffrement KMS sans rotation automatique | Moyenne | | Dataset BigQuery accessible publiquement | Critique | Précisions : - **Pare-feu** : seules les règles VPC classiques d’entrée, actives, sont évaluées. Administration = ports 22 et 3389 ; bases de données = 1433, 1521, 3306, 5432, 6379, 9200, 9300, 11211 et 27017. Une règle qui ouvre tous les ports n’est signalée qu’une fois, par la règle « tout le trafic ». - **Fonctions et services serverless** : un accès public est souvent voulu (API publique) ; le constat est indicatif. Un ingress limité au réseau interne est considéré comme conforme. - **Buckets** : seule la politique IAM est évaluée. Les anciennes ACL d’objets ou de bucket ne sont pas lues. - **KMS** : seules les clés symétriques à rotation possible sont concernées ; une rotation de plus de 365 jours est aussi signalée. ## Limites - Les **politiques d’organisation** (par exemple `compute.requireOsLogin`, `compute.disableSerialPortAccess`, l’interdiction de l’accès public aux buckets) et les **politiques de pare-feu hiérarchiques** ou de réseau ne sont **pas évaluées** : un constat peut être neutralisé à votre niveau organisation, et une règle de refus n’est pas prise en compte. Les constats décrivent les configurations de chaque ressource. - Les politiques d’audit héritées d’un dossier ou de l’organisation ne sont pas visibles pour un projet rattaché à une organisation. - Les droits IAM de Google sont **cohérents à terme** : un rôle accordé ou retiré peut mettre quelques minutes à produire son effet. - Deux organisations CISAPP peuvent voir les mêmes projets au travers de deux comptes de service différents : la connexion est exclusive pour un compte de service, pas pour un projet. - Un périmètre vide est plafonné ; un projet inaccessible est signalé et ses ressources ne sont pas supprimées de l’inventaire. - Si le compte de service voit plus de projets que le plafond (100 par défaut) en mode « tous les projets », seuls les premiers sont analysés et la **résolution automatique des constats est suspendue pour toute la connexion** : les constats continuent d’être créés et mis à jour, mais aucun n’est résolu, et la synchronisation le signale. Listez explicitement les projets à analyser pour la rétablir. ## Révoquer l’accès - **Côté Google Cloud** : retirez le rôle « Créateur de jetons du compte de service » accordé à CISAPP sur votre compte de service. CISAPP ne peut plus obtenir de nouveau jeton ; le jeton déjà émis reste utilisable jusqu’à son expiration (une heure au maximum), sous réserve de la propagation IAM de Google. ```bash gcloud iam service-accounts remove-iam-policy-binding "$SA_EMAIL" \ --project="$PROJECT_ID" \ --member="serviceAccount:" \ --role="roles/iam.serviceAccountTokenCreator" ``` - **Côté CISAPP**, **Déconnecter** supprime la connexion et l’inventaire cloud associé, passe ses constats de posture en résolus et supprime le jeton gardé en mémoire : c’est l’arrêt immédiat côté CISAPP. Il n’y a rien à révoquer chez Google : aucun identifiant n’est stocké. Retirez ensuite le rôle d’emprunt d’identité, puis supprimez le compte de service et le rôle personnalisé s’ils ne servent plus. ## Difficultés courantes | Message | Que faire | | --- | --- | | Le connecteur Google Cloud est indisponible sur cette instance | Le compte de service de la plateforme n’est pas encore configuré sur votre plateforme : contactez le support. | | Google Cloud a refusé l’accès | Voir les causes détaillées ci-dessous. | | Ce compte de service est déjà connecté à une autre organisation CISAPP, ou ne correspond pas au compte de cette connexion | Un compte de service n’a qu’une connexion : déconnectez-le d’abord de l’autre organisation CISAPP. Sinon, le compte a été supprimé puis recréé (nouvel identifiant : ce n’est plus le compte de service connecté précédemment) : vérifiez l’e-mail saisi, déconnectez la connexion et reconnectez-la. Le même message apparaît si la connexion a été modifiée pendant la vérification : rechargez la page. | | Impossible de confirmer : ce compte de service a changé depuis la vérification | Relancez la vérification. | | Trop de tentatives | Trop de tentatives de connexion rapprochées (10 par minute au maximum) : patientez une minute. | | L’e-mail n’est pas valide (message sous le champ) | Saisissez un compte de service que vous avez créé (`nom@projet.iam.gserviceaccount.com`). Les comptes gérés par Google, y compris les anciens agents de service Google, sont refusés. Il s’agit d’une erreur de saisie, pas d’un refus de Google Cloud. | Quand Google Cloud refuse l’accès, la vérification s’arrête à la première cause rencontrée, dans cet ordre : | Cause | Que faire | | --- | --- | | Le compte de service appartient au projet de CISAPP | Créez-le dans l’un de **vos** projets. | | CISAPP ne peut pas emprunter l’identité de ce compte de service | Vérifiez l’e-mail et que le compte de service de CISAPP détient `roles/iam.serviceAccountTokenCreator` **sur ce compte de service**. Google ne distingue pas un compte absent d’un droit manquant. Attendez la propagation IAM. | | Le compte de service ne peut pas se lire lui-même | Attribuez-lui le rôle personnalisé sur **son projet d’accueil**. | | Activez une API dans le projet d’accueil | Activez `cloudresourcemanager`, `iam` et `serviceusage` dans le projet d’accueil (étape 7). | | Un périmètre VPC Service Controls bloque le compte de service | Autorisez le compte de service dans le périmètre. | | Le compte de service est introuvable, ne correspond pas à l’e-mail, n’appartient pas à son projet ou est désactivé | Vérifiez l’e-mail, réactivez le compte de service. | | Le jeton de vérification est introuvable dans la description du compte de service | Mettez à jour la description avec la valeur **exacte** du panneau (aucun texte en plus). Le jeton n’est vérifié que tant que la connexion n’est pas active. | | `roles/iam.serviceAccountTokenCreator` est accordé sur le projet, un dossier ou l’organisation | Retirez ces attributions larges et accordez le rôle sur le compte de service uniquement. | | Le compte de service ne voit aucun projet, ou un projet n’est pas lisible | Attribuez le rôle personnalisé sur les projets à analyser (ou sur l’organisation) et vérifiez que chaque projet est actif. | Après la connexion, dans les synchronisations : | Symptôme | Cause probable | | --- | --- | | Produit « non accordé » dans le résultat | Une permission du rôle manque sur ce projet : attribuez-le sur ce projet ou sur l’organisation. | | Erreur `SERVICE_DISABLED` dans le résultat | Une API du projet d’accueil du compte de service est désactivée (étape 7). | | Connexion en erreur « identifiants refusés » | L’emprunt d’identité est refusé (rôle retiré, compte supprimé ou désactivé) : rétablissez-le puis relancez la vérification depuis la fiche. | | Connexion en erreur « le compte de service a été remplacé » | Le compte de service a été recréé : déconnectez puis reconnectez le compte. | | Limite de projets atteinte | Sélectionnez explicitement les projets à analyser (tant que la liste est vide, aucun constat n’est résolu automatiquement). | ## Résultat attendu La connexion est active, l’inventaire cloud est alimenté et les constats de posture Google Cloud remontent dans CISAPP. Voir aussi : [Configurer les connecteurs](https://docs.cisapp.eu/organisation/connecteurs). --- Source: https://docs.cisapp.eu/organisation/connecteurs/github # Connecter GitHub Installer l’application GitHub CISAPP, lier les dépôts aux applications, activer Dependabot et importer ses alertes dans les constats. > **Accès :** administrateur d’entreprise. Fonctionnalité en **bêta** ; le connecteur doit être activé sur votre plateforme. ## Prérequis - Être administrateur de l’entreprise dans CISAPP. - Pouvoir installer une application GitHub sur le compte ou l’organisation GitHub visé (propriétaire de l’organisation, ou administrateur du compte personnel). - Si GitHub affiche une demande d’approbation, un propriétaire de l’organisation GitHub doit la valider. ## Installer l’application 1. Ouvrez **Mon entreprise → Connecteurs**, puis **Connecter** sur la carte GitHub. Un panneau récapitule les étapes et les accès demandés ; cliquez sur **Continuer vers GitHub**. 2. Sur GitHub, choisissez le compte ou l’organisation, puis **All repositories** ou une sélection de dépôts. 3. Autorisez l’application lorsque GitHub le demande : cette étape prouve que votre compte GitHub a accès à l’installation. 4. Vous revenez dans CISAPP sur la fiche du connecteur, avec la liste des dépôts. Le lien d’installation expire après 30 minutes et ne sert qu’une fois : en cas d’erreur, relancez simplement **Connecter**. ## Lier les dépôts aux applications Dans l’onglet **Dépôts**, utilisez **Lier à une application** pour rattacher un dépôt à une [application](https://docs.cisapp.eu/registres/applications) de votre entreprise ; la colonne **Application** affiche le rattachement. **Délier** retire le rattachement sans rien modifier sur GitHub. Le dépôt apparaît ensuite dans l’onglet **Code et DevSecOps** de l’application. Pour ajouter ou retirer des dépôts, utilisez **Gérer sur GitHub** et modifiez la sélection : CISAPP est prévenu automatiquement. **Synchroniser** force une mise à jour immédiate. ## Activer Dependabot et importer les alertes Le commutateur **Dependabot** d’un dépôt active sur GitHub les alertes de vulnérabilité et les correctifs de sécurité automatiques, **et** importe les alertes ouvertes du dépôt dans les constats CISAPP. Le désactiver arrête les correctifs automatiques et l’import : les constats du dépôt passent en résolus (les alertes restent actives sur GitHub). - La colonne **Alertes ouvertes** de l’onglet **Dépôts** donne le nombre d’alertes par sévérité. - L’onglet **Alertes** affiche les totaux par sévérité, les **Dépôts importés** et la date de dernière synchronisation ; **Voir les constats** ouvre la liste des constats filtrée sur GitHub Dependabot. - Une alerte corrigée ou fermée sur GitHub passe en résolu automatiquement dans CISAPP. Les installations antérieures doivent accepter sur GitHub la nouvelle permission **Dependabot alerts** (GitHub envoie une demande au propriétaire de l’installation). ## Difficultés courantes | Message | Que faire | | --- | --- | | Le connecteur GitHub n’est pas configuré | Le connecteur n’est pas encore disponible sur votre plateforme : contactez le support. | | L’installation GitHub n’a pas pu être autorisée | Lien expiré ou compte GitHub sans accès à l’installation : relancez l’installation avec le bon compte. | | Cette installation GitHub est déjà liée à une autre organisation | Une installation GitHub ne peut servir qu’une seule entreprise CISAPP. | | Aucun dépôt synchronisé | Vérifiez la sélection de dépôts sur GitHub, puis **Synchroniser**. | | Dernière synchronisation incomplète | Le message liste les dépôts en échec : le plus souvent, la permission Dependabot alerts n’a pas été acceptée sur GitHub. | ## Déconnecter **Déconnecter** supprime la connexion, les dépôts synchronisés et leurs liaisons, et passe les constats GitHub en résolus ; les applications ne sont pas modifiées. Désinstaller l’application sur GitHub a le même effet. Désinstallez ensuite l’application depuis **Gérer sur GitHub** si vous ne l’utilisez plus. ## Résultat attendu Les dépôts choisis apparaissent dans CISAPP, sont rattachés aux bonnes applications, Dependabot est actif là où vous l’avez demandé et ses alertes apparaissent dans les constats. Voir aussi : [Configurer les connecteurs](https://docs.cisapp.eu/organisation/connecteurs). --- Source: https://docs.cisapp.eu/organisation/connecteurs/gitlab # Connecter GitLab Autoriser CISAPP sur GitLab.com, lier les projets GitLab aux applications et importer leurs vulnérabilités dans les constats. > **Accès :** administrateur d’entreprise. Fonctionnalité en **bêta** ; le connecteur doit être activé sur votre plateforme. ## Prérequis - Être administrateur de l’entreprise dans CISAPP. - Un compte **GitLab.com** membre des projets à surveiller avec le rôle **Developer** ou plus. GitLab auto-hébergé n’est pas pris en charge. - Pour l’import des vulnérabilités : projets sous **GitLab Ultimate** avec au moins un scanner de sécurité actif (Dependency Scanning, SAST, Container Scanning, Secret Detection…). ## Connecter le compte 1. Ouvrez **Mon entreprise → Connecteurs**, puis **Connecter** sur la carte GitLab. Un panneau récapitule les étapes et les accès demandés ; cliquez sur **Continuer vers GitLab**. 2. Connectez-vous à GitLab.com si besoin, puis cliquez sur **Authorize**. CISAPP ne demande qu’un accès **en lecture** à l’API (`read_api`). 3. Vous revenez dans CISAPP sur la fiche du connecteur, avec la liste des projets du compte. Le lien d’autorisation expire après 30 minutes et ne sert qu’une fois : en cas d’erreur, relancez simplement **Connecter**. CISAPP agit avec les droits du compte GitLab qui a autorisé l’application : utilisez de préférence un compte dédié ou un compte qui restera dans l’entreprise. ## Lier les projets aux applications Dans l’onglet **Dépôts**, utilisez **Lier à une application** pour rattacher un projet GitLab à une [application](https://docs.cisapp.eu/registres/applications) de votre entreprise ; la colonne **Application** affiche le rattachement. **Délier** retire le rattachement sans rien modifier sur GitLab. Le projet apparaît ensuite dans l’onglet **Code et DevSecOps** de l’application. La liste reprend les projets non archivés dont le compte est membre (rôle Developer ou plus). **Synchroniser** force une mise à jour immédiate ; sinon la synchronisation est quotidienne. ## Importer les vulnérabilités Le commutateur **Vulnérabilités GitLab** d’un projet importe ses vulnérabilités ouvertes (détectées ou confirmées) du rapport de vulnérabilités GitLab dans les constats CISAPP. Le désactiver arrête l’import : les constats du projet passent en résolus. Rien n’est modifié sur GitLab. - La colonne **Alertes ouvertes** de l’onglet **Dépôts** donne le nombre de vulnérabilités par sévérité. - L’onglet **Alertes** affiche les totaux par sévérité, les **Dépôts importés** et la date de dernière synchronisation ; **Voir les constats** ouvre la liste des constats filtrée sur GitLab. - Une vulnérabilité résolue ou ignorée sur GitLab passe en résolu dans CISAPP à la synchronisation suivante. ## Difficultés courantes | Message | Que faire | | --- | --- | | Le connecteur GitLab n’est pas configuré | Le connecteur n’est pas encore disponible sur votre plateforme : contactez le support. | | L’autorisation a été refusée sur GitLab | Vous avez cliqué sur **Deny** : relancez **Connecter** et autorisez l’application. | | La connexion GitLab n’a pas pu être validée | Lien expiré ou déjà utilisé : relancez la connexion. | | Ce compte GitLab est déjà connecté à une autre organisation | Un compte GitLab ne peut servir qu’une seule entreprise CISAPP : utilisez un autre compte. | | Aucun dépôt synchronisé | Le compte n’est membre d’aucun projet avec le rôle Developer ou plus. | | Aucune vulnérabilité alors que l’import est actif | Le projet n’est pas sous GitLab Ultimate, ou aucun scanner n’a tourné sur la branche par défaut. | | Synchronisation en erreur « reconnect » | L’accès a été révoqué sur GitLab : déconnectez puis reconnectez GitLab. | ## Déconnecter **Déconnecter** supprime la connexion, les projets synchronisés et leurs liaisons, passe les constats GitLab en résolus et révoque l’accès de CISAPP sur GitLab ; les applications ne sont pas modifiées. Vous pouvez aussi vérifier les applications autorisées depuis **Gérer les accès sur GitLab**. ## Résultat attendu Les projets GitLab apparaissent dans CISAPP, sont rattachés aux bonnes applications et leurs vulnérabilités apparaissent dans les constats. Voir aussi : [Configurer les connecteurs](https://docs.cisapp.eu/organisation/connecteurs). --- Source: https://docs.cisapp.eu/organisation/connecteurs/ovh # Connecter un compte OVHcloud Autoriser CISAPP en lecture seule sur un compte OVHcloud pour inventorier les ressources cloud et remonter les constats de posture de sécurité. > **Accès :** administrateur d’entreprise. Fonctionnalité en **bêta** ; le connecteur doit être activé sur votre plateforme. ## Prérequis - Être administrateur de l’entreprise dans CISAPP. - Pouvoir vous connecter au compte OVHcloud à analyser avec son identifiant client (nichandle, de la forme `xx11111-ovh`) avec un compte autorisé à créer des clés d’API : l’autorisation est accordée avec ce compte. - Connaître la **région** du compte : Europe, Canada ou États-Unis. Un compte OVHcloud est propre à une région. - Un compte OVHcloud ne peut être connecté qu’à **une seule** organisation CISAPP. CISAPP ne vous demande ni mot de passe ni clé à copier : l’authentification se fait uniquement sur le site d’OVHcloud. ## Connecter dans CISAPP 1. Ouvrez **Mon entreprise → Connecteurs**, puis **Connecter** sur la carte OVHcloud. 2. Choisissez la **région du compte** (Europe, Canada ou États-Unis), puis **Continuer vers OVHcloud**. 3. Vous êtes redirigé vers la page d’autorisation d’OVHcloud : connectez-vous avec le compte à analyser. 4. Choisissez la **durée de validité** de l’autorisation. Préférez une **validité datée** plutôt que « Illimitée » : une autorisation sans date d’expiration est signalée dans CISAPP, et vous devrez la renouveler avant son échéance. 5. Autorisez l’accès. OVHcloud vous ramène automatiquement dans CISAPP. 6. Contrôlez le **compte OVHcloud** affiché (identifiant client), puis **Connecter**. La première synchronisation démarre. Si vous fermez l’assistant avant la confirmation, la connexion reste **En attente** : **Reprendre la validation** depuis sa fiche (renouvelez l’autorisation sur OVHcloud, puis confirmez le compte). Si vous avez refusé l’autorisation ou laissé la page expirer, relancez la connexion pour en demander une nouvelle. ## Ce que CISAPP collecte CISAPP n’effectue que des **lectures** (requêtes en lecture seule, sur une liste limitée de routes) et ne lit que des **configurations**, jamais de contenu : - Public Cloud : instances, groupes de sécurité, volumes, réseaux privés, buckets Object Storage (configuration, pas les objets), bases de données managées, clusters Kubernetes managés ; - serveurs dédiés, serveurs privés virtuels (VPS), hébergements web ; - noms de domaine et zones DNS, blocs d’adresses IP ; - services et leurs dates d’échéance et de renouvellement ; - sécurité du compte : authentification à deux facteurs, restrictions d’adresses IP, clés d’API (dates d’expiration, dernier usage, adresses autorisées). Un produit que l’autorisation ne couvre pas est signalé comme **non accordé** dans le résultat de la synchronisation. Les ressources sont visibles dans le menu **Sécurité opérationnelle → Patrimoine cloud** et sa **Cartographie**, avec leur région et leur localisation. ## Ce que CISAPP ne lit jamais CISAPP ne modifie rien dans votre compte et ne lit jamais : - les informations personnelles du profil (contacts, coordonnées) ni les numéros de téléphone ; - les codes de transfert des domaines ; - les accès IPMI, les identifiants d’Object Storage (S3), les fichiers `kubeconfig` ni les accès aux bases de données ; - le contenu des buckets (objets), les secrets et clés de chiffrement ; - les mots de passe de secours, clés SSH et jetons d’accès des instances, serveurs et hébergements. Une seule écriture est demandée : permettre à l’autorisation de **s’annuler elle-même** lorsque vous déconnectez ou renouvelez la connexion. ## Constats de posture Les constats apparaissent dans les constats de sécurité avec la source **Posture OVHcloud**. Une règle ne se déclenche que si l’information est certaine : un état inconnu (produit non accordé, lecture impossible) ne crée ni ne résout de constat. - **Compte** : authentification à deux facteurs non activée ; clé d’API sans date d’expiration, inutilisée depuis plus de 90 jours ou utilisable depuis n’importe quelle adresse IP. - **Domaines** : domaine sans verrou de transfert, sans DNSSEC alors que l’extension le permet, ou proche de l’expiration (moins de 30 jours) sans renouvellement automatique. - **Services** : service proche de l’expiration sans renouvellement automatique, ou impayé. - **Réseau** : groupe de sécurité joignable depuis tout Internet (0.0.0.0/0 ou ::/0) sur l’administration à distance (SSH 22, RDP 3389) ou sur un port de base de données courant (3306, 5432, 6379, 27017…). - **Bases de données managées** : accès public sans restriction d’adresse IP, sans sauvegarde. - **Kubernetes** : API accessible depuis tout Internet, mise à jour disponible non appliquée, journaux d’audit absents. - **Stockage objet** : bucket sans chiffrement au repos ou sans versioning. La détection de buckets publics n’est pas possible avec l’API OVHcloud. - **Serveurs et hébergements** : serveur dédié sans pare-feu matériel OVHcloud activé, hébergement web sans certificat SSL, instance créée à partir d’une image en fin de support. La clé de la connexion elle-même est exclue de ces règles et traitée à part : sans date d’expiration, elle affiche un avertissement sur la fiche ; à moins de 30 jours de l’échéance, un badge **Identifiants bientôt expirés**. ## Renouveler l’autorisation 1. Sur la fiche de la connexion, **Mettre à jour les identifiants** puis **Renouveler l’autorisation**. 2. Vous êtes redirigé vers OVHcloud : connectez-vous au **même compte**, choisissez une nouvelle validité datée et autorisez. 3. De retour dans CISAPP, confirmez le compte. La nouvelle autorisation remplace l’ancienne, qui est révoquée. 4. Si elle appartient à un **autre compte OVHcloud**, elle est refusée et l’autorisation actuelle est conservée. La région ne se modifie pas après la création : un compte OVHcloud est propre à une région. ## Déconnecter et révoquer **Déconnecter** supprime la connexion et l’inventaire cloud associé, et passe ses constats de posture en résolus. CISAPP demande aussi à OVHcloud d’annuler l’autorisation, de façon automatique ; si cette annulation échoue, elle reste valable jusqu’à son expiration. Révoquez-la alors manuellement dans votre compte OVHcloud, dans la rubrique des clés (identifiants) d’API, en supprimant l’autorisation créée pour CISAPP. ## Difficultés courantes | Message | Que faire | | --- | --- | | Le connecteur OVHcloud est indisponible sur cette instance | Le connecteur n’est pas encore configuré sur votre plateforme : contactez le support. | | La validation sur OVHcloud n’est pas terminée, ou l’autorisation a été refusée ou a expiré | Terminez la validation sur la page OVHcloud, ou relancez la connexion pour obtenir une nouvelle autorisation. | | OVHcloud a refusé cette autorisation | La validation a été refusée ou a expiré : relancez la connexion. | | Ce compte OVHcloud est déjà connecté par une autre organisation CISAPP | Un compte OVHcloud n’a qu’une connexion : déconnectez-le d’abord de l’autre organisation CISAPP. | | Cette autorisation appartient à un autre compte OVHcloud | Lors d’un renouvellement, connectez-vous au même compte OVHcloud. | | Produit « non accordé » | L’autorisation ne couvre pas ce produit : renouvelez-la, puis vérifiez que votre compte y a accès. | | Service expiré (erreur 460) dans la synchronisation | Un service (par exemple un domaine) est expiré chez OVHcloud : ce n’est pas un problème d’autorisation, le reste du compte est analysé. Renouvelez ou supprimez ce service. | | Identifiants expirés ou refusés | L’autorisation a expiré ou a été révoquée : renouvelez-la depuis la fiche. | ## Résultat attendu La connexion est active, l’inventaire cloud est alimenté et les constats de posture OVHcloud remontent dans CISAPP. Voir aussi : [Configurer les connecteurs](https://docs.cisapp.eu/organisation/connecteurs). --- Source: https://docs.cisapp.eu/organisation/connecteurs/scaleway # Connecter une organisation Scaleway Créer une clé API Scaleway en lecture seule pour inventorier les ressources cloud et remonter les constats de posture de sécurité. > **Accès :** administrateur d’entreprise. Fonctionnalité en **bêta** ; le connecteur doit être activé sur votre plateforme. ## Prérequis - Être administrateur de l’entreprise dans CISAPP. - Pouvoir créer une application, une politique et une clé API dans l’**IAM** de l’organisation Scaleway visée (propriétaire ou droits équivalents). - Une organisation Scaleway ne peut être connectée qu’à **une seule** organisation CISAPP. ## Créer l’accès dans Scaleway CISAPP n’utilise jamais votre compte personnel : créez une **application IAM** dédiée, en lecture seule. 1. Dans la console Scaleway, **IAM → Applications** : créez une application (par exemple `cisapp-readonly`). 2. **IAM → Politiques** : créez une politique pour cette application avec exactement les jeux de permissions ci-dessous. 3. **IAM → Clés API** : créez une clé API pour l’application, avec une **date d’expiration** (recommandé). Notez la **clé d’accès** et la **clé secrète**. ### Jeux de permissions à accorder | Portée | Jeux de permissions | | --- | --- | | Projets à analyser | `InstancesReadOnly`, `ObjectStorageBucketsRead`, `RelationalDatabasesReadOnly`, `LoadBalancersReadOnly`, `VPCReadOnly`, `KubernetesReadOnly`, `FunctionsReadOnly`, `ContainersReadOnly`, `ContainerRegistryReadOnly`, `BlockStorageReadOnly` | | Organisation | `IAMReadOnly`, `ProjectReadOnly` | Si un produit n’est pas accordé, CISAPP l’indique comme « non accordé » dans la synchronisation et analyse le reste. Accordez les jeux de permissions sur **chaque projet** de l’organisation, ou restreignez la connexion aux projets accordés avec le champ **Projets** : sinon, les projets sans ces permissions sont signalés comme non collectés à chaque synchronisation. **N’accordez jamais** `SecretManagerSecretAccess`, un jeu `*FullAccess` ou `*Manager`, `BillingReadOnly` ni `AllProductsReadOnly` : CISAPP n’en a pas besoin. > La clé secrète n’est affichée qu’**une seule fois** par Scaleway. CISAPP la stocke chiffrée et ne l’affiche plus jamais. L’assistant de CISAPP propose aussi un guide repliable avec un exemple en ligne de commande (`scw iam …`). C’est un exemple à adapter : vérifiez les arguments avec `scw iam --help` avant de l’exécuter. ## Connecter dans CISAPP 1. Ouvrez **Mon entreprise → Connecteurs**, puis **Connecter** sur la carte Scaleway. 2. Collez la **clé d’accès** (elle commence par `SCW`) et la **clé secrète**. 3. Indiquez éventuellement les **projets** (identifiants UUID) et les **régions** à analyser. Vide : tous les projets accessibles à la clé et toutes les régions. 4. **Vérifier la clé** : CISAPP teste l’accès auprès de Scaleway avant d’enregistrer quoi que ce soit. 5. Contrôlez l’**organisation Scaleway** affichée, puis **Connecter**. La première synchronisation démarre. Si vous fermez l’assistant avant la confirmation, la connexion reste **En attente** : **Confirmer le compte** depuis sa fiche. ## Ce que CISAPP collecte CISAPP lit uniquement des **configurations**, jamais de contenu : - instances et leurs groupes de sécurité, volumes ; - buckets de stockage objet (configuration, pas les objets), bases de données managées ; - load balancers, clusters Kapsule, Functions et Containers, registres de conteneurs, réseaux privés ; - utilisateurs et clés API IAM (statut MFA, dates d’expiration). CISAPP ne lit jamais les secrets (Secret Manager), les variables d’environnement, les données utilisateur des instances, ni le fichier d’accès `kubeconfig`, et ne modifie rien dans votre organisation. Les ressources sont visibles dans le menu **Sécurité opérationnelle → Patrimoine cloud** et sa **Cartographie**. ## Constats de posture Les constats apparaissent dans les constats de sécurité avec la source **Posture Scaleway**. Une règle ne se déclenche que si l’information est certaine : un état inconnu (droit manquant, produit non accordé) ne crée ni ne résout de constat. - **Réseau** : groupe de sécurité joignable depuis tout Internet (0.0.0.0/0 ou ::/0) sur l’administration à distance (SSH 22, RDP 3389) ou sur un port de base de données courant (3306, 5432, 6379, 27017…) ; politique d’entrée par défaut sur « accepter » pour un groupe attaché à un serveur ; serveur avec IP publique derrière un groupe permissif. - **Bases de données** : accès public dont l’ACL autorise 0.0.0.0/0, chiffrement au repos désactivé, sauvegardes automatiques désactivées ou aucune sauvegarde prête (une base neuve est signalée jusqu’à sa première sauvegarde), pas de haute disponibilité. - **Stockage objet** : bucket dont l’ACL ouvre l’accès à tous (`AllUsers`) ou à tout utilisateur authentifié, versioning désactivé ou suspendu. - **Load balancers** : frontend HTTP (port 80) sans certificat, niveau TLS « old » sur un load balancer qui termine du TLS. - **Kubernetes** : cluster à mettre à jour sans mise à jour automatique, API ouverte (ACL du cluster qui autorise explicitement 0.0.0.0/0 ou ::/0 ; une ACL vide n’est pas signalée, et un réseau privé ne rend pas l’API privée). - **Functions, Containers et registres** : fonction ou conteneur public (invocable sans jeton), registre de conteneurs public. - **IAM** : utilisateur sans authentification multifacteur, clé API sans date d’expiration ou créée il y a plus de 365 jours. La clé de la connexion elle-même est exclue de ces règles et traitée à part : sans date d’expiration, elle affiche un avertissement sur la fiche ; à moins de 30 jours de l’échéance, un badge **Identifiants bientôt expirés**. ## Remplacer la clé (rotation) 1. Créez une nouvelle clé API pour la même application, avec une date d’expiration. 2. Sur la fiche de la connexion, **Mettre à jour les identifiants** et collez la nouvelle clé d’accès et la clé secrète. 3. La nouvelle clé doit appartenir à la **même organisation Scaleway** ; sinon elle est refusée et la clé actuelle est conservée. 4. Révoquez ensuite l’ancienne clé dans la console Scaleway. Les projets et régions se modifient depuis la fiche (**Modifier**), sans ressaisir la clé. Retirer un projet ou une région de la connexion retire ses ressources de l’inventaire à la synchronisation suivante. ## Difficultés courantes | Message | Que faire | | --- | --- | | Le connecteur Scaleway est indisponible sur cette instance | Le connecteur n’est pas encore configuré sur votre plateforme : contactez le support. | | Scaleway a refusé cette clé API | Vérifiez que la clé n’est ni révoquée ni expirée et que la politique accorde au minimum `IAMReadOnly` et `ProjectReadOnly` à l’organisation, en plus des jeux de lecture par produit. | | Cette organisation Scaleway est déjà connectée par une autre organisation CISAPP | Une organisation Scaleway n’a qu’une connexion : déconnectez-la d’abord de l’autre organisation CISAPP. | | Cette clé API appartient à une autre organisation Scaleway | Lors d’une rotation, utilisez une clé de la même organisation Scaleway. | | Identifiants expirés ou refusés | Créez une nouvelle clé et faites la rotation depuis la fiche. | | Produit « non accordé » | Ajoutez le jeu de permissions correspondant à la politique de l’application. | ## Déconnecter **Déconnecter** supprime la connexion et l’inventaire cloud associé, et passe ses constats de posture en résolus. Révoquez ensuite la clé API (et l’application si elle n’a plus d’usage) dans **IAM** sur la console Scaleway. ## Résultat attendu La connexion est active, l’inventaire cloud est alimenté et les constats de posture Scaleway remontent dans CISAPP. Voir aussi : [Configurer les connecteurs](https://docs.cisapp.eu/organisation/connecteurs). --- Source: https://docs.cisapp.eu/organisation/offres-facturation # Comprendre l’offre, les quotas et la facturation Lire les capacités de son offre et retrouver les documents de facturation. > **Accès :** administrateur d’entreprise. Selon les modules activés et votre offre. ## Consulter l’offre Un administrateur ouvre **Mon entreprise → Plan et abonnement**. Relisez l’offre en cours, les capacités affichées et les options de changement réellement proposées. Les fonctions accessibles dépendent à la fois de l’offre et de leur activation. ## Lire les quotas Les écrans concernés affichent les limites : fournisseurs créés, activités, projets, stockage ou actifs surveillés. L’interface indique les quantités pertinentes pour votre offre ; ne transposez pas les chiffres d’une capture de documentation à votre entreprise. Un fournisseur inactif reste enregistré et continue de compter parmi les fournisseurs créés. La suppression logique de cette relation ne libère donc pas nécessairement une place. ## Facturation Ouvrez **Facturation** pour consulter les informations et documents proposés à votre compte. Vérifiez la période et l’entreprise avant de télécharger un document. L’entrée **Administration → Plan et facturation** peut aussi orienter vers la gestion correspondante. ## Feature flags Un administrateur peut consulter les fonctionnalités de l’organisation dans **Feature flags**. Une activation ou un ajustement de cycle de vie ne rend pas accessible une fonction exclue de l’offre. Certaines pages restent en construction même si leur entrée est visible. ## Résultat attendu Vous savez si le blocage vient d’une limite, d’un droit ou de la disponibilité de la fonction. Pour la grille de lecture complète, consultez [Disponibilité des fonctions](https://docs.cisapp.eu/aide/disponibilite). --- Source: https://docs.cisapp.eu/parcours/integrer-fournisseur # Intégrer un nouveau fournisseur Un parcours de l’identification du tiers jusqu’à sa première évaluation. > **Accès :** membre. Selon les modules activés et votre offre. ## Comment intégrer et évaluer un fournisseur ? Dans CISAPP, l’intégration d’un fournisseur consiste à retrouver ou créer sa fiche, qualifier sa criticité, relier ses activités et préparer une évaluation adaptée. La revue des réponses et des preuves permet ensuite de décider du suivi. Ce parcours de gestion des risques tiers évite de séparer l’identification du fournisseur de son évaluation. ## Objectif et préparation Obtenir une fiche fiable, qualifier son importance métier et préparer une première évaluation. Préparez le site web, le contact du fournisseur et les activités qu’il soutient. Vous avez besoin des droits de création de fournisseur et d’évaluation, et d’un quota disponible. ## 1. Identifier le tiers Dans **Registres → Fournisseurs**, recherchez d’abord l’entreprise. Si elle existe déjà, ouvrez sa fiche et contrôlez vos accès. Sinon, suivez [Créer un fournisseur](https://docs.cisapp.eu/registres/creer-fournisseur). ## 2. Qualifier la relation Renseignez les coordonnées, choisissez une criticité métier et ajoutez les contacts utiles. Déterminez qui répondra au questionnaire et qui suivra la relation dans votre entreprise. ![Qualification du fournisseur](https://docs.cisapp.eu/images/fr/vendor-criticality.webp) *La criticité permet de proportionner l’effort de revue à l’importance métier. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/vendor-criticality.webp)* ## 3. Rattacher les activités Ouvrez les [activités métier](https://docs.cisapp.eu/registres/activites) concernées et associez le fournisseur. Vérifiez ensuite la [carte de dépendances](https://docs.cisapp.eu/pilotage/dependances). ## 4. Lancer la première évaluation Choisissez un questionnaire adapté au besoin. Suivez [Évaluer un fournisseur](https://docs.cisapp.eu/evaluations/fournisseur), relisez le périmètre et vérifiez les accès du répondant. ## 5. Prévoir le suivi Notez les points à clarifier et organisez les actions après réception des réponses. Créez un risque lorsque le scénario le justifie et un plan d’action si plusieurs actions sont nécessaires. ## Critères de réussite La fiche est identifiable, la criticité est renseignée, les dépendances utiles sont liées et l’évaluation est accessible aux personnes concernées. Aucun doublon n’a été créé pour contourner un problème de droits. ## Questions fréquentes ### Faut-il créer une nouvelle fiche pour chaque évaluation ? Non. Recherchez d’abord le fournisseur et utilisez sa fiche existante si elle correspond à l’entreprise évaluée. Une nouvelle évaluation ne justifie pas un doublon ; contrôlez les droits si la fiche n’est pas accessible. ### Quelles informations préparer avant l’intégration ? Préparez l’identité et le site web du fournisseur, la prestation, les activités soutenues et les contacts utiles. La criticité métier et les attentes du questionnaire doivent correspondre à cette relation, pas seulement au nom de l’entreprise. ### L’évaluation donne-t-elle automatiquement une décision de risque ? La décision nécessite une revue des réponses, de leurs preuves et du contexte métier. Consultez les [résultats de l’évaluation](https://docs.cisapp.eu/evaluations/resultats), puis documentez les risques et les actions qui nécessitent un suivi. Retrouvez les autres [questions sur les fournisseurs, les risques et la conformité](https://docs.cisapp.eu/aide/questions-frequentes). --- Source: https://docs.cisapp.eu/parcours/lancer-evaluation # Lancer une évaluation de bout en bout Préparer le périmètre, créer l’évaluation et vérifier l’accès du répondant. > **Accès :** création d’évaluation. Selon les modules activés et votre offre. ## Comment lancer une évaluation fournisseur dans CISAPP ? Pour lancer une évaluation, choisissez le type adapté, le sujet et les questionnaires, puis définissez le contexte et les accès avant de valider. Vérifiez ensuite que le répondant peut ouvrir le questionnaire. Pour un fournisseur, ce contrôle évite de confondre la création de l’évaluation avec le démarrage effectif de la collecte. ## Avant de commencer Définissez la décision que l’évaluation doit éclairer. Préparez le sujet, le questionnaire et les personnes qui participeront. Vérifiez votre droit de création d’évaluation. ## Parcours 1. Choisissez le [type d’évaluation](https://docs.cisapp.eu/evaluations/types) correspondant au sujet. 2. Ouvrez sa liste dans **Évaluations**, puis démarrez la création. 3. Sélectionnez le périmètre ou le sujet demandé. 4. Choisissez les questionnaires adaptés ; vérifiez leur contenu plutôt que leur seul titre. 5. Complétez le nom, le contexte et les accès aux étapes proposées. 6. Relisez le récapitulatif puis validez. 7. Ouvrez l’évaluation créée et vérifiez la présence des questionnaires de réponse. 8. Vérifiez l’accès du répondant et l’état de son invitation avant de lui demander de commencer. ![Finalisation de l’évaluation](https://docs.cisapp.eu/images/fr/evaluation-finalize.webp) *Le contrôle final porte sur le sujet, les questionnaires et les accès. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/evaluation-finalize.webp)* ## Pendant et après la réponse Suivez la progression dans l’évaluation. Si une réponse manque, clarifiez l’attente avec le répondant. À la réception, [relisez les résultats](https://docs.cisapp.eu/evaluations/resultats) et les preuves avant de décider des suites. ## Critères de réussite Le bon sujet est évalué, le questionnaire est accessible au bon répondant et le responsable peut suivre l’avancement. Une évaluation créée sans accès répondant vérifié ne suffit pas à démarrer la collecte. ## Si le parcours bloque Un sujet ou questionnaire absent peut relever des droits, de sa finalité ou de l’offre. Corrigez ce point avant de recréer l’évaluation. ## Résultat attendu L’évaluation et les questionnaires attendus sont accessibles aux bonnes personnes. Le suivi distingue les réponses manquantes des évaluations terminées. ## Questions fréquentes ### Quelle différence entre questionnaire et évaluation ? Un questionnaire contient les questions. Une évaluation les associe à un sujet, à un périmètre et aux personnes concernées. Choisissez le [type d’évaluation](https://docs.cisapp.eu/evaluations/types) avant de sélectionner les questionnaires adaptés. ### Pourquoi mon questionnaire n’apparaît-il pas ? Vérifiez sa destination, sa finalité et vos droits de consultation dans la [bibliothèque](https://docs.cisapp.eu/evaluations/questionnaires). Une absence dans le sélecteur ne signifie pas nécessairement que le questionnaire a été supprimé. ### Comment vérifier que la collecte a commencé ? Ouvrez l’évaluation créée, contrôlez l’accès du répondant et suivez l’avancement des réponses. La présence d’une évaluation dans la liste ne prouve pas qu’un répondant y a accès ou qu’il a commencé à la compléter. Retrouvez les autres [questions sur les fournisseurs, les risques et la conformité](https://docs.cisapp.eu/aide/questions-frequentes). --- Source: https://docs.cisapp.eu/parcours/repondre-questionnaire # Répondre à un questionnaire reçu Un parcours pour les collaborateurs et répondants externes invités à compléter une évaluation. > **Accès :** répondant. Selon les modules activés et votre offre. ## Comment répondre à un questionnaire de sécurité ? Pour répondre à un questionnaire reçu dans CISAPP, utilisez le compte associé à l’invitation, vérifiez le sujet et complétez les réponses avec les preuves demandées. Contrôlez l’enregistrement de vos modifications et le statut après soumission lorsque cette action est disponible. La sauvegarde et la finalisation sont deux étapes distinctes. ## Préparation Utilisez l’adresse email à laquelle l’invitation a été envoyée. Préparez les réponses et les documents utiles. Si vous représentez un fournisseur, vérifiez l’entreprise et le périmètre de la demande. ## Parcours 1. Ouvrez le lien reçu et [connectez-vous ou activez votre compte](https://docs.cisapp.eu/demarrer/connexion). 2. Vérifiez le titre du questionnaire, le sujet et l’organisation demandeuse affichés. 3. Parcourez les sections pour comprendre les informations attendues. 4. Répondez aux questions ; complétez les commentaires et les preuves proposées. 5. Vérifiez la progression et l’enregistrement après vos modifications. 6. Relisez les réponses obligatoires et les documents joints. 7. Soumettez le questionnaire lorsque l’action est disponible, puis vérifiez le statut affiché. ![Navigation dans le questionnaire de réponse](https://docs.cisapp.eu/images/fr/assessment.webp) *Le sommaire aide à vérifier les sections avant la soumission. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/assessment.webp)* ## Si vous n’avez pas toutes les informations Rapprochez-vous du responsable de l’évaluation. Distinguez une réponse en attente d’une réponse négative ; n’inventez pas une preuve pour terminer le formulaire. ## Si l’accès ne fonctionne pas Vérifiez l’adresse du compte, l’activation et l’invitation. Retrouvez vos évaluations et les questions qui vous sont assignées dans **Évaluations → À traiter**, ou utilisez le lien reçu. Demandez au responsable de contrôler les droits si le questionnaire ne s’ouvre pas. ## Critères de réussite Les réponses attendues sont enregistrées et le statut confirme la soumission lorsque requise. Le responsable peut consulter les informations et leurs preuves. ## Résultat attendu Vos réponses sont enregistrées et l’état de la demande a été vérifié avant d’informer l’émetteur de son avancement. ## Questions fréquentes ### Puis-je préparer mes réponses avant de soumettre ? Complétez les réponses et vérifiez leur sauvegarde au fil de la saisie. Relisez les informations et les pièces jointes avant d’utiliser l’action de soumission lorsqu’elle est proposée. Ne déduisez pas la finalisation du seul pourcentage de progression. ### Que faire si je ne connais pas une réponse ? Demandez les informations au responsable concerné et signalez l’élément en attente au responsable de l’évaluation. Une absence d’information ne doit pas devenir une réponse négative ou une preuve inventée. ### Pourquoi mon lien d’invitation ne fonctionne-t-il plus ? Vérifiez l’adresse du compte, son activation et la validité de l’invitation. Si le lien a expiré ou a été révoqué, demandez un nouvel envoi à la personne responsable. Consultez le [dépannage](https://docs.cisapp.eu/aide/depannage) avant de créer un autre compte. Retrouvez les autres [questions sur les fournisseurs, les risques et la conformité](https://docs.cisapp.eu/aide/questions-frequentes). --- Source: https://docs.cisapp.eu/parcours/traiter-risque # Passer d’un risque à un plan de traitement Documenter le scénario, décider du traitement et vérifier les mesures réalisées. > **Accès :** membre. Selon les modules activés et votre offre. ## Comment créer un plan de traitement des risques ? Un plan de traitement relie un scénario de risque à une décision, des mesures, des responsables et des échéances. Dans CISAPP, documentez le risque et son évaluation, organisez les actions, puis vérifiez les mesures avant de réévaluer le niveau résiduel. La création de tâches est une étape du suivi, pas une preuve de réduction du risque. ## Préparation Partez d’un fait ou d’un scénario précis, par exemple l’indisponibilité d’un fournisseur qui soutient une activité critique. Préparez le contexte, le responsable et les informations d’évaluation. ## Parcours 1. Vérifiez si le risque existe déjà dans **Registres → Risques**. 2. Sinon, [créez le risque](https://docs.cisapp.eu/risques/registre) avec son scénario et les entités concernées. 3. Évaluez la vraisemblance et l’impact avec la méthode de l’entreprise. 4. Décidez de la stratégie de traitement et documentez sa justification. 5. Ajoutez les mesures, responsables et échéances utiles. 6. Utilisez un [plan d’action](https://docs.cisapp.eu/collaboration/projets) si le travail comporte plusieurs actions. 7. Faites évoluer les mesures selon leur réalisation et vérifiez les preuves. 8. Réévaluez le niveau résiduel, puis utilisez l’action de cycle de vie adaptée. ![Registre des risques à revoir](https://docs.cisapp.eu/images/fr/risks.webp) *Le registre permet de retrouver les risques avant de préparer les décisions. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/risks.webp)* ## Si un écart doit être toléré temporairement Un administrateur peut préparer une [dérogation](https://docs.cisapp.eu/risques/derogations) avec justification, mesures compensatoires et échéance. La dérogation ne remplace pas le traitement du risque. ## Critères de réussite Le scénario, la décision, les actions et le niveau résiduel sont relisibles. Le risque n’est pas clôturé uniquement parce qu’une action a été créée : la réalisation et la vérification des mesures doivent appuyer la décision. ## Résultat attendu Le risque dispose d’un traitement, de responsables et d’un suivi dont la prochaine revue peut vérifier l’avancement. ## Questions fréquentes ### Quelle différence entre un plan de traitement et un plan d’action ? Le traitement explique comment le risque est pris en charge et comment son niveau sera revu. Un [plan d’action](https://docs.cisapp.eu/collaboration/projets) organise les actions et leur réalisation. Reliez les actions au risque pour conserver le contexte de la décision. ### Quand faut-il réévaluer le risque résiduel ? Réévaluez-le lorsque vous disposez d’informations sur la réalisation et l’efficacité des mesures. Appliquez la méthode de votre entreprise et conservez les éléments qui justifient le nouveau niveau. Une échéance passée ne démontre pas qu’une mesure fonctionne. ### Une dérogation remplace-t-elle le plan de traitement ? Non. Une [dérogation](https://docs.cisapp.eu/risques/derogations) encadre un écart temporaire avec justification, conditions et échéance. Le traitement et le suivi des mesures restent nécessaires ; la préparation d’une dérogation exige un accès administrateur d’entreprise. Retrouvez les autres [questions sur les fournisseurs, les risques et la conformité](https://docs.cisapp.eu/aide/questions-frequentes). --- Source: https://docs.cisapp.eu/parcours/comite-risque # Préparer un comité risque tiers Rassembler les indicateurs, prioriser les sujets et tracer les décisions. > **Accès :** membre. Selon les modules activés et votre offre. ## Comment préparer un comité des risques fournisseurs ? Pour préparer un comité des risques fournisseurs, rassemblez les tiers critiques, les évaluations récentes, les risques à décider et les actions en cours. Précisez la période, le périmètre et les informations manquantes. Dans CISAPP, partez des indicateurs, puis ouvrez les fiches détaillées pour préparer des décisions traçables. ## Préparation Définissez la période de revue et le périmètre des fournisseurs concernés. Vérifiez que vos registres, criticités et relations avec les activités sont à jour. ## Préparer les éléments 1. Ouvrez **Accueil** et actualisez les indicateurs. 2. Depuis le registre fournisseurs, filtrez les tiers critiques ou à évaluer. 3. Ouvrez les évaluations récentes et identifiez les réponses ou preuves manquantes. 4. Filtrez les risques par criticité et statut. 5. Consultez les dérogations expirant sous 30 jours. 6. Examinez la carte des dépendances et la concentration pour les activités importantes. 7. Préparez les exports disponibles avec leur date et leur périmètre. ![Indicateurs de pilotage pour préparer la revue](https://docs.cisapp.eu/images/fr/dashboard.webp) *Les indicateurs orientent la revue ; les décisions doivent s’appuyer sur les fiches détaillées. · [Agrandir la capture](https://docs.cisapp.eu/images/fr/dashboard.webp)* ## Pendant le comité Pour chaque sujet, vérifiez le contexte, la décision attendue, le responsable et l’échéance. Distinguez les faits établis des données manquantes. Consignez les actions dans les risques, mesures ou plans d’action concernés. ## Après le comité Mettez à jour les décisions et les échéances. Affectez les actions et vérifiez qu’elles sont visibles des personnes concernées. Conservez les documents utiles dans l’espace Fichiers avec les droits appropriés. ## Résultat attendu Chaque décision est rattachée à un sujet et à un suivi. La revue suivante peut vérifier ce qui a changé. Ce parcours utilise les vues actuelles ; il ne nécessite pas de tableau de bord personnalisable. La consultation des dérogations nécessite un accès administrateur d’entreprise. Si vous ne le possédez pas, faites préparer cet élément par une personne autorisée. ## Questions fréquentes ### Quels éléments faut-il présenter au comité ? Présentez les sujets nécessitant une décision, leur contexte, les preuves disponibles et les propositions de suivi. Les indicateurs orientent la revue ; les fiches fournisseurs, les évaluations et les risques permettent d’expliquer chaque situation. ### Peut-on préparer le comité sans tableau de bord personnalisable ? Oui. Ce parcours utilise le [tableau de bord actuel](https://docs.cisapp.eu/pilotage/tableau-bord), les registres et les vues de dépendances. Il ne repose pas sur un éditeur de widgets ni sur une fonctionnalité en construction. ### Comment suivre les décisions après le comité ? Reportez les décisions sur les risques, mesures ou plans d’action concernés avec un responsable et une échéance. Contrôlez les droits des personnes chargées des actions et conservez les documents utiles. La revue suivante doit pouvoir retrouver les décisions et les changements. Retrouvez les autres [questions sur les fournisseurs, les risques et la conformité](https://docs.cisapp.eu/aide/questions-frequentes). --- Source: https://docs.cisapp.eu/aide/depannage # Résoudre un problème Vérifier la connexion, les droits, les filtres, les imports et les invitations. > **Accès :** membre. ## Avant de commencer Notez l’action, le message affiché, la date et le module concerné. Vérifiez que vous êtes dans la bonne entreprise et que votre session est toujours active. ## Connexion impossible 1. Vérifiez l’adresse de connexion et l’adresse e-mail utilisée pour l’invitation. 2. Utilisez **Mot de passe oublié** si nécessaire ; ouvrez le lien le plus récent. 3. Contrôlez les courriers indésirables et la date de validité du lien. 4. Si une authentification supplémentaire est demandée, utilisez la méthode configurée pour votre compte. Consultez [Connexion et compte](https://docs.cisapp.eu/demarrer/connexion) pour les états d’activation et d’autorisation. ## Fonction ou objet introuvable | Symptôme | Vérification | |---|---| | Menu absent | Disponibilité dans l’offre, activation du module et rôle du compte. | | Accès refusé | Droit au niveau de l’entreprise, puis accès à la ressource ou à son équipe. | | Liste vide | Recherche, filtres, statut et entreprise courante. | | Bouton désactivé | Champs obligatoires et étapes précédentes. | | Impossible de créer un fournisseur | Quota de l’offre ; un fournisseur inactif peut encore être compté. | | Page « En construction » | Fonction non disponible dans cette version ; voir les alternatives dans [Disponibilité](https://docs.cisapp.eu/aide/disponibilite). | Demandez à un administrateur de vérifier les [droits et partages](https://docs.cisapp.eu/organisation/droits). Une URL directe ne donne pas un droit supplémentaire. ## Questionnaire, import ou invitation - Questionnaire absent du sélecteur : vérifiez sa destination, son type et les droits de consultation. - Réponse non enregistrée : attendez la confirmation de sauvegarde ; distinguez sauvegarde et finalisation. - Import refusé : utilisez le modèle proposé, vérifiez colonnes et valeurs et relisez le compte rendu avant de recommencer. - Invitation expirée ou révoquée : demandez un nouvel envoi depuis la ressource concernée. - Pièce jointe inaccessible : vérifiez le partage et le niveau de diffusion du fichier. ## Préparer une demande d’aide Transmettez le module, l’heure, les étapes reproduisant le problème, le message exact et une capture masquant les informations sensibles. Ne transmettez pas votre mot de passe, un code d’authentification ou un lien privé d’invitation. Le résultat attendu est soit une action qui fonctionne après correction, soit un signalement reproductible auprès de votre administrateur ou de votre interlocuteur CISAPP. --- Source: https://docs.cisapp.eu/aide/disponibilite # Comprendre la disponibilité des fonctions Distinguer offre, rôles, activation, bêta et écrans en construction. > **Accès :** membre. ## Pourquoi votre écran peut être différent Les menus dépendent de l’offre de votre entreprise, des fonctions activées, de leur état et de vos droits. La documentation décrit le produit vérifié à la date indiquée en haut de chaque article. Les captures utilisent un espace de démonstration avec des données fictives. Votre entreprise peut afficher moins de modules, d’autres noms ou davantage de données. ## Vérifier un accès 1. Vérifiez l’entreprise courante. 2. Demandez à un administrateur de contrôler **Offres**, les quotas et les modules activés. 3. Vérifiez votre rôle et le partage de la ressource. 4. Consultez les badges affichés par l’application : **Bêta** signale une fonctionnalité susceptible d’évoluer. Il n’existe pas de liste universelle d’options garantie pour chaque offre dans ce guide : l’état de votre abonnement et des activations de votre entreprise fait foi. ## Écrans actuellement en construction | Espace | Limite et alternative | |---|---| | Partenaires & autres | Utilisez les registres Fournisseurs, Activités, Applications et Projets. | | Évaluations à traiter | Ouvrez l’évaluation partagée ou le lien reçu dans l’invitation. | | Campagnes | Utilisez les évaluations individuelles ; aucun parcours opérationnel de campagne n’est disponible sur ces écrans. | | NIS2, DORA, AI Act | Les pages dédiées ne constituent pas un suivi opérationnel ; consultez les référentiels réellement proposés dans Conformité. | | Mon exposition, Certifications, Mes clients, Partages | Ces pages ne constituent pas encore un portail de partage de posture. | | Administration : utilisateurs et rôles, sécurité, workflows | Utilisez les pages opérationnelles de Mon entreprise pour les membres, droits et paramètres de sécurité. | ## Tableaux de bord Les tableaux de bord sont personnalisables : modèles, widgets, requêtes et formules. Leur création et leur modification dépendent de vos droits. Voir [Tableaux de bord](https://docs.cisapp.eu/pilotage/tableau-bord) et [Configurer un widget](https://docs.cisapp.eu/pilotage/widgets). ## Résultat attendu Vous pouvez expliquer un écart entre ce guide et votre espace, puis identifier l’administrateur ou le module approprié. Une fonctionnalité masquée n’est pas nécessairement en panne. --- Source: https://docs.cisapp.eu/aide/glossaire # Glossaire Les termes utilisés dans les registres, évaluations et plans de traitement. > **Accès :** membre. | Terme | Définition | |---|---| | Activité | Processus métier supporté par des ressources et des fournisseurs. | | Criticité | Importance d’un sujet pour l’entreprise et impact potentiel de sa défaillance. | | Fournisseur | Tiers suivi dans le registre pour ses prestations et ses dépendances. | | Évaluation | Démarche qui associe un sujet, un périmètre et des questionnaires. | | Questionnaire | Ensemble structuré de questions à renseigner ou à réutiliser dans une évaluation. | | Campagne | Regroupement envisagé d’évaluations ; les écrans dédiés sont en construction dans cette version. | | Référentiel | Ensemble d’exigences servant de base au suivi de conformité. | | Exigence | Attendu auquel une entreprise doit répondre dans son périmètre applicable. | | Mesure | Action ou contrôle permettant de répondre à une exigence ou de traiter un risque. | | Preuve | Document ou information démontrant la réalisation ou l’efficacité d’une mesure. | | Risque initial | Niveau de risque évalué avant prise en compte du traitement prévu. | | Risque résiduel | Niveau restant après prise en compte des mesures de traitement. | | Incident | Événement à qualifier, suivre et clôturer selon ses impacts. | | Crise | Situation nécessitant une coordination et des décisions exceptionnelles. | | Dérogation | Acceptation temporaire d’un écart, assortie de conditions et d’une échéance. | | Dépendance | Relation entre une activité et les fournisseurs ou ressources qui la supportent. | | Concentration | Importance d’une dépendance commune à plusieurs activités ou fournisseurs. | | ASM | Gestion de la surface d’attaque : périmètres, actifs exposés et vulnérabilités. | | Trust Center | Espace de présentation et de partage d’informations de confiance, selon les accès configurés. | | TLP | Niveau de diffusion associé à un fichier ; il complète les droits d’accès. | | Rôle | Autorisation attribuée à un membre ou à un utilisateur d’une ressource. | | Équipe | Groupe de membres auquel des ressources peuvent être partagées. | Consultez [Droits et partage](https://docs.cisapp.eu/organisation/droits) et [Disponibilité](https://docs.cisapp.eu/aide/disponibilite) pour distinguer accès, offre et activation. --- Source: https://docs.cisapp.eu/aide/utiliser-avec-ia # Utiliser la documentation avec une IA Copier un article Markdown ou transmettre les index de documentation à un assistant. > **Accès :** membre. ## Lire ou copier un article Chaque article existe en HTML et en Markdown, générés depuis la même source. 1. Ouvrez l’article utile. 2. Cliquez sur **Copier en Markdown** pour copier le contenu avec des liens et images absolus. 3. Ou cliquez sur **Voir le Markdown** pour ouvrir le fichier texte et l’enregistrer. 4. Transmettez ce texte à votre assistant, accompagné de votre question. Pour un article, ajoutez `.md` à son URL. Pour l’accueil, utilisez `/index.md` ou `/en/index.md`. ## Index et exports | Ressource | Usage | |---|---| | [Index général](https://docs.cisapp.eu/llms.txt) | Choisir la langue et le corpus. | | [Index français](https://docs.cisapp.eu/fr/llms.txt) | Trouver les articles français et leurs descriptions. | | [Documentation française complète](https://docs.cisapp.eu/fr/llms-full.txt) | Importer le corpus français dans un outil. | | [Index anglais](https://docs.cisapp.eu/en/llms.txt) | Trouver les articles anglais. | | [Documentation anglaise complète](https://docs.cisapp.eu/en/llms-full.txt) | Importer le corpus anglais. | | [Documentation complète FR/EN](https://docs.cisapp.eu/llms-full.txt) | Importer les deux langues ensemble. | Un assistant capable de consulter le Web peut utiliser l’index pour choisir les articles pertinents. Si votre outil ne récupère pas les liens, téléchargez le fichier et joignez-le vous-même. Le support de `llms.txt` dépend de l’outil utilisé. ## Exemple de demande > À partir de la documentation CISAPP jointe, explique comment intégrer un fournisseur, puis lancer sa première évaluation. Cite les articles utilisés, précise les droits nécessaires et signale les fonctions indisponibles. Les exports portent sur le fonctionnement du produit. Ils ne contiennent pas les données de votre entreprise et ne donnent aucun accès à votre compte. Vérifiez les propositions de l’assistant dans votre espace, notamment les droits, les quotas et les fonctions en bêta. ## En cas de difficulté Si la copie échoue, ouvrez **Voir le Markdown** et copiez le texte manuellement. Si un assistant ne peut pas lire une URL, joignez le fichier. Pour une réponse imprécise, limitez votre demande à un parcours et demandez des références aux articles. --- Source: https://docs.cisapp.eu/aide/questions-frequentes # Questions fréquentes : fournisseurs, risques et conformité CISAPP aide à organiser les fournisseurs, leurs évaluations, les risques et les informations de conformité. Retrouvez ici des réponses courtes aux questions de gestion des risques tiers, puis les procédures pour les mettre en pratique. Les modules accessibles dépendent de votre offre et de vos droits. ## Comment évaluer la sécurité d’un fournisseur ? Définissez la prestation et les activités concernées, qualifiez l’importance du fournisseur, puis choisissez un questionnaire adapté aux informations à vérifier. Analysez les réponses et les preuves avant de décider des actions de suivi. Dans CISAPP, le parcours associe la fiche fournisseur à une évaluation ; un score seul ne remplace pas cette revue. Suivez [Intégrer un fournisseur](https://docs.cisapp.eu/parcours/integrer-fournisseur), puis [Lancer une évaluation](https://docs.cisapp.eu/parcours/lancer-evaluation). ## Quelle différence entre criticité fournisseur et risque cyber ? La criticité décrit l’importance du fournisseur pour votre activité et les conséquences de sa défaillance. Le risque porte sur un scénario, sa vraisemblance et son impact. Un fournisseur critique mérite une attention particulière, mais sa criticité ne démontre pas à elle seule une faiblesse de sécurité. Consultez [Créer et qualifier un fournisseur](https://docs.cisapp.eu/registres/creer-fournisseur) et le [registre des risques](https://docs.cisapp.eu/risques/registre). ## Quels fournisseurs faut-il évaluer en priorité ? Commencez par les fournisseurs qui soutiennent des activités importantes, présentent des dépendances fortes ou nécessitent une décision prochaine. Vérifiez les évaluations déjà réalisées et les informations manquantes pour éviter les demandes en double. La priorité dépend de votre contexte métier et de votre méthode de risque. Utilisez les [cartes de dépendances](https://docs.cisapp.eu/pilotage/dependances) et le parcours [Préparer un comité risque tiers](https://docs.cisapp.eu/parcours/comite-risque). ## Comment choisir un questionnaire d’évaluation fournisseur ? Choisissez un questionnaire dont la destination et les questions correspondent au sujet évalué. Relisez les sections, les réponses attendues et les preuves utiles avant de le sélectionner. Dans CISAPP, un questionnaire peut être absent du sélecteur en raison de sa finalité ou de vos droits. Consultez la [bibliothèque de questionnaires](https://docs.cisapp.eu/evaluations/questionnaires) et les [types d’évaluation](https://docs.cisapp.eu/evaluations/types). ## Comment répondre à un questionnaire de sécurité reçu ? Ouvrez l’invitation avec le compte associé à l’adresse destinataire, vérifiez le sujet et renseignez les réponses avec leurs preuves. Contrôlez l’enregistrement, puis le statut après soumission lorsque cette action est proposée. Une réponse sauvegardée n’est pas nécessairement une réponse finalisée. Suivez [Répondre à un questionnaire reçu](https://docs.cisapp.eu/parcours/repondre-questionnaire). ## Que faire lorsqu’un répondant ne peut pas ouvrir son évaluation ? Vérifiez l’adresse du compte, son activation, la validité de l’invitation et l’accès à la ressource. Le rôle dans l’entreprise et les droits sur l’évaluation sont deux contrôles distincts. Recréer une évaluation ne corrige pas nécessairement un problème de partage. Consultez [Droits et partage](https://docs.cisapp.eu/organisation/droits) et le [dépannage](https://docs.cisapp.eu/aide/depannage). ## Comment transformer un risque en plan d’action ? Décrivez le scénario, évaluez-le avec votre méthode, puis choisissez un traitement. Associez des mesures à des responsables et à des échéances, vérifiez leur réalisation et réévaluez le risque résiduel. Un plan d’action peut organiser les actions, mais sa création ne prouve pas que le risque est traité. Suivez [Passer d’un risque à un plan de traitement](https://docs.cisapp.eu/parcours/traiter-risque). ## Quelle différence entre risque initial et risque résiduel ? Le risque initial correspond au niveau évalué avant le traitement prévu. Le risque résiduel est le niveau restant après prise en compte des mesures. Sa réévaluation doit s’appuyer sur les mesures effectivement réalisées et les preuves disponibles. Consultez le [plan de traitement](https://docs.cisapp.eu/risques/traitement) et le [glossaire](https://docs.cisapp.eu/aide/glossaire). ## Quels indicateurs préparer pour un comité risque fournisseurs ? Rassemblez les fournisseurs critiques, l’avancement des évaluations, les réponses ou preuves manquantes, les risques à décider et les actions à suivre. Ajoutez les dépendances importantes et, avec un compte autorisé, les dérogations proches de leur échéance. Datez les éléments et indiquez le périmètre couvert. Suivez [Préparer un comité risque tiers](https://docs.cisapp.eu/parcours/comite-risque) et le [guide du tableau de bord](https://docs.cisapp.eu/pilotage/tableau-bord). ## Comment organiser les preuves de conformité ? Reliez les exigences applicables aux mesures et aux preuves qui démontrent leur réalisation. Vérifiez les accès aux documents pour que les personnes chargées de la revue puissent les consulter. Une preuve stockée ne constitue pas, à elle seule, une validation de conformité. Consultez les [exigences, mesures et preuves](https://docs.cisapp.eu/conformite/exigences-mesures) et la [gestion des fichiers](https://docs.cisapp.eu/collaboration/fichiers). ## À quoi sert un Trust Center ? Un Trust Center présente des informations de confiance et permet leur partage selon les accès configurés. Il complète les évaluations et les échanges documentaires ; il ne remplace pas la revue des informations reçues. Sa disponibilité dans CISAPP dépend de l’activation du module et de l’offre. Consultez [Configurer et utiliser le Trust Center](https://docs.cisapp.eu/conformite/trust-center). ## Quelle différence entre une évaluation fournisseur et l’ASM ? Une évaluation collecte et analyse des informations sur un sujet à l’aide de questionnaires et de preuves. L’ASM concerne la surface d’attaque externe : périmètres, actifs exposés et vulnérabilités. Ces approches apportent des informations complémentaires, sans couvrir à elles seules tous les risques. Consultez [Évaluer un fournisseur](https://docs.cisapp.eu/evaluations/fournisseur) et [ASM et surface d’attaque](https://docs.cisapp.eu/securite/perimetres-analyses). ## Peut-on importer un questionnaire depuis Excel ? Oui, lorsque l’import de questionnaires Excel est activé pour votre offre. CISAPP analyse le classeur ; vous devez ensuite relire les feuilles, les sections et les éléments reconnus, corriger les correspondances si nécessaire, puis publier le questionnaire. Contrôlez particulièrement les cellules fusionnées et les en-têtes ambigus. Suivez le [guide des imports Excel](https://docs.cisapp.eu/evaluations/import-excel). ## CISAPP permet-il déjà d’utiliser les écrans NIS2 et DORA ? Les écrans dédiés NIS2 et DORA sont en construction dans la version vérifiée. Leur présence dans un menu ne signifie pas que le parcours est opérationnel. Consultez les fonctions de conformité disponibles et les limites documentées avant d’organiser votre suivi. Consultez [NIS2, DORA et AI Act](https://docs.cisapp.eu/conformite/vue-ensemble) et la [disponibilité des fonctions](https://docs.cisapp.eu/aide/disponibilite). ## Comment consulter cette documentation avec un assistant IA ? Donnez à l’assistant l’article utile en Markdown ou l’index correspondant à votre langue, puis demandez-lui de citer ses sources et de préciser les conditions d’accès. Si l’outil ne sait pas consulter les URL, joignez le fichier téléchargé. La documentation publique ne donne aucun accès aux données de votre compte. Consultez [Utiliser la documentation avec une IA](https://docs.cisapp.eu/aide/utiliser-avec-ia). --- # English Source: https://docs.cisapp.eu/en/ Welcome to the CISAPP help centre. Explore [getting started](https://docs.cisapp.eu/en/getting-started/welcome), [practical guides](https://docs.cisapp.eu/en/guides/onboard-vendor), [troubleshooting](https://docs.cisapp.eu/en/help/troubleshooting) and [AI-readable formats](https://docs.cisapp.eu/en/help/use-with-ai). Explore [common questions about vendors, risk and compliance](https://docs.cisapp.eu/en/help/common-questions). --- Source: https://docs.cisapp.eu/en/getting-started/welcome # Welcome to CISAPP Understand the main workspaces and choose your first guide. > **Access:** member. CISAPP connects vendors, business activities, assessments, risks and compliance evidence. Start with a vendor to understand its exposure, or with a business activity to identify dependencies. ## Before you start You need an activated account attached to your organization. Visible menus depend on your plan and permissions. A missing menu does not mean your data has disappeared. ## Your first journey 1. [Sign in](https://docs.cisapp.eu/en/getting-started/sign-in) with the email address used for your invitation. 2. Check your organization’s name in the interface. 3. Discover [navigation and search](https://docs.cisapp.eu/en/getting-started/navigation). 4. Open **Suppliers** and select a record you can access. 5. Follow [Onboard a vendor](https://docs.cisapp.eu/en/guides/onboard-vendor) to add a third party, or [Answer a questionnaire](https://docs.cisapp.eu/en/guides/respond-questionnaire) if you are a respondent. ![CISAPP home page and reporting indicators](https://docs.cisapp.eu/images/en/dashboard.webp) *Home displays the indicators available to your organization. The illustrated data is fictional. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/dashboard.webp)* ## Understand the objects | Object | Purpose | |---|---| | Business activity | Describe what your organization needs to keep doing. | | Vendor | Identify a third party and centralize its information. | | Assessment | Examine a scope using questionnaires. | | Risk | Describe a scenario and track its treatment. | | Control | Describe a mitigating action and its progress. | | Evidence | Support a response or control with a document. | ## If your workspace looks empty Check your [permissions](https://docs.cisapp.eu/en/organization/permissions), then [feature availability](https://docs.cisapp.eu/en/help/availability). An external respondent does not necessarily have the same workspaces as an administrator. --- Source: https://docs.cisapp.eu/en/getting-started/sign-in # Sign in and activate your account Activate an invitation, use a password or SSO and resolve sign-in issues. > **Access:** member. ## Prerequisites Use the exact email address your organization invited. For your first visit, open the activation link received by email and complete the displayed steps: set a password, enter personal information and accept the documents presented. ## Sign in 1. Open the [CISAPP application](https://app.cisapp.eu/login). 2. Enter your email address, then select **Continue**. 3. Use a method offered for your account: password, Google, Microsoft or your organization’s identity provider. 4. Complete any additional verification before leaving the screen. 5. Check that you reach your CISAPP workspace. ![First step of CISAPP sign-in](https://docs.cisapp.eu/images/en/login.webp) *The first step identifies your account before offering the available sign-in methods. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/login.webp)* ## Pending invitation or authorization An account can be activated while authorization to join the organization is still pending. If authorization is pending, contact an organization administrator. Creating another account with a different address does not resolve it. If the invitation link has expired or been revoked, ask your administrator to resend it from **My company → Members**. ## Forgotten password Use password recovery from the sign-in screen and check your spam folder. Accounts using SSO only must follow their identity provider’s recovery process. ## Expected outcome You are signed into the correct organization. To change your language or authentication preferences, see [My profile](https://docs.cisapp.eu/en/organization/profile). --- Source: https://docs.cisapp.eu/en/getting-started/navigation # Navigate and search Use menus, the command palette and list filters. > **Access:** member. ## Main workspaces | Workspace | Purpose | |---|---| | Home and Reporting | Read indicators and explore dependencies. | | Registers | Find activities, vendors, projects, applications, risks, incidents and exemptions. | | Assessments | Start an assessment and manage questionnaires. | | Compliance | Track requirements, controls and trust information. | | Action plans | Organize action plans and track all actions or **My actions**. | | Files | Centralize and share documents. | | Operational security | Review exposure and monitored assets. | | My company | Manage the organization profile and access. | ## Reach an action quickly 1. Select **Search**, or press **⌘ K** on Mac and **Ctrl K** on Windows/Linux. 2. Type words describing a screen or action. 3. Navigate suggestions with the keyboard and press Enter. 4. Press Escape to close the palette without opening anything. ![Command palette and shortcuts](https://docs.cisapp.eu/images/en/command-palette.webp) *The palette offers destinations and actions permitted for your account. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/command-palette.webp)* ## Search a register List search is separate from the command palette. Combine the search field with the available filters: status, criticality, tags or owner, depending on the register. If a list is empty, clear the filters before assuming there is no data. ## Missing button or menu First check your permissions and the scope shared with you. Some modules depend on your plan or activation. See [Feature availability](https://docs.cisapp.eu/en/help/availability). The English interface uses **Reviews** for assessments and **Suppliers** for vendors. Some controls currently retain French labels. Use the screenshots and the displayed control text to locate the action. --- Source: https://docs.cisapp.eu/en/registers/vendors # The vendor register Search, filter and export your organization’s vendors. > **Access:** member, vendor creation. Subject to enabled modules and your plan. The register centralizes your organization’s third parties. A vendor record contains its identity, criticality and the information accessible to your account. ## Browse the register 1. Open **Registers → Suppliers**. 2. Search for a name and, when needed, apply **Status**, **Criticality level** and **Tags** filters. 3. Select a row to open its record. 4. Use **Export to CSV** to work with the list in another tool. Check the filters and desired columns before exporting. ![Vendor register and filters](https://docs.cisapp.eu/images/en/vendors.webp) *Find a third party in the register before opening its details. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/vendors.webp)* ## Understand visibility You may see that a vendor exists without being able to read all its information. Access to the record and related objects depends on permissions shared with you or your team. Indicators above the register summarize visible vendors and their assessment engagement. A vendor that has never been assessed does not necessarily have poor security: an assessment is missing. ## Add or find a vendor Use **Créer un fournisseur** and search for the company first to avoid duplicates. See [Create and qualify a vendor](https://docs.cisapp.eu/en/registers/create-vendor). ## Common difficulties - **No results**: clear the search and filters. - **Record inaccessible**: ask the owner to share access. - **Limit reached**: check the displayed quota. A vendor marked inactive remains in the register and still counts toward the created-vendor quota. - **Incomplete export**: check the visible scope and export options. ## Expected outcome You have found the correct vendor and its record matches your working scope. --- Source: https://docs.cisapp.eu/en/registers/create-vendor # Create and qualify a vendor Identify a company, set its criticality and add contacts. > **Access:** vendor creation. Subject to enabled modules and your plan. ## Prerequisites and permissions You need vendor-creation permission or appropriate administrative access, and an available vendor quota. Prepare the company name, website and a contact. ## Identify the company 1. Open **Suppliers → Créer un fournisseur**. 2. Search by name, domain or registration number. 3. Select the matching company. If none exists, choose **Créer manuellement**. 4. Check the required **Nom du fournisseur** (vendor name) and **Site web** (website) fields, then complete useful contact details. 5. Select **Créer** to move to qualification. This control and several field labels currently remain in French in the English interface; it does not complete the full creation workflow. ![Information for a fictional vendor](https://docs.cisapp.eu/images/en/vendor-info.webp) *Check the company’s identity before creating the vendor relationship. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/vendor-info.webp)* ## Qualify criticality Choose an offered qualification mode. In manual mode, select the level matching this vendor’s impact on your business. A criticality questionnaire provides guided qualification when a suitable questionnaire is available. ![Selecting vendor criticality](https://docs.cisapp.eu/images/en/vendor-criticality.webp) *Criticality describes the vendor’s business importance; it is separate from its security score. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/vendor-criticality.webp)* ## Add contacts and access Enter useful contacts: first name, last name, email and role. Check every address before sending invitations. If an access step is offered, assign only the necessary permissions to the relevant people and teams. ## Expected outcome The record is accessible from the register. Check its information, link it to business activities and prepare a [vendor assessment](https://docs.cisapp.eu/en/assessments/vendor). ## If creation fails Check the website format, required fields and quota. If the company already exists, return to search rather than creating a variation of its name. --- Source: https://docs.cisapp.eu/en/registers/vendor-record # Use the vendor record Find a vendor’s information, contacts, notes, assessments and access. > **Access:** member. Subject to enabled modules and your plan. ## Open and check the record Open the third party from **Registers → Suppliers**. Check its name and domain before making changes. Some information belongs to the vendor’s organization; editing it may depend on its status and your account permissions. ![Record for a fictional vendor](https://docs.cisapp.eu/images/en/vendor-detail.webp) *The record brings together the third party’s context and linked objects. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/vendor-detail.webp)* ## Maintain useful information - Check the relationship status and business criticality. - Complete contacts and their roles to identify the right respondent. - Use notes to retain context useful to your organization. - Review linked assessments and activities before deciding on a new action. - Review access when an owner or team changes. ## Exchanged documents The **Documents** tab gathers documents exchanged with the vendor: added manually, received through a questionnaire or coming from a certification (the source and the **Received** / **Sent** direction are shown). - **Add documents** (or drag and drop files onto the tab): choose a **category** for each document (Contract, DPA, NDA, Certification, Security policy, Audit report, Pentest report, Insurance, BCP / DRP, Questionnaire evidence, Financial, Other); a category may be suggested from the file name. For relevant categories (contract, DPA, NDA, certification…), fill in **Valid until**. - On the client side, **Share with the vendor** lets the vendor view the documents you add. - A banner flags documents **to classify** (**Classify now**) and expired or soon-to-expire documents. - Search and filter by category; the list is limited to the 1,000 most recent documents. - Some documents are **secure view only**: download is then unavailable. ## Personal data and subcontracting When GDPR options are enabled, dedicated fields describe personal-data processing, the third party’s roles and subcontracting information. Base these fields on the actual vendor relationship. Completing a field is not legal validation. ## Prepare a reassessment Open the previous assessment, check its scope and date, then start a new assessment if needed. See the [onboarding guide](https://docs.cisapp.eu/en/guides/onboard-vendor). ## Expected outcome Another authorized member can understand who the vendor is, why it matters and what checks have been performed. If a tab fails to load, check permissions on the related object before retrying. --- Source: https://docs.cisapp.eu/en/registers/activities # Describe business activities Create an activity, qualify its criticality and link its vendors. > **Access:** activity creation. Subject to enabled modules and your plan. A business activity describes a process your organization wants to track, such as “Order processing”. It links vendors to a business need. ## Prerequisites Activity-creation permission is required to add an activity. Prepare its description, owner and supporting vendors. ## Create an activity 1. Open **Registers → Business activities** and select **Create activity**. 2. Enter the name and requested context. 3. Qualify criticality at the dedicated step. 4. Select the supporting vendors. Missing relationships will not appear on the dependency map. 5. Check the offered access settings and finish creation. ![Creating a business activity](https://docs.cisapp.eu/images/en/activity-create.webp) *The wizard starts by identifying the business process being tracked. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/activity-create.webp)* ## Keep the activity up to date Open its record from the register to review information and relationships. When a vendor changes, also update the activities it supports. An **Business Criticality** assessment can qualify a scope using a questionnaire. ## Expected outcome The activity exists in the register and its dependencies can support [reporting](https://docs.cisapp.eu/en/reporting/dependencies). ## Distinguish the concepts Business activities and GDPR processing activities serve different purposes. To describe personal-data processing, use the [GDPR register](https://docs.cisapp.eu/en/compliance/gdpr). --- Source: https://docs.cisapp.eu/en/registers/applications # Applications List the organization's applications, built in-house or supplied by a vendor, and track their repositories, relations, personal data and assessments. > **Access:** member. The register depends on your plan. The list only shows records you can access; an organization administrator sees them all. The **Personal data** tab depends on the GDPR module and is in **beta**. > > **Language:** these screens are not yet translated into English. Labels below translate the French interface. An application is a technical solution of the organization (customer portal, billing API, business tool…), built in-house or supplied by a vendor. Former internal projects have been carried over as applications; old links lead straight to them. ## Create an application 1. Open **Registers → Applications**, then **New application** (or the menu **+** shortcut). 2. **Identity**: name, type (Web application, Mobile application, API / service, Business tool, Data pipeline, Automation script, System connector, Regulatory reporting, Other), sourcing (**Internal** or **Vendor**) and **Owner**. If the sourcing is **Vendor**, choose the **Publisher**. Name and owner are required. 3. **Context** (optional): **Linked projects**, lifecycle (Planned, In service, Retired), hosting (On premises, Cloud, SaaS, Hybrid, Unknown) and environments. Name each added environment, or delete it. 4. **Access** (optional): choose who can view or edit the record. You remain its administrator. 5. **Summary**, then create the record. On a vendor record, the **Applications** section lists the solutions it publishes and offers **Add an application**. ## Read the record | Tab | Content | |---|---| | Overview | Identity, owner, sourcing, lifecycle, hosting, environments, technical information. | | Code and DevSecOps | Linked GitHub or GitLab repositories, with the tools enabled on each (currently **Dependencies**, the import of dependency vulnerability alerts). | | Relations | Associated records and follow-up: vendors, projects, risks, actions, assessments… | | Personal data | GDPR declaration of the application (if the module is available). | | Access | Authorized people and teams, with Read, Edit or Administration rights. | **Edit record** updates its information, with the edit right. ## Link code repositories Repositories are linked from the GitHub or GitLab connector page, not from the record. The **Code and DevSecOps** tab offers **Open connectors** if no code connector is active. See [GitHub](https://docs.cisapp.eu/en/organization/connectors/github) and [GitLab](https://docs.cisapp.eu/en/organization/connectors/gitlab). ## Associate records and actions In **Relations**: 1. **Associate a record**: choose the type (Application, Vendor, Business activity, Assessment, Risk, Incident, Exemption, GDPR processing activity, Action, Action plan, Project), then the record. For a vendor, set its role: Associated, Host, Integrator or Other provider. 2. **Add an action**: action to carry out, owner, due date, in an existing action plan or a new one. 3. **Assess** starts an assessment of the application; **Reuse an assessment** associates an existing one. Relations grant no access rights: grant the required access explicitly in **Access**. Assessments keep their scope and date; vendor scores are not carried over to applications. ## Declare personal data The **Personal data** tab asks whether the application processes personal data (Yes, No, To be qualified), then asks for data categories, GDPR role, hosting, DPIA (Not required, Required, In progress, Completed) and retention period. Findings flag inconsistencies with the processing register: missing DPIA, undefined retention, undeclared hosting, no linked processing activity, contradictory or outdated declaration. ## Assess an application Open **Assessments → Application assessments**, or **Assess** from the record. See [Assessment types](https://docs.cisapp.eu/en/assessments/types). ## Expected outcome The application is identifiable in the register with its owner, relations and access, and its assessment can be started. ## Common issues - Record missing from the list: it is not shared with you. Ask its administrator for access rather than recreating it. - Creation blocked: enter the name and owner, and the publisher for a vendor application. - Someone linked through a relation cannot see the record: relations do not grant access. - No repository shown: link the repository from the connector page. --- Source: https://docs.cisapp.eu/en/registers/maps # Read vendor maps Explore vendor criticality and the data vendors process. > **Access:** member. Subject to enabled modules and your plan. ## Prerequisites Maps use vendors you can access. Vendor mapping and processing-register generation depend on the features enabled in your plan. ## Criticality map 1. Open the map from the **Suppliers** register. 2. Filter criticality levels and status. 3. Locate vendors in the radar and review their assessment state. 4. Open the vendor record to investigate and check the date and context of its criticality. The map represents existing data; it does not perform a new assessment. ## Data map 1. Open the register’s **Data map**. 2. Filter by role and data category. 3. Review categories, countries, transfer mechanisms and data-processing agreement status. 4. If enabled, use processing-register generation and review the confirmation and result. A missing agreement or empty field needs investigation. Generation assists register preparation and requires a business review before use. ## Expected outcome and troubleshooting You identify priority vendors and missing information. For an empty map, clear filters and check access. If generation is unavailable, ask an administrator to check the plan and activation. [Dependency maps](https://docs.cisapp.eu/en/reporting/dependencies) analyze another aspect: the relationship between activities and vendors. Data mapping and register generation are **beta** features in the illustrated version. --- Source: https://docs.cisapp.eu/en/registers/projects # Projects and launch decision Create a project, appoint the security reviewer and decision maker, review deliverables and record the security opinion, then the launch decision. > **Access:** member. The register depends on your plan. Review actions are reserved for the **security reviewer** and the **launch decision maker** appointed on the project, with the edit right on the record. > > **Language:** these screens are not yet translated into English. Labels below translate the French interface. A project (IT project, business change, event, acquisition…) is a file whose security is tracked up to the launch decision. Do not confuse it with an **action plan**, which groups actions to carry out: see [Action plans and actions](https://docs.cisapp.eu/en/collaboration/projects). ## Create a project 1. Open **Registers → Projects**, then **New project** (or the menu **+** shortcut). 2. **Identity**: name, type (IT project, Business change, Event, Acquisition, Other), sponsor, progress (Planned, In progress, Delivered, Cancelled), criticality, start date, target launch date and description. Dates can stay **To be defined**. 3. **Context** (optional): **Security reviewer** and **Launch decision maker**, two different people; required deliverables (Security questionnaire, Risk analysis, Architecture review, Vendor assessment, GDPR review). A dismissed deliverable needs a justification. 4. **Access** (optional): choose who can view or edit the record. You remain its administrator. 5. **Summary**, then create the record. ## Read the record | Tab | Content | |---|---| | Overview | Identity, sponsor, dates, security stage, opinion and decision. | | Security | Deliverables, prerequisites and commitments, decision history. | | Applications | Applications delivered or changed by the project. | | Risks and actions | Associated records: risks, exemptions, actions, assessments… | | Access | Authorized people and teams (Read, Edit, Administration). | ## Follow the security stages | Stage | Expected | Action | |---|---|---| | To qualify | Appoint the participants and confirm the required deliverables. | The security reviewer selects **Start review**. | | Under review | Complete the reviewed items, have deliverables reviewed, record the opinion. | The reviewer selects **Give security opinion**: Favorable, Favorable with reservations or Unfavorable. | | To decide | Examine the opinion, prerequisites and residual risks. | The decision maker selects **Decide on launch**: Launch authorized or refused, ticking the explicit acceptance of residual risks. | | Follow-up | Track remaining commitments after launch. | The decision maker or sponsor selects **Close the file**: assessment and operational follow-up owner. | | Closed | Risks and actions still open continue to be tracked. | — | At the **To decide** stage, or after a refusal, the reviewer can **Resume review**. The decision maker or sponsor can **Cancel the project** as long as it is neither closed nor cancelled; the history remains available. ## Review deliverables and prerequisites In the **Security** tab: - For each deliverable, fill in the **Reviewed items and references**, save, then **Mark as reviewed**. - **Add a prerequisite**: a measure to carry out, flagged or not as **Blocking before launch**. A blocking prerequisite must be met or covered by an approved, active exemption linked to the file. - A commitment remaining after launch must be linked to an action of the file, with an owner and due date. After an opinion or decision, editing the record opens a new revision to review. Each opinion, decision, revision, closure or cancellation is kept in the history, with the reviewed scope. ## Associate records and assess The **Applications** and **Risks and actions** tabs offer **Associate a record**, **Add an action**, **Assess** and **Reuse an assessment**, as on an [application](https://docs.cisapp.eu/en/registers/applications). Project assessments are also listed under **Assessments → Project assessments**. See [Assessment types](https://docs.cisapp.eu/en/assessments/types). ## Expected outcome The project carries a traced security opinion and launch decision, with prerequisites met or covered, then it is closed with an operational follow-up owner. ## Common issues - Review action missing: only the appointed security reviewer and decision maker, with the edit right, see the actions of their stage. - Reviewer and decision maker must be appointed before the review starts: complete **Context**, confirm at least one required deliverable and justify each dismissed one. - Same reviewer and decision maker refused: choose two different people. - Opinion refused: mark each required deliverable as reviewed. - Launch cannot be authorized: it needs a **Favorable** or **Favorable with reservations** opinion, blocking prerequisites met or covered, and remaining commitments linked to an action (see [Review deliverables and prerequisites](https://docs.cisapp.eu/en/registers/projects#review-deliverables-and-prerequisites)). - Cancellation refused: give the cancellation reason. - The file was changed while you were typing: reload it or discard your changes before continuing. --- Source: https://docs.cisapp.eu/en/assessments/types # Choose an assessment type Distinguish vendor, application, project, criticality, audit and tender assessments. > **Access:** assessment creation. Subject to enabled modules and your plan. An assessment brings together a scope, one or more questionnaires and the access needed to work on them. ## Which workspace should you use? | Type | Use it to | |---|---| | Vendor assessments | Examine a vendor’s compliance or posture. | | Application assessments | Examine an application from the Applications register. | | Project assessments | Examine a project from the Projects register, for example before its launch decision. | | Activity criticality | Qualify the importance of a business activity. | | Compliance audits | Assess an internal scope and a framework. | | Tenders | Compare vendors using a common questionnaire. | ## Prepare the assessment 1. Identify the subject and the result you need. 2. Check that the subject exists in its register and is accessible to you. 3. Choose a questionnaire suited to the decision. 4. Identify who needs to complete or read responses. 5. Open the relevant type from **Reviews**. ![Vendor-assessment list](https://docs.cisapp.eu/images/en/evaluations.webp) *Each type has its own list and creation wizard. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/evaluations.webp)* ## Permissions and availability Creating assessments requires the corresponding permission. Tenders depend on vendor-comparison activation. **Campaigns** is currently under construction; it does not replace type-specific lists or response links received by email. ## Expected outcome The scope and questionnaire match the selected type. See [Assess a vendor](https://docs.cisapp.eu/en/assessments/vendor), [Audits and projects](https://docs.cisapp.eu/en/assessments/audits-projects) or [Compare vendors](https://docs.cisapp.eu/en/assessments/comparison). --- Source: https://docs.cisapp.eu/en/assessments/vendor # Assess a vendor Select a vendor, questionnaires and finalize access. > **Access:** assessment creation. Subject to enabled modules and your plan. ## Prerequisites The vendor must be accessible in your register. You need assessment-creation permission and access to the selected questionnaire. ## Create the assessment 1. Open **Reviews → Supplier Evaluations**, then start creation. 2. At **Suppliers**, select the third party. Starting from its record may preselect it. 3. At **Questionnaires**, choose questionnaires relevant to the scope. 4. At **Finalization**, check the summary, name and description. 5. Expand access options if collaborators need to participate. Check each person’s permission before inviting them. 6. Confirm creation. ![Selecting an assessment questionnaire](https://docs.cisapp.eu/images/en/evaluation-questionnaires.webp) *Choose a questionnaire matching what you need to check about the vendor. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/evaluation-questionnaires.webp)* ![Finalizing a vendor assessment](https://docs.cisapp.eu/images/en/evaluation-finalize.webp) *The summary lets you check the scope and access before creation. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/evaluation-finalize.webp)* ## Recurrence A monitoring cadence may be offered when a vendor assessment is attached to an activity. This option does not appear in every workflow. ## After creation Open the assessment to find its questionnaires and responses. Share the right access with the respondent. Attaching a questionnaire and inviting a respondent are separate things to check. ## If you are blocked - Missing vendor: check permissions and selector filters. - Missing questionnaire: check its destination and your access. - Confirmation unavailable: complete required fields and earlier steps. - Invitation not received: check the address and invitation status before resending. ## Expected outcome The assessment appears in the list and its record shows the selected vendor and questionnaires. Sending it to a respondent remains a separate action to check. --- Source: https://docs.cisapp.eu/en/assessments/audits-projects # Audits, applications, projects and activity criticality Match the scope and questionnaire to the assessed subject. > **Access:** assessment creation. Subject to enabled modules and your plan. ## Choose the scope These workflows are available from their lists under **Reviews**. You need assessment-creation permission and access to the relevant subjects and questionnaires. ### Application or project assessment 1. Open **Application assessments** or **Project assessments**, then start creation. From an application or project record, **Assess** opens the same wizard with the subject already chosen. 2. Select the application or project to examine (step hidden if the subject is already chosen). 3. **Information**, then **Questionnaires**. 4. **Reviewers** (optional): appoint the people or teams who will validate completed questionnaires. Entity administrators can also review them; with no appointed reviewer, only they can. 5. **Collaborators**: check access before finishing. The subject must exist under **Registers → Applications** or **Registers → Projects**. The assessment details show the **Assessed item** with a **View record** link. See [Applications](https://docs.cisapp.eu/en/registers/applications) and [Projects and launch decision](https://docs.cisapp.eu/en/registers/projects). These screens may still show French or untranslated labels in the English interface. ### Activity criticality Open **Business Criticality** and choose the business activity. Use a questionnaire designed for criticality, then check information and access. This assessment qualifies an activity; it does not replace a vendor security assessment. ### Compliance audit Open **Compliance Audits**. Define the context, choose the offered framework and useful questionnaires, then assign access before confirming. Prepare the evidence needed to support responses. ## Review results Open the created assessment from its list. Check that questionnaires, subject and authorized people match the agreed scope. See [Read results](https://docs.cisapp.eu/en/assessments/results). ## Common difficulties A missing subject needs to be created or shared in its register. A questionnaire intended for another purpose may not be offered. If you cannot create an assessment, check creation permission with your administrator. --- Source: https://docs.cisapp.eu/en/assessments/comparison # Compare vendors Prepare a tender with multiple vendors and a shared assessment basis. > **Access:** assessment creation. Subject to enabled modules and your plan. ## Goal and prerequisites Use **Vendor Comparisons** to examine vendors within a common assessment basis. Comparison must be enabled for your organization. You need access to the vendors and assessment-creation permission. ## Prepare a comparison 1. Define the business need and decision criteria before contacting vendors. 2. Open **Reviews → Vendor Comparisons** and start creation. 3. Select the vendors to compare. 4. Choose common questionnaires and complete the requested details. 5. Check permissions and confirm. ## Use the comparison Open the tender details to review its assessments. Compare responses using equivalent scopes. A missing response and a negative response need different interpretations. Consider the score alongside business criticality, evidence and assessment date. Document open points before making a decision. ## Expected outcome You have a shared basis for reviewing each vendor’s responses. If a vendor is missing, check your access and its existence in the register. If the workspace is hidden, see [Feature availability](https://docs.cisapp.eu/en/help/availability). --- Source: https://docs.cisapp.eu/en/assessments/questionnaires # Manage questionnaires Choose a template, create a questionnaire and organize questions. > **Access:** member, questionnaire creation. Subject to enabled modules and your plan. A questionnaire is a reusable question structure. Responses completed in an assessment belong to a response questionnaire, distinct from the template. ## Find a questionnaire Open **Reviews → Questionnaires**. Search for a title and open its details to check content, purpose and sections before use. ![Questionnaire library](https://docs.cisapp.eu/images/en/questionnaires.webp) *Check the questionnaire’s purpose before attaching it to an assessment. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/questionnaires.webp)* ## Create a questionnaire 1. Select the creation action. Questionnaire-creation permission is required. 2. Enter general information and the offered destination. 3. Create the questionnaire and open its editor. 4. Organize sections and add questions using suitable response types. 5. Review wording, answer choices and required fields before use. Details and the editor serve different purposes: use details to read and the editor to change the structure. ## Edit the structure In the editor, the center column shows the tree of sections and questions, and the right column shows the properties of the selected item. - **Add**: hover the gap between two questions and click **+** to insert a question there, or use **Add a question** at the bottom of a section. The new question is selected and its wording is ready to type. - **Delete**: deletion is immediate, with no confirmation. A message appears for a few seconds with an **Undo** action to bring the item back (with its subsections and questions for a section). After that delay the deletion is final. - **Reorder**: drag and drop a question or section in the tree. Changes are saved automatically. ## Add a maturity scale The **Maturity scale (%)** question type asks the respondent to place their level on a scale you define. The percentage of the chosen level becomes the answer score. > **Language:** this editor is not yet translated into English. Labels below translate the French interface. 1. Add a question of type **Maturity scale (%)**. It is created with the **0 – 100 % preset**: Non-compliant (0 %), Initial (25 %), Defined (50 %), Managed (75 %), Optimized (100 %). 2. For each level, enter the **Level (%)**, the **Label** and, if needed, a **Description** of what the level means in practice. 3. **Add a level** or **Remove the level** to match your grid; **0 – 100 % preset** restores the default levels. 4. Tick or untick **Justification required** (ticked by default): the respondent must then explain the chosen level. 5. Check the rendering in the **Respondent preview**. A scale has 2 to 11 levels. Each level is an integer between 0 and 100, used only once, with a label. ## Editor keyboard shortcuts Shortcuts work when no input field is active. Press **?** (or click the keyboard icon at the top of the page) to show the cheat sheet in the editor. | Shortcut | Action | | --- | --- | | **J** or **↓** | Next item | | **K** or **↑** | Previous item | | **Enter** or **E** | Edit the selected item’s properties | | **Esc** | Leave the current field, then clear the selection | | **C** | New question after the selected item (or at the end of the section) | | **S** | New section | | **Shift + S** | New subsection of the selected section | | **Delete** or **⌫** | Delete the selected item | | **⌘ Z** / **Ctrl Z** | Undo the last deletion while the message is still shown | | **?** | Show the shortcuts | ## Good practices Ask one thing per question. Explain the evidence expected in the wording. Use the same questionnaire version across vendors when comparing them. ## Common difficulties - Creation unavailable: check questionnaire-creation permission. - Missing questionnaire in an assessment: check purpose and access. - Unclear question: improve the template for future use and clarify the context with affected respondents. ## Expected outcome The questionnaire contains the intended sections and questions and can be found in pickers matching its purpose. --- Source: https://docs.cisapp.eu/en/assessments/responses # Complete and submit responses Open the right questionnaire, complete sections and check before submission. > **Access:** respondent, member. Subject to enabled modules and your plan. ## Access responses Open the assessment or questionnaire link shared with you. Sign in with the account matching the invitation. Access to a library template does not by itself grant access to an assessment’s responses. ## Answer 1. Check the title, vendor or subject and assessment scope. 2. Use the section outline to move through the questionnaire. 3. Enter answers and useful comments. 4. Add evidence when a question supports or requests it. 5. Check the displayed save state before leaving the page. 6. Review required questions, then use submission when offered. ![Response questionnaire within an assessment](https://docs.cisapp.eu/images/en/assessment.webp) *Sections and progress help locate questions that still need attention. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/assessment.webp)* ## Answer "Not applicable" When the question allows it, tick **Not applicable** next to the answer and, if needed, fill in the **Justification** (optional). On the client side, a "not applicable" answer is **approved** (**Approve not applicable**) or **challenged** (**Challenge not applicable**); the respondent then sees the notice "The client challenges the not-applicable status of this question" and can correct it. ## Answer a maturity scale For a **Maturity scale** question, choose a level under "Select your current level". If the scale requires it, fill in the **Justification**: "A justification is required for this level." is shown until it is provided. **Not applicable** remains possible if the question allows it. On the client side, the reviewer can **Adjust the score**: they choose another level or enter a **Free value (%)**. The gap stays visible as "Declared X % → validated Y %". > **Language:** these labels are not yet translated into English; they translate the French interface. ## Distribute questions among colleagues An authorized assessment owner can assign sections or questions: 1. In a section or question header, open assignment (**Assign this section** / **Assign this question**). 2. Pick an **Owner** and **Contributors**, and optionally add a message. Typing an email address **invites** someone not yet registered (unless the vendor manages its own users: only its members can then be assigned). 3. A question inherits its section's assignment; changing it creates an assignment specific to that question. 4. The **Distribution** button opens the overview: progress per person ("x / y answered"), questions without an owner, answers to fix, **Remind** (one reminder per person per day) and assignment/reminder **History**. 5. Filter questions with **All**, **My questions** or **Unassigned**. Assignees see a "You have N questions to address" banner and find their questions under **To be addressed**. On submission, a warning lists assigned questions still unanswered. Assignments can no longer be changed once the assessment is closed. ## After submission Status and available actions can change. Check the displayed state before considering the questionnaire delivered. To correct a locked response, contact the assessment owner. ## Common difficulties - Inaccessible questionnaire: check your account email and invitation. - Missing required answer: review all sections, including those not yet opened. - Missing evidence: check that the reviewers can access the document. - Cannot assign: you need the assign right on this assessment; too many recent email invitations also block sending. - Missing button: your access may be read-only or the current status may prevent edits. For a guided journey, see [Answer a received questionnaire](https://docs.cisapp.eu/en/guides/respond-questionnaire). ## Expected outcome Responses are saved in the correct questionnaire. The displayed status indicates whether additional finalization is necessary. ## Answer on behalf of the vendor When managing an assessment on the client side, input fields may be disabled. If you need to enter an answer for the vendor, select **Answering for the supplier** when offered. Distinguish these answers from information confirmed directly by the vendor. --- Source: https://docs.cisapp.eu/en/assessments/results # Read assessment results Interpret progress, responses, scores and evidence. > **Access:** member. Subject to enabled modules and your plan. ## Open results Open the assessment from its type-specific list. Review associated questionnaires, their progress and status. Open a questionnaire to examine responses and evidence. ## Review effectively 1. Check the scope, subject and assessment date. 2. Check whether expected responses are complete. 3. Review comments and supporting documents. 4. Compare scores with detailed responses: a summary score does not replace reviewing critical points. 5. Identify items requiring action and use the appropriate follow-up: risk, control or action plan. ## Export or print When printing is available on the response questionnaire, open the dedicated view and use browser printing to create a PDF. Check content and scope before sharing it. ## Gap analysis The **Variance Analysis** workspace lets you explore assessments and gaps exposed by the interface. Check the framework and items available for the assessment concerned. Incomplete results should not be treated as established compliance. ## Expected outcome You know which items are adequately supported and which require action. Continue with [Treat a risk](https://docs.cisapp.eu/en/guides/treat-risk) or [Action plans and actions](https://docs.cisapp.eu/en/collaboration/projects). --- Source: https://docs.cisapp.eu/en/assessments/excel-import # Import an Excel questionnaire Analyze a workbook, review its structure and publish the questionnaire. > **Access:** member. Subject to enabled modules and your plan. ## Prerequisites Excel questionnaire import must be enabled for your plan. Prepare a workbook with identifiable questions and answers, and retain the original file. ## Import and review 1. Open **Reviews → Excel questionnaires** and start an import. 2. Select the workbook and complete the requested information. 3. Wait for analysis to finish. Processing can continue while you visit another page. 4. Open the import to review sheets, sections and recognized elements. 5. Correct cell roles and proposed mappings where needed. Review analysis findings before publication. 6. Use publication to open the questionnaire in the response editor. ![Excel questionnaire import list](https://docs.cisapp.eu/images/en/excel-imports.webp) *Import status distinguishes workbook analysis from opening the questionnaire. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/excel-imports.webp)* ## Human review Assisted analysis does not remove the need to check imported questions, choices and responses. Merged cells, multiple sheets and ambiguous headers need particular attention. ## Failure or empty structure If import fails, read the displayed message and use **Retry** when offered. If no usable structure is found, check the source workbook before trying again. Avoid creating identical imports while processing is still running. ## Expected outcome The published questionnaire matches the reviewed workbook and can be completed in CISAPP. Then check its responses like any other [response questionnaire](https://docs.cisapp.eu/en/assessments/responses). --- Source: https://docs.cisapp.eu/en/assessments/vendor-workspace # Respond as a vendor Find client assessments and distinguish the client register from My exposure. > **Access:** member. Subject to enabled modules and your plan. ## Prerequisites Your organization must be known as a vendor to at least one CISAPP client. You need access to the assessment or questionnaire shared by that client. ## Find client requests 1. Open **Customer Reviews** when this entry is offered in your menu. 2. Select the relevant assessment, then the questionnaire to complete. 3. Review the requested scope before answering. 4. Follow [Respond to a questionnaire](https://docs.cisapp.eu/en/guides/respond-questionnaire) for saving and finalizing. The **Clients** register, when accessible, lists known client organizations and supports opening a record and exporting the list as CSV. The register does not create a commercial relationship on its own. ## Respondent-only account A user invited only to respond sees a reduced menu: **Assessments → To be addressed**, My exposure and Profile. The **To be addressed** page lists their assessments (questionnaires, progress, Not started / In progress / Completed status, **Respond** button) and, at the top, **My questions to address** when questions are assigned to them. The former portal addresses (`/portal`) are no longer used; use the menu or the link received by email. ## Expected outcome Your response is associated with the correct client request. Check each client’s permissions before attaching supporting documents. ## Common difficulties - Missing menu: the organization may not be identified as a vendor, or you may lack access. - Missing request: use the received link and ask the sender to check sharing. - Distinguish the Clients register from **My Exhibition → My clients**, which is currently under construction. --- Source: https://docs.cisapp.eu/en/risks/register # Identify and assess a risk Create a scenario, link the scope and assess the risk level. > **Access:** member. **Beta** feature, subject to enabled modules and your plan. ## Prerequisites The register must be enabled for your organization. Prepare the scenario, affected entities and the methodology selected in organization settings. ## Create a risk 1. Open **Registers → Risks**, then **New risk**. 2. At **Context**, enter a title, description and category. 3. At **Scope**, link the offered entities: vendor, activity, asset or team. 4. Describe the scenario, threat and vulnerability in the offered fields. 5. Assess likelihood and impact using your organization’s methodology. 6. Add an owner and treatment deadline if known, then finish. ![Context for a new risk](https://docs.cisapp.eu/images/en/risk-create.webp) *Describe a concrete scenario before assigning a level. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/risk-create.webp)* ## Read the register Search for a title and combine **Status**, **Criticality** and **Entity** filters. The **Risk matrix** represents levels by likelihood and impact. Inherent risk describes risk before treatment; residual risk describes what remains after treatment. ![Risk register and indicators](https://docs.cisapp.eu/images/en/risks.webp) *Filters help prepare a review of priority risks. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/risks.webp)* ## Expected outcome The risk appears in the register with an understandable scenario. Check its status: if creation succeeded but assessment failed, open the existing risk to complete its assessment rather than creating a duplicate. Continue with [Track treatment](https://docs.cisapp.eu/en/risks/treatment). --- Source: https://docs.cisapp.eu/en/risks/treatment # Track risk treatment Choose a strategy, track controls and review residual risk. > **Access:** member. **Beta** feature, subject to enabled modules and your plan. ## Open the risk Open the risk from **Registers → Risks**. Check its scenario, scope, owner and assessment before deciding treatment. ## Organize treatment 1. Choose an offered strategy: reduce, accept, transfer or avoid the risk. 2. Record the decision and treatment deadline. 3. Add the necessary controls. A control can link to a compliance requirement or be described specifically for the risk. 4. Assign an owner and deadline where offered. 5. Update control status as work progresses: planned, in progress, implemented, verified or not applicable. 6. Reassess residual risk based on controls actually implemented. ## Understand statuses A risk can be draft, identified, assessed, treated, accepted, closed or needing review. Use available record actions to move through its lifecycle. A control marked implemented is not necessarily verified yet. ## Expected outcome An authorized person can find the decision, planned actions and information supporting the residual level. Status should reflect the actual situation. ## Points to watch Do not lower residual risk solely because an action is planned. Check implementation evidence. If an action is unavailable, check permissions and the current risk status. See also [The treatment journey](https://docs.cisapp.eu/en/guides/treat-risk) and [Exemptions](https://docs.cisapp.eu/en/risks/exemptions). --- Source: https://docs.cisapp.eu/en/risks/incidents # Report and track an incident Qualify an event, track its timeline and manage communication. > **Access:** organization administrator. **Beta** feature, subject to enabled modules and your plan. ## Prerequisites and access Incident management depends on module activation and account permissions. Governance operations on incidents are restricted to organization administrators. ## Report an incident 1. Open **Registers → Incidents**, then **Report an incident**. 2. Complete **Qualification**, **Context** and **Communication**. 3. Describe observed facts and choose the appropriate category and severity. 4. Link the vendor or affected assets when offered. 5. Check recipients and visibility before finishing. ![Reporting an incident](https://docs.cisapp.eu/images/en/incident-create.webp) *Qualification comes before context and communication choices. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/incident-create.webp)* ## Track the incident The register separates **My incidents** and **Incidents reported**. Open the record to update status and review the **Event log**. Distinguish the internal description from the public description, shown to clients only when the incident is propagated. ## Escalation and closure When a crisis cell is active, the record offers a link to it. An incident escalated to a crisis cannot be deleted: close it and retain traceability. See [Crisis management](https://docs.cisapp.eu/en/risks/crisis). ## Expected outcome The register and event log reflect facts, decisions and communications. If another session changed the incident, review the refreshed version before continuing your edits. --- Source: https://docs.cisapp.eu/en/risks/crisis # Prepare for and manage a crisis Find the crisis guide, emergency contacts and active cells. > **Access:** organization administrator. Subject to enabled modules and your plan. ## Access The crisis workspace is restricted to organization administrators. Use the command palette to open **Crisis management** if it is not directly visible in the menu. ## Prepare the response 1. Open **Crisis**. 2. Review **Guide** to prepare response steps. 3. Check **Emergency contacts** and keep them current. 4. Review **Active cells** to find events already being coordinated. ![Crisis guide and response workspace](https://docs.cisapp.eu/images/en/crisis.webp) *The workspace combines preparation, contacts and active cells. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/crisis.webp)* ## During an event Start from the relevant incident and open its crisis cell when active. Use the workspace to follow coordination and record the information offered. Keep incident status aligned with the situation. ## Expected outcome Authorized participants can find contacts, context and coordination information. The incident record retains its connection to the crisis. ## Common difficulties If the workspace does not open, check your administrator role. If a cell already exists, open it from the incident rather than maintaining a parallel event record. Your organization’s communication obligations still need to be determined by the responsible people. --- Source: https://docs.cisapp.eu/en/risks/exemptions # Manage an exemption Define the target, justification, accepted risk and validity period. > **Access:** organization administrator. Subject to enabled modules and your plan. ## Prerequisites Exemptions are available to organization administrators when the module is enabled. Prepare the target, business justification and compensating controls. ## Create an exemption 1. Open **Registers → Exemptions**, then **New exemption**. 2. Choose the target type and affected item. 3. Enter **Title**, **Business rationale** and **Countervailing measure**. 4. Set start and end dates, then the next review if needed. 5. Link an existing risk or describe the accepted risk and severity. A risk target is linked automatically. 6. Check the details and select **New exemption**. ![Exemption form](https://docs.cisapp.eu/images/en/exemptions.webp) *Justification, risk and duration make the decision reviewable. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/exemptions.webp)* ## Track deadlines Combine status, target and deadline filters in the register. Use **Expires within 30 days** to prepare reviews. Open details and review available actions to follow the decision lifecycle. ## Date errors The end must follow the start and respect the maximum duration displayed by the interface. The review date must precede the end date. Correct highlighted fields before confirming. ## Expected outcome The decision is recorded with a target, justification and deadline. An exemption does not prove that the gap has been fixed: keep tracking controls and the associated risk. --- Source: https://docs.cisapp.eu/en/compliance/overview # Start tracking compliance Create a compliance workspace and read framework coverage. > **Access:** member. **Beta** feature, subject to enabled modules and your plan. ## Create your workspace Open **Compliance → Overview**. If no compliance entity exists, the screen offers **Create My Compliance Portal**. Use this action with an authorized account and follow the displayed flow. ![Compliance tracking overview](https://docs.cisapp.eu/images/en/compliance.webp) *A compliance workspace is needed before tracking requirements and controls. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/compliance.webp)* ## Read the dashboard The overview presents linked frameworks, control coverage and next actions. Use **Resume my tasks** to return to pending work and **Add a repository** to extend the scope when available. 1. Check the frameworks included in your scope. 2. Identify expected controls that are not yet in place. 3. Open **Requirements & Measures** to complete the items. 4. Review next actions and distribute work. 5. Review coverage after updates. ## Interpret coverage The indicator represents the state recorded in CISAPP. It is not, on its own, certification or regulatory validation. A control may contribute to several frameworks; check offered mappings before duplicating its tracking. ## Availability of regulatory workspaces Dedicated **NIS2**, **DORA** and **AI Act** pages are currently under construction. Available requirements and controls tracking in the shared workspace is separate from those dedicated pages. Continue with [Requirements and controls](https://docs.cisapp.eu/en/compliance/requirements-controls). ## Expected outcome The overview reflects the selected frameworks and scope. Missing data and follow-up actions are identified. --- Source: https://docs.cisapp.eu/en/compliance/requirements-controls # Track requirements and controls Organize frameworks, update controls and export the SoA. > **Access:** member. **Beta** feature, subject to enabled modules and your plan. ## Prerequisites A compliance workspace must exist and be accessible to your account. Editing actions depend on your permissions. ## Work in the shared workspace 1. Open **Compliance → Requirements & Measures**. 2. Select the framework and scope offered by the interface. 3. Use filters to find requirements or controls needing work. 4. Open an item and check applicability, status and expected information. 5. Complete tracking information and the offered evidence, then save. 6. Return to the overview to review coverage. ![Requirements and controls workspace](https://docs.cisapp.eu/images/en/requirements.webp) *The shared workspace brings together requirements and controls tracking. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/requirements.webp)* ## Requirement, control and evidence A requirement describes what is expected. A control describes what is implemented. Evidence supports the recorded state. Keep these levels consistent: adding a document does not automatically mean a control is implemented. ## Export the SoA Use **Export the SoA** when available. Check the framework, scope and export contents before sharing. An export represents a point in time. ## Common difficulties - No workspace: return to the [overview](https://docs.cisapp.eu/en/compliance/overview) to create one. - Missing item: check filters and the selected framework. - Editing unavailable: request the necessary scope permissions. - Inaccessible evidence: check file permissions separately from access to the requirement. ## Expected outcome The requirement and related controls have up-to-date tracking, with evidence accessible to authorized reviewers. --- Source: https://docs.cisapp.eu/en/compliance/trust-center # Share your Trust Center Prepare a compliance snapshot, choose its visibility and revoke its link. > **Access:** member. Subject to enabled modules and your plan. The Trust Center presents a snapshot of your compliance approach, downloadable or publishable through a public link. ## Prepare sharing 1. Open **Compliance → Trust Center** with the required access. 2. Review **Preview**, the date and included frameworks. 3. Choose **Included frameworks**, **Hide evidence details** and **Validity** options. 4. Use **Download the PDF** to obtain a copy for review. 5. To allow public access, enable **Post publicly**, then use **Copy the link**. ![Preparing the Trust Center](https://docs.cisapp.eu/images/en/trust-center.webp) *Publication options determine what your reader can see. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/trust-center.webp)* ## Check and revoke Open the link in a private window to check what is accessible without signing in. Disable publication to remove public access. If limited validity was selected, check the displayed expiration. ## What your recipient reads They read a snapshot, not necessarily the current state of every control. Check the date and refresh sharing when the content needs updating. ## Common difficulties If no compliance workspace exists, create it from the [overview](https://docs.cisapp.eu/en/compliance/overview). If a link no longer works, check publication and validity. Before sharing, verify the actual content shown in the preview. ## Expected outcome The portal displays only the information and documents you chose to make accessible. Its public link has been reviewed outside your signed-in session. --- Source: https://docs.cisapp.eu/en/compliance/gdpr # Maintain GDPR registers Create a register and describe processing activities, data and transfers. > **Access:** member. **Beta** feature, subject to enabled modules and your plan. ## Create the register 1. Open **Compliance → GDPR**. 2. Start register creation and choose **Type** and **Mode**. 3. Enter the offered contacts, including the DPO and controller contact where relevant. 4. Select **Create register**. If a register of that type already exists, CISAPP may open it instead of creating a duplicate. ![GDPR processing registers](https://docs.cisapp.eu/images/en/gdpr.webp) *The register groups the processing activities described by your organization. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/gdpr.webp)* ## Add a processing activity Create an activity from the register. Complete general information, client information when requested, processed data, recipients and transfers. Review the created record and supporting information or documents. A GDPR processing activity is distinct from a business activity used to track vendor dependencies. ## Keep it up to date Return to an activity when data, purposes, recipients or transfers change. Use register editing actions to maintain contacts and context. ## Expected outcome An authorized reader can understand the processing described and its main participants. The register supports tracking; the people responsible for your GDPR work remain responsible for validating its information. For an event affecting personal data, see [Data breaches](https://docs.cisapp.eu/en/compliance/breaches). --- Source: https://docs.cisapp.eu/en/compliance/breaches # Assess a data breach Describe an event and use the severity assessment wizard. > **Access:** member. **Beta** feature, subject to enabled modules and your plan. ## Purpose The breach workspace records events affecting personal data and provides a severity assessment wizard. ## Use the wizard 1. Open breaches from GDPR or from the linked incident record. 2. Start the severity assessment. 3. Complete **Incident details**: context, entity and known facts. 4. At **Data impact**, describe the relevant data and consequences. 5. Complete **Risk factors** using available information. 6. Review **Assessment results** and save the offered tracking information. ## Review and complete Reopen the record when new facts become known. If you edit the assessment, check the updated results. Distinguish confirmed facts from assumptions in descriptions. ## Wizard limitations The result supports analysis; it does not make decisions for your organization’s responsible people. Notification decisions and related actions belong in your event-management process. Do not assume that recording a breach in CISAPP sends an external notification. ## Expected outcome The record retains reviewable context and assessment information consistent with the associated [incident](https://docs.cisapp.eu/en/risks/incidents). --- Source: https://docs.cisapp.eu/en/compliance/documents # Manage governance documents Use the catalogue, prepare required documents and track your documents. > **Access:** organization administrator. Subject to enabled modules and your plan. ## Browse documents Open **Compliance → Documents**. The workspace separates your documents, documents to produce, the template catalogue and settings available to your account. ![Governance documents and catalogue](https://docs.cisapp.eu/images/en/governance.webp) *The catalogue helps you start a document suited to an identified need. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/governance.webp)* ## Create or import 1. Review required documents or the catalogue to find a suitable template. 2. Start creation and complete the offered information. 3. Open the created document to adapt its content to your organization. 4. Use import if you already have a document to bring into the workspace. 5. Review and save information before sharing. ## Configure the scope Governance settings determine what is proposed to your organization. Changing them requires appropriate administrative access. Check the effects before applying a change. ## Expected outcome Your organization’s documents reflect its context rather than an unadapted template. A governance document and assessment evidence may be related in your process, but their permissions and tracking still need separate checks. ## Common difficulties If a template is missing, check filters, language and scope. If editing is unavailable, check access. To share files, see [Files and classification](https://docs.cisapp.eu/en/collaboration/files). --- Source: https://docs.cisapp.eu/en/reporting/dashboard # Read and build dashboards Read Home, create a dashboard from a template, add widgets, share it and organize the Steering menu. > **Access:** member to view; organization administrator (or client entity administrator) to organize the menu and choose Home. The dashboards module depends on your plan. > > **Language:** the dashboard screens are not yet translated into English. Labels below translate the French interface. ## Open Home Select **Home**. The organization chooses which dashboard appears here for all its members. If no Home is set, the **Overview** template (critical vendors, open risks, expiring exemptions, assessment coverage) is shown. If no dashboard is available, the page offers to create your own or, for an administrator, to choose the organization's Home. ![Overview dashboard](https://docs.cisapp.eu/images/en/dashboard.webp) *Read figures alongside their scope and the data actually recorded. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/dashboard.webp)* On a dashboard, the **period and refresh** controls let you set the chart period, refresh all widgets or enable automatic refresh. Each widget also offers, depending on its type, **Full screen**, **View as table**, **Export as CSV** or **as image (PNG)**, and a **View details** link to the relevant register. ## Find your dashboards The **Steering** menu lists the dashboards pinned by the organization and your favorites. **All dashboards** opens the full list, with four tabs: | Tab | Content | |---|---| | My dashboards | The ones you created. | | Shared with me | Those a colleague gave you access to. | | Organization | Organization dashboards, visible to all members. | | Templates | Ready-made CISAPP dashboards, read-only. | Use search to filter and the star to add or remove a favorite (favorites are sorted first). ## Create a dashboard 1. In the list, select **New dashboard**. 2. **Starting point**: choose a blank dashboard or a template (Overview, Vendors, Risks, Compliance, Assessments, Action plan tracking (all plans), Action plan tracking (one plan), SecOps, GDPR, Third-party risk committee). 3. **Information**: name, description and icon. 4. **Access and sharing**: you are the owner; add colleagues or teams with read or edit rights, as for other items. 5. **Summary**, then create. A warning appears if some shares failed: retry from **Share**. An interrupted creation draft can be restored when you reopen the wizard. ## Add and arrange widgets On a dashboard you can edit, select **Customize** (or **Add a widget** if it is empty). The gallery has two tabs: - **Ready to use**: preconfigured indicators grouped by category (vendors, risks, compliance, incidents, etc.). Use the indicator search or **Expand all** / **Collapse all**. An indicator missing from your plan shows a lock ("Not included in your plan"). - **Create from scratch**: choose a visualization type (key figure, ratio, line, bars, donut, list, matrix, text, section, news, network graph, cartography), then configure its data. Drag a widget onto the dashboard, or click it to add it. A dashboard holds at most 40 widgets. - **Configure** opens the widget editor: visualization, queries, formulas, filters, target and thresholds. See [Configure a widget](https://docs.cisapp.eu/en/reporting/widgets). - Move and resize widgets with the mouse, or the keyboard (arrows; Shift + arrows to resize). Layout can only be edited on screens at least 1024 px wide. - **Duplicate** and **Delete** are available on each widget in customization mode. - **Undo/Redo**, then **Save**. If someone else saved the dashboard while you were editing, choose **Reload** or **Overwrite**. Unsaved changes can be restored when you return. - **Missing an indicator?** **Request a widget** sends your need (title, need, desired visualization) to the CISAPP team, who reply by email. Requests are limited per hour. ## Share, duplicate, publish In a dashboard's actions menu: - **Share**: gives members or teams access (read/edit rights). - **Duplicate**: creates a personal copy. A template or read-only dashboard is customized this way (**Duplicate to customize**). - **Propose to the organization**: creates a draft copy for the organization. - **Publish** / **Back to draft** (administrator): an organization draft is hidden from members, the Steering menu and Home. - **Set as organization Home** (administrator): members land on this dashboard. - **Delete**: permanent; owner only. ## Organize the Steering menu (administrator) Two entry points lead to the same settings: - In the list, **Organize menu**: drag dashboards into **Pinned** (maximum 20) and reorder them; choose the **Home**. - **My company → Dashboards**: the **Home** section chooses the **Home dashboard**; the **Steering menu** section lists pinned dashboards in order, with **Manage menu**. Only published organization dashboards can be used as Home; when none is chosen, members see **Overview (CISAPP template)**. The Home dashboard is always pinned; unpinning it removes it as Home. An organization draft cannot be pinned: publish it first. Pinning a personal dashboard **transfers it to the organization** (visible to all, editable by administrators, personal shares removed) after confirmation. ## Prepare a review 1. Check the update time and period. 2. Open priority items from lists and **View details** links. 3. Examine their details before deciding an action. 4. Complete missing data in the relevant registers. ## Current limitations Widgets reflect data from enabled modules. An empty value or dash may indicate unavailable data rather than zero. Evolution over time of a key figure or ratio is only available after enabling **Track history**, with no backfill (see [Set a target and thresholds](https://docs.cisapp.eu/en/reporting/widgets#set-a-target-and-thresholds)). See also [Configure a widget](https://docs.cisapp.eu/en/reporting/widgets), [Query language](https://docs.cisapp.eu/en/reporting/query-language) and [Prepare a risk committee](https://docs.cisapp.eu/en/guides/risk-committee). ## Expected outcome You open Home, find or create the suitable dashboard, and review indicators with their scope before opening the corresponding registers. --- Source: https://docs.cisapp.eu/en/reporting/dependencies # Explore the dependency map Connect activities and vendors to understand failure impacts. > **Access:** member. **Beta** feature, subject to enabled modules and your plan. ## Prepare the data The map uses activities and their vendor relationships. Create business activities and link supporting vendors first. Without relationships, the map can be empty even when vendors exist in the register. ## Explore the map 1. Open **Steering → Map of outbuildings**. 2. Find activities and the subjects they depend on. 3. Use the offered filters and presentation options. 4. Open accessible details to examine important relationships. 5. Consider this alongside criticality and identified risks. ![Dependency map connecting activities and vendors](https://docs.cisapp.eu/images/en/dependencies.webp) *A relationship missing from the registers cannot be inferred by the map. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/dependencies.webp)* ## Expected outcome You can identify activities affected by vendor unavailability and prepare questions for review. ## Empty or incomplete map Check relationships in activity records, filters and permissions. An isolated vendor may indicate a missing link; it is not proof that the vendor has no business impact. To find shared dependencies, see [Concentration](https://docs.cisapp.eu/en/reporting/concentration). --- Source: https://docs.cisapp.eu/en/reporting/concentration # Read dependency concentration Identify shared vendors and exposed activities. > **Access:** member. **Beta** feature, subject to enabled modules and your plan. ## Purpose Concentration helps examine dependencies shared by multiple activities. It complements the map without replacing review of source data. ## Perform the review 1. Open **Steering → Concentration view**. 2. Check the offered scope and filters. 3. Find vendors and subjects used by multiple activities. 4. Open linked items to understand criticality and documented fallback options. 5. Identify dependencies to discuss with business owners. ![Dependency concentration view](https://docs.cisapp.eu/images/en/concentration.webp) *The view depends on relationships recorded in activities. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/concentration.webp)* ## Interpret results High concentration is a signal to investigate, not an automatic decision. Check actual alternatives, replacement constraints and risks already tracked. An activity without recorded links should not be treated as dependency-free. ## Expected outcome You have a list of dependencies and affected activities to examine in committee. Record decisions in [risks](https://docs.cisapp.eu/en/risks/register) or [projects](https://docs.cisapp.eu/en/collaboration/projects). If the view seems inconsistent, start by checking the [dependency map](https://docs.cisapp.eu/en/reporting/dependencies) and activity records. --- Source: https://docs.cisapp.eu/en/reporting/news # Organize GRC monitoring Monitoring brings together news from sources enabled for your organization. > **Access:** members with module access; **beta** functionality subject to the plan and enabled features. ## Read news 1. From **Dashboard**, open the news section’s link to the full list. 2. Filter by category or source to focus on useful topics. 3. Open an article to read its original publication in a new tab. 4. Use pagination when the feed contains more than one page. ![GRC news list](https://docs.cisapp.eu/images/en/news.webp) *Filters focus the feed on relevant sources and categories. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/news.webp)* ## Manage sources Open **Manage My Sources**. The catalog groups sources by category; switches determine which sources your organization uses. Changes may therefore affect other members’ monitoring feeds. To add a feed, use the custom-feed action, enter a name and a public HTTPS RSS URL, then confirm. Private addresses are not accepted; respect the feed limit shown by the interface. Check the necessary permissions before modifying or deleting a source. ## Expected outcome News comes from the intended sources and can be filtered by topic. A news article provides context; it does not automatically update your requirements or risk register. ## Common difficulties For an empty list, clear filters and check enabled sources. If a feed is rejected, verify that it is public, uses HTTPS and provides the expected RSS format. A lack of recent articles may also originate from the source itself. --- Source: https://docs.cisapp.eu/en/reporting/widgets # Configure a widget Choose a widget's visualization, describe its data with queries and filters, combine them with formulas and set a target. > **Access:** edit right on the dashboard. A template or read-only dashboard is edited after **Duplicate to customize**. The dashboards module and some indicators depend on your plan. > > **Language:** the widget editor is not yet translated into English. Labels below translate the French interface; formulas and query code are identical in both languages. ## Open the editor 1. On the dashboard, select **Customize**. 2. Add a widget from the gallery, or open an existing widget's menu and choose **Configure**. 3. The editor opens in a side panel. **Expand editor** gives it the full screen width. The panel holds the **Title**, a **Preview**, then the **Visualization**, **Data** and **Display** sections. **Apply** carries the settings over to the dashboard; then **Save** the dashboard. The preview updates as you type. While the configuration is incomplete, it says the preview will appear once the configuration is complete, or shows the last valid configuration. **Pin preview** keeps it visible while you scroll through the settings. ## Choose the visualization | Visualization | Use | Expected data | |---|---|---| | Key figure | One highlighted value. | A single value. | | Ratio | A percentage with a progress bar or ring. | A part and a total. | | Line | Change over time. | A grouping by date; up to 12 series. | | Bars | Comparison between categories or periods. | A grouping; up to 12 series. | | Donut | A breakdown. | A grouping by category. | | List | Items with a link to their details. | Columns (maximum 8). | | Matrix | A grid crossing two dimensions, colored by volume. | A grouping and a **Split by** field. | | Network graph | Links between vendors, assets or risks. | A network-type source. | | Text | Instructions, context, links. | None: Markdown content (headings, lists, links, bold). | | Section | A heading that splits the dashboard into parts. | None: title and optional **Subtitle**. | | News | Latest cyber news. | None: **Sources**, **Categories** and **Number of articles**. | | Cartography | A mini-map of your vendors and their dependencies. | None. | Changing the visualization adapts the existing queries when possible. If the data does not fit the new type, a message at the bottom of the panel explains why, for example that this widget type needs a grouping and a **Split by** field. ## Describe the data with queries The **Data** section contains one or more queries. Each query has a name (**a**, **b**…) that the displayed value and formulas reuse. 1. In **Source**, choose a ready-to-use indicator (**Indicators** group) or a data family (**Data** group: vendors, risks, treatment measures, incidents, controls, evidence, exemptions, assessments, assets, vulnerabilities, applications, activities, GDPR processing activities, connectors, action plans, tasks). 2. Add filters (see below). 3. For a line, bars or donut, choose **Group by**. For a date, choose the period: day, week, month, quarter or year. 4. For a list, choose the **Columns** (maximum 8). 5. Open **Advanced options** if needed: **Calculate** (Count, Distinct values, Sum, Average, Median, Minimum, Maximum, Share), **On field**, **Split by**, **Period** and **Date used**, **Sort by** and **Maximum number of rows** (maximum 200). 6. The **Label** field renames the series in the legend. The **Action plans** selector limits the data to the chosen action plans, for sources attached to them. On each query row, you can **Hide** or **Show** the query (it is still computed and usable by formulas), **Duplicate** it, **Delete** it or collapse it. The **Form / Code** toggle lets you write the query as text; see [Query language](https://docs.cisapp.eu/en/reporting/query-language). The **Query** button adds a query, copied from the last data query: changing one filter is often enough. A widget holds at most 6 queries. ## Filter the data 1. Select **Add a filter**, then choose a field, a condition and a value. 2. To combine conditions, select **Add a group** and choose its mode: **All**, **At least one** or **None**. Conditions available depending on the field: equals, differs from, greater than, greater than or equal, less than, less than or equal, contains, is one of, is not one of, contains all, is between, is empty, is filled in. Dynamic values: - **Me (signed-in user)** and **My teams**: each reader sees their own figures. - Relative dates: Today, 7, 30 or 90 days ago, One year ago, In 7 or 30 days, Start of the week, month, quarter or year, or **Exact date**. An incomplete filter is not applied; it is flagged as not yet taken into account in the preview: complete or delete it. A query holds at most 20 conditions and 4 levels of groups. ## Choose the displayed value At the top of the **Data** section, a block states what the widget displays. It depends on the visualization. **Key figure, donut, matrix, network graph: Displayed value.** Enter an expression: `a` by default, the first query. Click query chips to insert them, for example `a - b`. The block summarizes what is displayed. **Ratio: Part and total.** The widget displays part / total as a percentage. - **Part**: the counted query, with its **Part filters**. - **Total**: by default, the same source without the part filters. You can also choose another query, a formula or **New source…**. Example: share of critical vendors whose assessment is up to date, out of all critical vendors. **Line, bars, list: Displayed series.** Each visible query is a series. **Combine series** replaces the series with a **Combined expression** (`pct(a, b)` by default). **Show series separately** returns to the series. A line or bar chart shows at most 12 series. ## Combine with formulas The **Formula** button adds a named intermediate value, for example `d = max(a, b)`. The displayed value and later formulas can reuse it. - Operators: `+`, `-`, `*`, `/` and parentheses. - The **?** button lists the available functions. While typing, browse suggestions with ↑ ↓; **Enter** or **Tab** inserts, **Esc** closes. - A formula only reads queries and formulas declared before it. - A widget holds at most 4 formulas, each up to 200 characters and 8 levels of nesting. | Function | Result | |---|---| | `abs(x)` | Absolute value. | | `round(x, digits)` | Rounded to `digits` decimals (0 by default). | | `floor(x)`, `ceil(x)` | Rounded down or up to an integer. | | `sqrt(x)` | Square root (empty if negative). | | `pow(x, n)` | x to the power n. | | `min(…)`, `max(…)` | Smallest or largest value. | | `sum(…)`, `avg(…)` | Sum or average, empty values ignored. | | `clamp(x, low, high)` | Keeps x between low and high. | | `coalesce(…)` | First non-empty value (fallback value). | | `pct(part, whole)` | Percentage: part / whole × 100. | Examples: - `pct(a, b)`: share of **a** in **b**, as a percentage. - `a - b`: gap between two queries, for example open risks minus treated risks. - `coalesce(a, 0)`: shows 0 instead of an empty value. Series are aligned by period and breakdowns by category. A division by zero or a missing value gives an empty value, except for `coalesce`, `min`, `max`, `sum` and `avg`, which ignore empty values. Deleting a query used by a formula shows a warning: fix the formula concerned. ## Set a target and thresholds For a key figure or ratio, the **Display** section offers **Target and thresholds**: - **Target** (or **Target (%)**): shown next to the value; once reached, the value turns green. - **Threshold reached** and **Warning threshold**: green above the reached threshold, orange above the warning threshold, red otherwise. If the reached threshold is lower than the warning threshold, a low value is better. - **Track history**: records the value every day. The line starts when tracking is enabled: nothing is backfilled. For a ratio, **Display** also lets you choose **Bar** or **Ring**. Once history is enabled, **Show evolution** in the widget menu adds a line of the recorded value. Only its title can be edited; the query is changed on the original widget. ## Expected outcome The widget shows the intended value, percentage or series, the preview matches the result, and the dashboard is saved. ## Common issues - **Apply** stays greyed out: read the messages at the bottom of the panel, for example add a query or make one visible, or 6 queries maximum. - Outputs do not have the same shape: combined queries must use the same grouping. - A query is split by a second field: remove **Split by** from that query to use it in a formula. - A query returns a list or graph: a list or graph cannot be used in a formula. - No query or formula is called **d**: declare formula **d** before the one using it, or fix the name. - **Track history** missing: history only applies to a single data query, with no formula, and without the **Me** or **My teams** values. - Value differs from another widget: the dashboard period may override the widget's own period. A failing query is flagged in the widget frame. See also [Read and build dashboards](https://docs.cisapp.eu/en/reporting/dashboard) and [Query language](https://docs.cisapp.eu/en/reporting/query-language). --- Source: https://docs.cisapp.eu/en/reporting/query-language # Widget query language Reference for the text syntax describing a widget's data: measures, conditions, grouping, period, sorting and functions. > **Access:** edit right on the dashboard. See [Configure a widget](https://docs.cisapp.eu/en/reporting/widgets) for the editor. The editor labels are not yet translated into English; the query syntax is the same in every language. ## Write a query as text 1. In the widget editor, find the query row (**a**, **b**…). 2. Switch from **Form** to **Code**. 3. Type the query. The editor offers **Suggestions** (measures, data, clauses, fields, values) and flags errors with their position. The text describes the whole query and is equivalent to the form: you can switch between them without losing anything. The query is applied as soon as it is valid. The **Action plans** selector is only set in the form. ``` count(ticket) where status IN (TODO, BLOCKED) by priority split assignee ``` ## Structure A query starts with `measure(data)`, followed by clauses, in any order and each at most once. | Clause | Meaning | Example | |---|---|---| | `where …` | Conditions on the counted items. | `where status != DONE` | | `of …` | With `percent`: share of items matching the condition. | `percent(riskMeasure) of status = VERIFIED` | | `by field` | Group. For a date: `by field:day`, `week`, `month`, `quarter` or `year`. | `by createdAt:month` | | `split field` | Split by a second field. | `split assignee` | | `columns a, b` | With `list`: list columns (maximum 8). | `columns title, owner` | | `during …` | Period: `last7d`, `last30d`, `last90d`, `last12m`, `ytd`, `all`, or `"2026-01-01" to "2026-03-31"`. | `during last12m` | | `on field` | Date field the period applies to. | `on dueDate` | | `sort …` | Sorting: `value` or `key` for a grouping, a field for a list, then `asc` or `desc`. | `sort value desc` | | `limit n` | Maximum number of rows or groups (maximum 200). | `limit 10` | ## Measures | Measure | Meaning | |---|---| | `count(ticket)` | Number of items. | | `sum`, `avg`, `min`, `max`, `median` | Calculation on a numeric field: `avg(vendor.criticality)`. | | `distinctCount(ticket.assignee)` | Number of distinct values. | | `percent(ticket)` | Percentage, with the `of` clause. | | `list(ticket)` | List of items, with the `columns` clause. | ## Data | Code | Data | |---|---| | `vendor` | Vendors | | `risk`, `riskMeasure` | Risks, treatment measures | | `incident` | Incidents | | `control`, `evidence` | Controls, evidence | | `exemption` | Exemptions | | `evaluation` | Assessments | | `asset`, `finding` | Assets, vulnerabilities | | `application` | Applications | | `scope` | Activities | | `processingActivity` | GDPR processing activities | | `connector` | Connectors | | `project`, `ticket` | Action plans, tasks | Available data depends on the modules in your plan. ## Conditions The `where` and `of` clauses contain conditions, combined with `AND`, `OR`, `NOT` and parentheses. `AND` takes precedence over `OR`. ``` criticality >= 3 AND status = ACTIVE AND (cf."SSO" = false OR cf."SSO" IS EMPTY) ``` | Operator | Meaning | Example | |---|---|---| | `=` `!=` | Equal, different. | `status = ACTIVE` | | `>` `>=` `<` `<=` | Comparison of numbers or dates. | `criticality >= 3` | | `~` | Contains (text). | `name ~ "bank"` | | `IN (…)` `NOT IN (…)` | One of, not one of. | `status IN (ACTIVE, ONBOARDING)` | | `ALL (…)` | Contains all values (multi-value fields). | `tags ALL ("critical", "EU")` | | `BETWEEN … AND …` | Between two values. | `dueDate BETWEEN 2026-01-01 AND 2026-03-31` | | `IS EMPTY` `IS NOT EMPTY` | Empty, filled in. | `assignee IS EMPTY` | Available operators depend on the field type. A query holds at most 20 conditions and 4 levels of parentheses. ## Fields and values - **Fields**: use the technical name offered by suggestions (`status`, `criticality`, `assignee`, `dueDate`…). A custom field is written `cf."Field name"`. - **Text** in quotes: `"SSO rollout"`. - **Numbers**: `3`, `0.5`. **Booleans**: `true`, `false`. **Dates**: `2026-03-31`. - **Fixed values** (status, type…): the code or the label; suggestions show the label. - **References** (user, team, action plan, vendor): the name in quotes, for example `project = "SSO rollout"`. CISAPP stores the identifier: the widget keeps working if the item is renamed. ## Functions | Function | Value | |---|---| | `me()` | The user viewing the dashboard. | | `myTeams()` | Their teams. | | `now()` | Now; `now(-30d)` 30 days ago (`d` days, `w` weeks, `m` months, `y` years). | | `startOf(month)` | Start of the period: `day`, `week`, `month`, `quarter`, `year`. | With `me()` or `myTeams()`, each reader sees their own figures. Such a widget cannot track history. ## Examples ``` count(ticket) where assignee = me() AND status != DONE by priority percent(riskMeasure) where status != PLANNED of dueDate < now() avg(vendor.criticality) by createdAt:month during last12m list(risk) columns title, owner, residualCriticality where open = true sort residualScore desc limit 10 count(ticket) where createdAt >= startOf(month) ``` ## Expected outcome The query is accepted with no error message, the widget preview shows the expected data, and switching to **Form** shows the same settings. ## Common issues | Error | Cause | |---|---| | Unknown field | Typo, or deleted custom field. | | Unclosed quote | A quoted text is not terminated. | | Unknown value | The value does not exist for this field. | | Incomplete query | The query stops in the middle of a clause or condition. | | Unknown measure | The query must start with a measure: `count(…)`, `avg(…)`… | | Unknown data | The name in parentheses is not one of the data codes above. | | Measure needs a field | `sum`, `avg`, `min`, `max`, `median` and `distinctCount` apply to a field: `avg(vendor.criticality)`. | | Field not usable in `by` | This field cannot be used to group, split, sort or display as a column. | | Clause not available | `of` goes with `percent`, `columns` with `list`; a list has no `by` or `split`. | | Clause appears twice | Each clause is written only once. | | Operator not available for the field | Choose an operator suited to the field type. | | Too many conditions / nested parentheses | At most 20 conditions and 4 levels. | --- Source: https://docs.cisapp.eu/en/security/exposure # Understand your exposure Distinguish the security dashboard, scopes, assets and findings. > **Access:** member, tool creation. Subject to enabled modules and your plan. ## Available workspaces Open **Operational Safety** to view the dashboard. Advanced scopes, assets and findings require activation and tool-creation permission. ![Operational security dashboard](https://docs.cisapp.eu/images/en/asm.webp) *The dashboard distinguishes scope types and monitoring of exposed assets. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/asm.webp)* | Item | Purpose | |---|---| | Scope | Define domains, FQDNs or addresses to monitor. | | Asset | Represent an item discovered or declared in the scope. | | Analysis | Run an offered discovery or check. | | Finding | Record detected exposure or an issue. | ## Read the overview Check coverage and the dates of recent analyses. Consider a partial score or absence of findings alongside analyses actually executed. An empty page before any analysis does not mean there are no issues. ## My exposure **My Exhibition**, **Certifications**, **My clients** and **Shares** in that workspace are currently under construction. They should not be treated as an operational posture-sharing portal in this version. ## Expected outcome You understand the data feeding the overview and what remains to be checked. To configure monitoring, see [Scopes and analyses](https://docs.cisapp.eu/en/security/scopes-analyses). --- Source: https://docs.cisapp.eu/en/security/scopes-analyses # Configure scopes and analyses Declare a scope, verify ownership and track discovered assets. > **Access:** tool creation. Subject to enabled modules and your plan. ## Prerequisites Advanced functionality must be included and enabled. Tool-creation permission is required. Prepare a scope your organization is authorized to monitor. ## Add a scope 1. Open **Operational Safety → Scopes**, then **New scope**. 2. Choose an offered type: domain, CIDR range or FQDN list. 3. Enter the requested information and check the scope before confirming. 4. Follow the displayed ownership verification procedure. CIDR ranges require manual verification. 5. Open scope details and launch the offered analysis once required checks are complete. ![Managing monitoring scopes](https://docs.cisapp.eu/images/en/asm-surface.webp) *Verification comes before active checks that require it. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/asm-surface.webp)* ## Review assets and findings Use **Assets** for discovered items and **Findings** for detected issues. Filter by severity, category and status. Open a result to examine the offered information and recommendations. Scope discovery and tool analyses on assets follow separate schedules. Check the relevant last-run date before interpreting a result. ## Limits and stopping When the asset limit is reached, some newly discovered assets cannot be recorded. Review the quota message. Stopping or deleting scope monitoring does not mean all historical assets and findings are erased. ## Expected outcome The declared scope matches the need, verification is tracked and results are reviewed. No scan is required to consult this documentation. --- Source: https://docs.cisapp.eu/en/collaboration/projects # Organize action plans and actions Create an action plan, assign actions and follow progress. > **Access:** member. **Beta** feature, subject to enabled modules and your plan. The **Projects** menu is now called **Action plans**, and tickets are now **actions**. Until the English interface is updated, some screens may still show the former names. The **projects** in the Registers menu are a different thing: see [Do not confuse](https://docs.cisapp.eu/en/collaboration/projects#do-not-confuse). ## Create an action plan 1. Open **Action plans → All plans**, then **New action plan** (or the **Create an action plan** shortcut). 2. Enter the title and description of the work to organize. 3. Choose the proposed status and check access. 4. Finish creation and open the action plan. 5. Add actions to break the work down into concrete tasks. ![Demo action plan and actions](https://docs.cisapp.eu/images/en/projects.webp) *An action plan gathers the actions to carry out. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/projects.webp)* ## Track actions Fill in the proposed information: title, description, priority, owner and due date. Move actions between **To do**, **In progress**, **Blocked** and **Done**. In the Kanban view, moving a card updates its status; check the confirmation if an error is displayed. Use **All actions** for a cross-cutting view (**Kanban** or **List** views, **Assignee** and **Priority** filters, **Add an action** button) and **My actions** for those assigned to you. Relations between actions can represent blockers when offered. An action can also be created from an application or project record with **Add an action**: it is placed in an existing or new action plan, then associated with the record. ## Collaborate Open an action to view or complete its comments, attachments and relations. Check the action plan's rights before adding information to share. ## Expected outcome Each useful action has an owner and an understandable status. The action plan status and its actions' statuses represent different levels. ## Do not confuse A **project** under **Registers → Projects** is a file whose security is tracked up to the launch decision: see [Projects and launch decision](https://docs.cisapp.eu/en/registers/projects). An **application** is an assessed technical solution: see [Applications](https://docs.cisapp.eu/en/registers/applications). --- Source: https://docs.cisapp.eu/en/collaboration/files # Organize and share files Create folders, upload documents and check access and classification. > **Access:** member. Subject to enabled modules and your plan. ## Add documents 1. Open **Files**. 2. Use **Create folder** or open an existing folder. 3. Drop files into the offered area or use the upload action. 4. Wait for transfer confirmation and check the displayed files. 5. Open a file to verify its content before reusing it as evidence. ![File explorer](https://docs.cisapp.eu/images/en/files.webp) *Card, list and tree views help you find documents. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/files.webp)* ## Organize and classify Use file or folder actions to rename items, complete descriptions and manage tags. Check **TLP** classification. When editing a folder, applying changes to contained files and subfolders extends the change to those items: review the scope before confirming. ## Share Check the offered permissions for people and teams. Access to an assessment does not automatically guarantee access to every file mentioned. Verify visibility with the intended recipient. ## Quotas and deletion Used and available storage is shown in the explorer. If an upload fails, check the quota and transfer message. Deleting one or more items requires confirmation and is irreversible. ## Expected outcome The correct document is organized, identifiable and accessible to the intended people. To ask the CISAPP chat about it, see [AI chat and documents](https://docs.cisapp.eu/en/collaboration/chat). --- Source: https://docs.cisapp.eu/en/collaboration/signatures # Prepare a signature request Upload a PDF, add recipients and track the request. > **Access:** member. **Beta** feature, subject to enabled modules and your plan. ## Prepare the document Open **Electronic signatures** from the command palette. Check that you are using the final PDF and have the required access. ## Create the request 1. Start creating a signature request. 2. Drop the PDF into the upload area. 3. Wait for transfer confirmation. 4. Enter **Document title**, then select **Créer une signature**. 5. Open the created request and review its document preview. ![Creating a signature request](https://docs.cisapp.eu/images/en/signature.webp) *The form starts with the PDF and document title. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/signature.webp)* ## Add recipients Use **Ajouter un destinataire** and enter their name and email. Check addresses before selecting **Envoyer pour signature**. Sending is separate from creating the request. ## Track the request Reopen its record to review recipients, status and creation/completion dates. A created but unsent document has not yet been submitted to recipients. ## Common difficulties If upload fails, check that the file is a PDF and meets the displayed limit. If sending is unavailable, check recipients and required fields. ## Expected outcome The request contains the correct PDF and recipients; its state reflects the progress shown by CISAPP. --- Source: https://docs.cisapp.eu/en/collaboration/chat # Ask AI chat about your documents Choose an organization and ask about documents accessible to your account. > **Access:** member. **Beta** feature, subject to enabled modules and your plan. ## Prerequisites **AI Chat** must be included in your plan. Your account needs access to documents in the selected organization. If none are accessible, upload files or request sharing before creating a conversation. ## Start a conversation 1. Open **AI Chat**. 2. Select **New conversation**. 3. Choose the organization whose documents you want to ask about. 4. Add a description if useful and create the conversation. 5. Ask a precise question about available documents. ![AI conversation workspace](https://docs.cisapp.eu/images/en/chat.webp) *Document access determines whether a conversation can be created and used effectively. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/chat.webp)* ## Ask clearly Specify the document or topic, context and expected result. For example: “In our access policy, which steps cover reviewing external accounts?” Review cited information before reusing the answer. ## What chat reads Chat answers from the selected organization’s documents. It does not read live vendor, risk or incident register data. For current information, open the relevant registers. ## Expected outcome You receive help reading your documents. Verify important information against its source. This product chat is separate from [Markdown documentation access](https://docs.cisapp.eu/en/help/use-with-ai), which requires no CISAPP AI service. --- Source: https://docs.cisapp.eu/en/organization/company # Configure your organization Check the organization profile, domains and functional settings. > **Access:** organization administrator. Subject to enabled modules and your plan. ## Open the right workspace Select **My company** and check the organization name. Available management tabs depend on your role. Use an administrator account for organization settings. ## Maintain the profile Open **Profile** to review identity information and contact details. Save changes and check the displayed result before continuing. ## Domains and settings - **Domains**: add and verify domains using the offered actions. An organization domain is not the same as an ASM monitoring scope. - **Questionnaires and risks**: choose vendor and activity criticality questionnaires. Only questionnaires with the appropriate purpose are offered. - **Risk register methodology**: choose EBIOS RM or ISO 27005. This applies to new risks; existing risks retain their creation methodology. - **Miscellaneous**: manage the public vendor register when available. ## Publish the public register Under **Miscellaneous**, enabling the public register provides a viewing link. Only vendors marked public appear. Review the result in a private window before sharing the link. This register is distinct from the Trust Center. ## Expected outcome The profile and settings match your organization. To organize access, see [Members and teams](https://docs.cisapp.eu/en/organization/members-teams). The public vendor register is a **beta** feature in the illustrated version. --- Source: https://docs.cisapp.eu/en/organization/members-teams # Invite members and organize teams Track invitations, authorize accounts and organize teams. > **Access:** organization administrator. Subject to enabled modules and your plan. ## Invite a member 1. Open **My company → Members** with the required invitation permission. 2. Select **Invite** and enter the person’s email. 3. Check information and offered permissions before confirming. 4. Track the member’s status in the list. ![Members and invitation tracking](https://docs.cisapp.eu/images/en/members.webp) *Status distinguishes account activation from authorization. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/members.webp)* ## Understand states A member may be not invited, awaiting activation, awaiting authorization or active. Offered actions depend on state: **Send invitation**, **Resend the invitation**, **Cancel the invitation** and **Allow**. Revoking an invitation invalidates the link already sent. Before resending, check the address and spam folder with the recipient. ## Organize teams 1. Open **Teams**, then **Add team**. 2. Define its name, members, owners and offered roles. 3. Use teams to assign collective resource access. 4. Review membership when responsibilities change. A team can grant permissions on objects shared with it; it does not automatically make every resource visible. ## Import and removal Member import is offered in the list: use the format requested by the interface and review results. Before removing a member, check access and responsibilities that need transferring. ## Expected outcome Each person has the right account status and belongs to the necessary teams. For role details, see [Permissions and sharing](https://docs.cisapp.eu/en/organization/permissions). ## Review vendor access requests Under **My company → Supplier Access Requests**, authorized reviewers can open the vendor record, read the requester and message, then **Approve** or **Decline** a pending request. Check its scope before granting access. This decision is separate from inviting a member. --- Source: https://docs.cisapp.eu/en/organization/permissions # Understand permissions and sharing Distinguish creation roles, object access and administrative permissions. > **Access:** member. Subject to enabled modules and your plan. ## Check two levels **Roles** authorize actions within the organization. **Object permissions** allow reading, editing or administering a specific resource. A creation role does not automatically grant access to every existing resource. | User role | Main capability | |---|---| | User | Read shared resources. | | Organization admin | Administer the organization and members. | | Vendor creation | Create and manage vendors according to granted access. | | Assessment creation | Create and manage assessments. | | Questionnaire creation | Create and manage questionnaires. | | Activity creation | Create and manage activities. | | Tool creation | Access corresponding tooling and security operations. | | Portal user | Answer assigned questionnaires. | ## Check permissions 1. Open **My company → Rights & Roles**. 2. Review invitation permissions and offered roles. 3. Check the person’s and their teams’ permissions. 4. Open sharing on the affected resource to check its specific access. ![Permissions and role settings](https://docs.cisapp.eu/images/en/permissions.webp) *Organization permissions and resource access work together. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/permissions.webp)* ## Share a resource In sharing or the access step, choose a person or team and the necessary level: read, write or administration depending on the object. Check an external invitation’s scope before confirming. ## If access is refused Check the organization, role, object access and module activation in that order. Billing, connectors, incidents and ASM functionality can have specific permissions. Request appropriate access rather than sharing an account. ## Expected outcome Members have the required role and resources are shared with the intended people or teams. --- Source: https://docs.cisapp.eu/en/organization/profile # Set up your profile and notifications Choose your language, appearance and personal preferences. > **Access:** member. ## Access your profile Open your user menu, then **My profile**. Personal settings apply to your account; they do not replace organization settings. ## Language and appearance Under **Paramètres**, choose an offered language and light, dark or system appearance. Application language is independent of this documentation site’s language. ![Personal language and appearance settings](https://docs.cisapp.eu/images/en/profile.webp) *Personal preferences adapt your workspace. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/profile.webp)* ## Personal information Open personal information to check displayed contact details. Save changes and verify the result. ## Notifications Under **Notifications**, review available preferences and events relevant to you. In-app notifications remain accessible from their dedicated entry. An assessment notification may open an object that also requires access permissions. ## Authentication Use **Authentification** to review methods and security options offered to your account. Follow verification steps when required. For SSO-managed accounts, some operations belong to the organization’s identity provider. ## Expected outcome Your language, appearance and preferences meet your needs. If an expected message is missing, also check the account email and spam folder. --- Source: https://docs.cisapp.eu/en/organization/tags-fields # Organize tags and custom fields Define shared classification and extra information for your registers. > **Access:** organization administrator. Subject to enabled modules and your plan. ## Choose the right tool A **tag** groups items under a shared label. A **custom field** adds structured information to a supported object type. Define their purpose before creating them to avoid unnecessary variations. ## Manage tags An administrator opens **My company → Tags**. Create clear labels, then apply them to objects offering this classification. Use tag filters to find the desired scope. ## Manage custom fields 1. Open **My company → Custom fields** as an administrator. 2. Choose the affected object type. 3. Create a field with a clear label and an appropriate offered type. 4. Save, then open a record of that type to check the field and enter a value. 5. Check filters or columns offering the field. ![Custom-field management](https://docs.cisapp.eu/images/en/custom-fields.webp) *Object type and field type should match the classification need. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/custom-fields.webp)* ## Edit or delete Before deleting a tag or field, identify its use in records and filters. Inform affected users and check views after changes. ## Expected outcome Members use shared terminology and comparable data. Technologies, when offered in organization settings, complement classification for the relevant objects. --- Source: https://docs.cisapp.eu/en/organization/security # Administer access security Find organization security settings and distinguish available screens. > **Access:** organization administrator. Subject to enabled modules and your plan. ## Prerequisites Organization security settings are restricted to that organization’s administrators. Settings for your own authentication are under [My profile](https://docs.cisapp.eu/en/organization/profile). ## Use the right screen Open **My company → Security**. Review offered options and sign-in information. Identity-provider and network-restriction settings depend on capabilities enabled for the organization. **Administration → Security** is currently under construction. It does not replace the My company security page. ## Prepare a change 1. Check that you are administering the correct organization. 2. Review how its members authenticate. 3. Prepare the information requested for the chosen setting. 4. Apply the change with the people responsible for organization authentication. 5. Verify sign-in with an affected account before considering the setting operational. ## Expected outcome Settings reflect the policy your organization selected, and affected members can sign in. For refused access, follow your internal support process with useful non-sensitive details: time, browser and displayed message. For common sign-in issues, see [Troubleshooting](https://docs.cisapp.eu/en/help/troubleshooting). --- Source: https://docs.cisapp.eu/en/organization/connectors # Configure connectors Connect an offered service, check its state and review synchronization. > **Access:** organization administrator. **Beta** feature, subject to enabled modules and your plan. ## Prerequisites Connectors must be included and enabled. Organization administrators manage them. Prepare access to the service you want to connect. ## Add a connection 1. Open **My company → Connectors** or the corresponding **Integrations** entry. 2. Review providers actually offered in the interface catalogue. 3. Choose a service and follow its required method: provider authorization or dedicated settings and credentials. 4. Check requested permissions and finish configuration. 5. Open the created connection to review its state and available synchronization functions. ![Connector list](https://docs.cisapp.eu/images/en/integrations.webp) *The catalogue in your workspace is the reference for supported services. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/integrations.webp)* ## Connector guides - [Connect GitHub](https://docs.cisapp.eu/en/organization/connectors/github): app installation, repository links, Dependabot. - [Connect GitLab](https://docs.cisapp.eu/en/organization/connectors/gitlab): OAuth authorization, project links, vulnerability report. - [Connect an AWS account](https://docs.cisapp.eu/en/organization/connectors/aws): read-only role, cloud inventory, Security Hub. - [Connect a Scaleway organization](https://docs.cisapp.eu/en/organization/connectors/scaleway): read-only API key, cloud inventory, posture findings. - [Connect an OVHcloud account](https://docs.cisapp.eu/en/organization/connectors/ovh): read-only authorization, cloud inventory, posture findings. - [Connect a Microsoft Azure tenant](https://docs.cisapp.eu/en/organization/connectors/azure): read-only service principal, cloud inventory, posture findings, Defender for Cloud. - [Connect a Google Cloud account](https://docs.cisapp.eu/en/organization/connectors/gcp): read-only service account impersonated by CISAPP, cloud inventory, posture findings. Each connection record also offers a **Documentation** button to the matching guide. ## Track the connection Review state, last synchronization and errors offered on its record. Saving a connection does not imply that all expected data has already synchronized. ## Fix or remove If authentication expires, follow the offered reconnection action. If data is missing, check the scope and permissions granted in the remote service. Disable or remove connections no longer needed. ## Expected outcome The connection is authorized for the correct scope and its state has been checked. Services absent from the catalogue are not described as available in this documentation. --- Source: https://docs.cisapp.eu/en/organization/connectors/aws # Connect an AWS account Deploy a read-only AWS role to inventory cloud resources and import Security Hub findings. > **Access:** organization administrator. **Beta** feature; the connector must be enabled on your platform. ## Prerequisites - Be an organization administrator in CISAPP. - Be able to create a CloudFormation stack and an IAM role in the target AWS account. - For security findings: AWS Security Hub enabled in the regions to scan. ## Deploy the role 1. Open **My company → Connectors**, then **Connect** on the AWS card. 2. **Deploy the role** step: CISAPP shows its principal and an **ExternalId** unique to this connection. 3. Click **Deploy with CloudFormation**, or copy the template and deploy it yourself with these two values. 4. The role is read-only (SecurityAudit and Security Hub read access): CISAPP never changes your account. ## Verify and connect 1. Click **I deployed the role**. 2. Paste the **Role ARN** (RoleArn output of the stack). 3. Optionally list **Regions**; leave empty for every enabled region. 4. **Verify and connect**: CISAPP tests access, activates the connection and starts the first synchronization. If you close the wizard before verification, the connection stays **Pending**: use **Resume setup** from its record. ## Track synchronization The record shows the last synchronization and, if needed, an incomplete one (for example an unreachable region). **Synchronize** starts a new scan; an automatic synchronization also runs every night. Resources appear in **View inventory** and **View map**, Security Hub findings in security findings. ## Common issues | Message | What to do | | --- | --- | | AWS connector is not configured | The connector is not available on your platform yet: contact support. | | AWS refused access | Check that the stack is deployed and that principal and ExternalId match the displayed values. | | Security Hub is not enabled in any scanned region | Enable Security Hub or adjust the regions. | ## Disconnect **Disconnect** deletes the connection and its cloud inventory, and resolves its Security Hub findings. Then delete the CloudFormation stack in your AWS account. ## Expected result The connection is active, the cloud inventory is populated and Security Hub findings appear in CISAPP. See also: [Configure connectors](https://docs.cisapp.eu/en/organization/connectors). --- Source: https://docs.cisapp.eu/en/organization/connectors/azure # Connect a Microsoft Azure tenant Create a read-only Azure service principal (Reader role) to inventory cloud resources and report posture findings and Defender for Cloud recommendations. > **Access:** organization administrator. **Beta** feature; the connector must be enabled on your platform. ## Prerequisites - Be an organization administrator in CISAPP. - Be able to create an **app registration** in Microsoft Entra ID and assign a role on the target subscriptions (or on their management group): owner, User Access Administrator or equivalent rights. - An Azure tenant can only be connected to **one** CISAPP organization; an organization can, however, connect several tenants. - **Public** Azure cloud only: the China (21Vianet) and US Government clouds are not supported. ### Minimum permissions The **Reader** role is enough, on each subscription to analyze or on a management group. The **Security Reader** role is not needed: Reader already reads Microsoft Defender for Cloud recommendations. **Never grant** Contributor, Owner, User Access Administrator, or any data-access role (for example Key Vault Secrets User, Storage Blob Data Reader): CISAPP does not need them. No Microsoft Graph permission is required either. ## Create the access in Azure CISAPP never uses your personal account: create a dedicated, read-only **service principal** with a **client secret**. ### With the Azure CLI Replace `` with the ID of the subscription to analyze. ```bash az ad sp create-for-rbac --name cisapp-reader --role Reader --scopes /subscriptions/ --years 1 ``` Several subscriptions: separate the scopes with spaces. ```bash az ad sp create-for-rbac --name cisapp-reader --role Reader --scopes /subscriptions/ /subscriptions/ ``` A management group (covers current and future subscriptions). Use its **ID**, not its display name: ```bash az ad sp create-for-rbac --name cisapp-reader --role Reader --scopes /providers/Microsoft.Management/managementGroups/ ``` Run only **one** of these three commands (each creates the service principal). To extend the scope afterwards, use `az role assignment create`: ```bash az role assignment create --assignee --role Reader --scope /subscriptions/ ``` The creation command prints a JSON document, **only once**; the secret cannot be read again afterwards: | Field printed by Azure | CISAPP field | | --- | --- | | `tenant` | **Tenant** | | `appId` | **Client ID** | | `password` | **Client secret** (this is the secret **value**) | | `displayName` | Informational only, not requested | The secret is valid for one year (`--years 1`). To read its end date (to enter in CISAPP, see below; keep the first 10 characters, in `YYYY-MM-DD` format): ```bash az ad app credential list --id --query "[].[displayName,keyId,endDateTime]" -o tsv ``` The command also prints each secret's `keyId`, needed to delete the old one during a rotation. The date entered in CISAPP must be **in the future**. ### From the portal 1. In the Microsoft Entra admin center, **App registrations → New registration**: single tenant, no redirect URI, and do not add any API permission (Microsoft Graph). Copy the **Application (client) ID** and the **Directory (tenant) ID**. 2. **Certificates & secrets → New client secret**: choose an expiry, then immediately copy the **Value** (not the **Secret ID**). 3. In the Azure portal, open **Subscriptions** (or **Management groups**), pick the scope, then **Access control (IAM) → Add → Add role assignment**. 4. Choose the **Reader** role, then **Members → Select members**, search for the application name, select it and confirm with **Review + assign**. Repeat for each subscription. > A role assignment can take up to **10 minutes** to propagate (sometimes longer for a management group). If CISAPP does not see any subscription yet, wait and try again. ## Connect in CISAPP 1. Open **My company → Connectors**, then **Connect** on the Azure card. 2. Fill in: - **Tenant**: the directory GUID (the `tenant` field of the command), or a verified domain of the tenant (for example `contoso.onmicrosoft.com`); - **Client ID**: the application ID (`appId`); - **Client secret**: the secret **value** (not its ID); - **The secret expires on** (optional, format `YYYY-MM-DD`, must be **a future date**): lets you be alerted 30 days before the secret expires; - **Subscriptions** (optional): GUID identifiers, 100 at most. Empty: every subscription the principal can read (beyond 100 subscriptions, leave the field empty or assign the Reader role on a management group). The list can be edited later from the record. 3. **Verify the credentials**: CISAPP tests the credentials with Microsoft before saving anything. 4. At the **Confirm the Azure tenant** step, check the displayed **tenant ID**, then **Connect**. An Azure tenant can only be connected to one CISAPP organization. The first synchronization starts. If you close the panel before confirmation, the connection stays **Pending**: use **Confirm the account** from its record. Subscriptions in the **Disabled** state are not collected (see "Subscription not collected" below). Connecting a tenant that is already attached to another CISAPP organization is refused ("This Azure tenant is already connected by another CISAPP organization."). ## What CISAPP collects CISAPP queries **Azure Resource Graph** and a few targeted Azure Resource Manager reads. It only reads **configuration**, never content: - storage accounts (blob service configuration, not the objects); - network security groups, virtual networks and subnets, public IP addresses; - virtual machines and managed disks; - SQL servers (Azure SQL), PostgreSQL and MySQL flexible servers, Cosmos DB accounts; - Key Vault vaults (vault properties only), AKS clusters; - App Service and Functions apps; - subscriptions and their number of owners (Owner role assignments); - Microsoft Defender for Cloud recommendations. CISAPP changes nothing in your tenant. It never reads access keys, secrets, app settings, connection strings or `kubeconfig` files, and does not use the Key Vault data plane. The Reader role does not allow the actions that reveal these values anyway, and CISAPP never calls them. Resources appear in the **Operational Safety → Cloud inventory** menu entry and its **Map** view. ## Posture findings Findings appear in security findings with the **Azure posture** source. A rule only triggers when the information is certain: an unknown state (missing permission, absent data, resource not collected) neither creates nor resolves a finding. | ID | Rule | Severity | | --- | --- | --- | | `azure-storage-public-blob-access` | Storage account allowing public blob access | High | | `azure-storage-http-allowed` | Storage account accepting unencrypted HTTP traffic | Medium | | `azure-storage-weak-tls` | Storage account accepting TLS 1.0 or 1.1 | Medium | | `azure-storage-network-open` | Storage account open to all networks | Medium | | `azure-storage-blob-soft-delete-disabled` | Storage account without blob soft delete | Low | | `azure-nsg-remote-admin-exposed` | Network security group exposing SSH or RDP to the Internet | High | | `azure-nsg-database-ports-exposed` | Network security group exposing a database port to the Internet | High | | `azure-sql-public-network-access` | SQL server reachable from the public network | Medium | | `azure-sql-weak-tls` | SQL server accepting TLS below 1.2 | Medium | | `azure-sql-firewall-open-to-internet` | SQL server with a firewall rule open to all IP addresses | Critical | | `azure-dbflex-public-network-access` | PostgreSQL/MySQL flexible server reachable from the public network | Medium | | `azure-dbflex-tls-not-required` | PostgreSQL/MySQL flexible server not enforcing TLS | High | | `azure-keyvault-purge-protection-disabled` | Key vault without purge protection | Medium | | `azure-keyvault-public-network-open` | Key vault open to all networks | Medium | | `azure-aks-api-server-public` | AKS cluster whose Kubernetes API is exposed without IP restriction | High | | `azure-aks-rbac-disabled` | AKS cluster without Kubernetes RBAC | High | | `azure-webapp-https-only-disabled` | Web app not enforcing HTTPS | Medium | | `azure-webapp-weak-tls` | Web app accepting TLS 1.0 or 1.1 | Medium | | `azure-cosmos-public-network-open` | Cosmos DB account publicly reachable without a filter | High | | `azure-subscription-too-many-owners` | Subscription with more than 3 owners (Owner) | Medium | A SQL firewall is only flagged for the full range 0.0.0.0 to 255.255.255.255; the special "Azure services" rule (0.0.0.0 to 0.0.0.0) does not trigger a finding, and a server whose public network access is disabled is compliant. For network security groups, rules are evaluated by priority: an unreadable rule placed before the deciding rule makes the state unknown, and a deny rule only closes a port for the whole group when its destination is any (`*`, `0.0.0.0/0`, `::/0`). ### Subscription not collected If a selected subscription is not collected (**Disabled** state, configured ID that is no longer listed, or not yet visible to Azure Resource Graph), CISAPP still creates new findings but **automatically resolves no CISAPP rule finding** during that synchronization, and deletes nothing of that subscription. Defender for Cloud recommendations of the collected subscriptions still resolve normally. The cause is reported by an English note shown under the last incomplete synchronization text: `Posture findings are not auto-resolved while these subscriptions are not collected: . Remove them from subscriptionIds, or wait until Azure deletes them.` Azure deletes a **Disabled** subscription about 90 days later; it then leaves the listing. If you entered a subscription list, remove it from the list. If a **Disabled** subscription stays listed (default mode: all subscriptions), enter an explicit subscription list that does not contain it to resume automatic resolution. ### Defender for Cloud recommendations If Microsoft Defender for Cloud is enabled on a subscription, CISAPP also imports its recommendations in the **Unhealthy** state as findings, with the same **Azure posture** source. One finding is created per recommendation and per affected resource. Their titles, descriptions and severities come from Microsoft and are shown in **English**. The number of imported recommendations is capped per subscription (most severe first). When a recommendation is no longer unhealthy, its finding is resolved. If Defender for Cloud is not enabled or returns no data, nothing is imported or resolved. Nothing is resolved either when the cap is reached. ### Secret expiry The expiry date (**The secret expires on**) is handled separately from the rules: without a date, no warning is shown; less than 30 days before the declared deadline, a **Credentials expiring soon** badge appears on the record. ## Replace the secret (rotation) 1. Create a new secret **while keeping the old one**: ```bash az ad app credential reset --id --append --years 1 --display-name cisapp-AAAA ``` Never forget `--append`: without it, the command deletes all existing secrets and the connection fails immediately. 2. On the connection record, **Update credentials**: in the **Replace the Azure secret** panel, paste the new secret **value**, fill in **The secret expires on** with its new date (it must be in the future: the field is prefilled with the old date, which you must replace, especially after an expiry), then **Verify and replace**. The old secret stays in use until the new one is validated. 3. The new secret must belong to the **same Azure tenant**; otherwise it is refused and the current secret is kept. 4. Then delete the old secret: find its `keyId` with `az ad app credential list --id --query "[].[displayName,keyId,endDateTime]" -o tsv`, then `az ad app credential delete --id --key-id `. Subscriptions can be changed from the record (**Edit**, **Edit the scope** panel), without re-entering the secret. Removing a subscription from the connection removes its resources from the inventory at the next sync. The expiry date (**The secret expires on**), however, is updated together with the secret, not from **Edit**. An expired secret puts the connection in **Error** (**Expired credentials**): create a new secret and rotate it from the record. ## Common issues **When connecting**, Azure does not detail the cause in the interface: every refusal shows the message "Azure refused these credentials: invalid secret (paste the secret value, not its ID) or expired, application or tenant not found, access blocked by a conditional access policy, or Reader role missing...". **At synchronization**, the AADSTS codes below appear under **Last synchronization incomplete** (connection record) when an already saved secret is refused; their meaning there sometimes differs from the connection one. | Message | What to do | | --- | --- | | The Azure connector is unavailable on this CISAPP instance (secret encryption not configured). Contact support. | The connector is not configured on your platform yet: contact support. | | Azure refused these credentials... | Check, in order: the secret **value** (not its ID), its expiry date, the **Tenant** and the **Client ID**, that no conditional access policy blocks the application, and the Reader role assignment on each listed subscription (propagation: up to 10 minutes). | | AADSTS7000215 / AADSTS70002 at synchronization (invalid client secret) | The saved secret was deleted or replaced on the Azure side (for example `az ad app credential reset` without `--append`): create a new secret and rotate it from the record. When connecting, the usual cause is the **secret ID** pasted instead of its **value** (`password` in the command output). | | AADSTS7000222 (expired secret) | The client secret has expired: create a new one and rotate it from the record. | | AADSTS700016 (application not found) | When connecting: the client ID or the tenant is wrong, check that the application belongs to this tenant. At synchronization: the application was deleted in Microsoft Entra ID; recreate it, then rotate from the record. | | AADSTS90002 (tenant not found) | The tenant ID or domain is wrong: use the directory GUID. | | This service principal belongs to another Azure tenant: the current secret is kept. | When rotating, the new secret must belong to the same tenant as the connection. | | **Insufficient permissions** status and last synchronization `no readable subscription` (English message) | The Reader role is not assigned to the application (or was removed), or the assignment has not propagated yet (up to 10 minutes): check the assignment, wait and try again. | | A subscription is reported as unreadable in the synchronization (English message, `Subscription ... not readable`) | The Reader role is missing on that subscription, or its ID is wrong in the list: the other subscriptions are analyzed normally. Fix the assignment or remove it from the list. | | Subscription missing from the inventory, or findings that no longer resolve | A selected subscription is not collected (**Disabled** state, no longer listed, not yet visible to Azure Resource Graph): the synchronization reports it (note under the last incomplete synchronization) and suspends automatic resolution of CISAPP rule findings. See "Subscription not collected". | | Recent resource missing | Azure Resource Graph is eventually consistent: a resource created just now appears at the next synchronization. | | This Azure tenant is already connected by another CISAPP organization. | An Azure tenant has a single connection: disconnect it from the other CISAPP organization first. | | Expired credentials or Credentials rejected | Create a new secret and rotate it from the record. | ## Limits - Public Azure cloud only (no China or US Government). - An Azure tenant can only be connected to one CISAPP organization; an organization can connect several tenants. - Synchronization follows the same schedule as the other cloud connectors: automatic every night, and on demand with **Synchronize** on the record. - The secret expiry date is **declarative**: CISAPP cannot read it from Azure, and it must be in the future. Without a date, expiry is only detected when Microsoft refuses the secret. - Selected subscriptions are limited to 100 (beyond that: empty field, or Reader role on a management group). - When a subscription leaves the scope (removed from the list, or deleted by Azure), its resources are removed from the inventory and its CISAPP rule findings are resolved, but its already imported Defender for Cloud recommendations stay open until the connector is disconnected. ## Disconnect **Disconnect** deletes the connection and its cloud inventory, and marks its posture findings as resolved. Then delete the secret (or the app registration and its role assignments if they are no longer used) in Microsoft Entra ID and in the Azure portal. ## Expected result The connection is active, the cloud inventory is populated and Azure posture findings, along with Defender for Cloud recommendations, appear in CISAPP. See also: [Configure connectors](https://docs.cisapp.eu/en/organization/connectors). --- Source: https://docs.cisapp.eu/en/organization/connectors/gcp # Connect a Google Cloud account Authorize CISAPP read-only on a Google Cloud (GCP) environment through a service account that CISAPP impersonates, to inventory cloud resources and report security posture findings. > **Access:** organization administrator. **Beta** feature; the connector must be enabled on your platform. ## How it works No key is exchanged or stored. You create a **read-only service account** in one of your projects and you allow the **CISAPP platform service account** to **impersonate** it (the "Service Account Token Creator" role, on that service account only). At each synchronization, CISAPP obtains a short-lived access token (about one hour) from Google on behalf of your service account and reads your configuration. This token is never stored: it stays in CISAPP's memory and is reused for at most one hour (refreshed 5 minutes before it expires). Removing the authorization on the Google Cloud side prevents new tokens from being obtained: access ends at the latest when the current token expires (one hour at most), subject to Google IAM propagation. For an immediate stop on the CISAPP side, use **Disconnect**. ## Prerequisites - Be an organization administrator in CISAPP. - Have the rights in Google Cloud to create a service account, create a custom role and grant IAM roles: for example IAM Admin on the organization (or on the project), or project owner. Without a Google Cloud organization, these rights are needed on every project to analyze. - Have the `gcloud` CLI signed in with an authorized account, or Cloud Shell. - A service account can only be connected to **one** CISAPP organization. Several service accounts (so several connections) remain possible within one CISAPP organization. - The service account must be **one you created** (`name@project.iam.gserviceaccount.com`). Google-managed accounts (service agents `gcp-sa-…` and legacy Google service agents, the default Compute account `…-compute@developer.gserviceaccount.com`, the App Engine account) and legacy domain-named projects (`example.com:project`) are not supported. It must not belong to CISAPP's own project. ## Set up Google Cloud The commands below are the ones in the CISAPP setup panel. **The panel shows them already pre-filled** with your connection's verification token and the CISAPP service account address: copy them from the panel rather than using the generic values on this page (`` and ``). 1. Open **My company → Connectors**, then **Connect** on the Google Cloud card. The **Set up Google Cloud** panel shows two values to copy: - the **CISAPP service account (platform)**: the address to authorize; - the **verification token**: specific to this connection, in the form `cisapp-verify-` followed by 32 hexadecimal characters. 2. **Adapt the variables.** `PROJECT_ID` is the project that will host the service account (its "home project"), `ORG_ID` is the numeric identifier of your organization (not needed without an organization). ```bash PROJECT_ID="my-project-id" SA_NAME="cisapp-readonly" SA_EMAIL="${SA_NAME}@${PROJECT_ID}.iam.gserviceaccount.com" ORG_ID="123456789012" ``` 3. **Create the service account**, with the verification token as its **description**: it proves that you control this account. ```bash gcloud iam service-accounts create "$SA_NAME" --project="$PROJECT_ID" \ --display-name="CISAPP read-only" \ --description="" ``` If the service account already exists, only update its description: ```bash gcloud iam service-accounts update "$SA_EMAIL" --project="$PROJECT_ID" \ --description="" ``` 4. **Allow CISAPP to impersonate the service account**, **on that service account only**. **Never** grant it on the project, a folder or the organization: CISAPP refuses the connection if this role is granted more widely. ```bash gcloud iam service-accounts add-iam-policy-binding "$SA_EMAIL" \ --project="$PROJECT_ID" \ --member="serviceAccount:" \ --role="roles/iam.serviceAccountTokenCreator" ``` 5. **Save the custom role definition** in a `role.yaml` file. It only contains metadata read permissions (see the list below): no data access. ```yaml title: CISAPP Posture Reader description: Read-only metadata access for CISAPP security posture scans. No data-plane access. stage: GA includedPermissions: - resourcemanager.projects.get - resourcemanager.projects.getIamPolicy - compute.instances.list - compute.firewalls.list - compute.networks.list - compute.subnetworks.list - compute.projects.get - storage.buckets.list - storage.buckets.getIamPolicy - cloudsql.instances.list - container.clusters.list - iam.serviceAccounts.get - iam.serviceAccounts.list - iam.serviceAccountKeys.list - cloudfunctions.functions.list - cloudfunctions.functions.getIamPolicy - run.locations.list - run.services.list - run.services.getIamPolicy - cloudkms.locations.list - cloudkms.keyRings.list - cloudkms.cryptoKeys.list - bigquery.datasets.get - bigquery.datasets.getIamPolicy - serviceusage.services.list ``` 6. **Create the role and grant it to the service account.** The role must cover **the service account's home project** (it must be able to read itself) **and** the projects to analyze. - **With a Google Cloud organization**: a single grant at the organization level covers all its projects, including the home project. ```bash gcloud iam roles create cisappPostureReader --organization="$ORG_ID" \ --file=role.yaml gcloud organizations add-iam-policy-binding "$ORG_ID" \ --member="serviceAccount:$SA_EMAIL" \ --role="organizations/$ORG_ID/roles/cisappPostureReader" ``` - **Without an organization**: project by project. Replace `project-a project-b` with your projects, **without forgetting the service account's home project**. The role is created in each one. ```bash for P in project-a project-b; do gcloud iam roles create cisappPostureReader --project="$P" \ --file=role.yaml gcloud projects add-iam-policy-binding "$P" \ --member="serviceAccount:$SA_EMAIL" \ --role="projects/$P/roles/cisappPostureReader" done ``` 7. **Enable the APIs in the service account's home project**: its calls are counted and rate-limited there. ```bash gcloud services enable cloudresourcemanager.googleapis.com iam.googleapis.com serviceusage.googleapis.com \ --project="$PROJECT_ID" ``` Product APIs (Compute Engine, Cloud Storage, Cloud SQL…) do not have to be enabled for CISAPP: a product that is disabled in a project simply has nothing to inventory. ### Fallback predefined roles If your organization forbids custom roles, grant these predefined roles to the service account instead, on the organization or on each project (without forgetting the home project): - `roles/browser` - `roles/compute.networkViewer` - `roles/cloudsql.viewer` - `roles/container.clusterViewer` - `roles/iam.serviceAccountViewer` - `roles/cloudfunctions.viewer` - `roles/run.viewer` - `roles/cloudkms.viewer` - `roles/bigquery.metadataViewer` - `roles/serviceusage.serviceUsageViewer` - `roles/storage.bucketViewer` > **Limit:** these roles do not allow reading bucket access policies (IAM). The **public bucket check then stays "unknown"**: it neither creates nor resolves a finding. ## Connect in CISAPP 1. In the setup panel, click **I'm done**. 2. Enter the **service account email** (for example `cisapp-readonly@my-project.iam.gserviceaccount.com`). 3. Optionally enter the **projects** to analyze, one identifier per entry (50 at most). **Empty: every active project the service account can read**, up to a cap set by the platform (100 by default); beyond it only the first ones are analyzed and the synchronization reports it. 4. **Verify access**: CISAPP checks that the service account exists, that it can impersonate it, that the token is in its description and that the projects are readable. 5. Check the displayed **service account** (its numeric identifier), then **Connect**. The connection becomes active and the **first synchronization** starts. If you close the wizard before confirmation, the connection stays **Pending** and the setup panel is resumed from its record (the verification token stays the same). A connection left pending for more than 7 days without activity is deleted automatically. Google IAM permissions propagate with a slight delay (a few seconds to a few minutes). If verification fails right after the commands, wait and try again. Likewise, the first synchronization may report a few partial "not granted" errors: the next one fixes them. Once the connection is active, the list of **projects** can be changed from the connection record (**Edit scope**); the service account email cannot. ## What CISAPP collects CISAPP only performs **reads** (`GET` requests; reading IAM policies uses the Google API `POST` method, without changing anything) and only reads **configuration**, never content. For each analyzed project: - Google Cloud projects (identifier, state) and the **project IAM policy**, summarized as counters (no member address is kept); - Compute Engine: instances, VPC firewall rules, networks and subnets; - Cloud Storage: buckets (configuration and IAM access rules, not the objects); - Cloud SQL: instances; - Google Kubernetes Engine (GKE): clusters; - service accounts and their user-managed keys (metadata: age, state); - Cloud Functions and Cloud Run services (configuration and who may invoke them); - Cloud KMS: encryption keys (rotation metadata); - BigQuery: datasets (configuration and public access); - the list of APIs enabled in each project. Resources appear in the **Operational Safety → Cloud inventory** menu entry and its **Map** view, with their region and location. A product that the service account cannot read is reported as **not granted** in the synchronization result. ## What CISAPP never reads CISAPP changes nothing in your environment. The role includes no write permission and no data read permission. CISAPP **never** reads, and therefore never stores: - bucket content (objects), BigQuery tables, rows and queries; - service account **key material** (no key is created, downloaded or used), secrets (Secret Manager), KMS keys themselves (no encryption, decryption or signing); - environment variables and secrets of Cloud Functions and Cloud Run services, container images and arguments; - GKE cluster credentials (certificates, tokens), passwords, certificates and flag values of Cloud SQL instances; - disk encryption keys, labels, serial port output, screenshots and guest attributes; - public IP addresses themselves (only the existence of a public address is kept) and the addresses of IAM policy members. Compute instance and project metadata (for example startup scripts, SSH keys) is read for **three flags only**: `enable-oslogin`, `block-project-ssh-keys` and `serial-port-enable`. Google does not allow requesting a single key: the items are therefore requested as key/value pairs and their values pass through memory while the response is read; only these three flags are kept and nothing else is converted, stored or logged. ## Posture findings Findings appear in security findings with the **Google Cloud posture** source. A rule only triggers when the information is certain: an unknown state (product not granted, unreadable value, value missing from the response) neither creates nor resolves a finding. 20 rules are evaluated. | Finding title | Severity | | --- | --- | | Basic Owner or Editor role granted in the project | High; medium if only users hold the role | | Project IAM policy open to allUsers or allAuthenticatedUsers | Critical | | User-managed service account key older than 90 days | Medium | | Compute instance exposed with a public IP address | Medium | | Instance using the default service account with full API access | High | | OS Login disabled on the instance | Medium | | Serial console access enabled on the instance | Medium | | Firewall rule open to the Internet on an administration port | High | | Firewall rule open to the Internet on a database port | High | | Firewall rule allowing all traffic from the Internet | Critical | | Publicly accessible storage bucket | Critical; high if only read roles are public | | Uniform bucket-level access disabled | Medium | | Cloud SQL instance reachable from the Internet | Critical | | Cloud SQL instance not enforcing TLS encryption | High; medium if the instance has no public address | | Automated backups disabled on the Cloud SQL instance | Medium | | Legacy ABAC authorization enabled on the GKE cluster | High | | GKE control plane endpoint open to the Internet | High | | Publicly invocable serverless function or service | Medium; high if ingress is open to all and the default Compute account runs it | | KMS encryption key without automatic rotation | Medium | | Publicly accessible BigQuery dataset | Critical | Details: - **Firewall**: only classic VPC ingress rules that are enabled are evaluated. Administration = ports 22 and 3389; databases = 1433, 1521, 3306, 5432, 6379, 9200, 9300, 11211 and 27017. A rule that opens every port is reported once, by the "all traffic" rule. - **Serverless functions and services**: public access is often intended (public API); the finding is advisory. An ingress limited to the internal network is considered compliant. - **Buckets**: only the IAM policy is evaluated. Legacy object or bucket ACLs are not read. - **KMS**: only symmetric keys that can be rotated are concerned; a rotation period longer than 365 days is also reported. ## Limits - **Organization policies** (for example `compute.requireOsLogin`, `compute.disableSerialPortAccess`, the ban on public bucket access) and **hierarchical or network firewall policies** are **not evaluated**: a finding may be neutralized at your organization level, and a deny rule is not taken into account. Findings describe each resource's own configuration. - Audit policies inherited from a folder or the organization are not visible for a project attached to an organization. - Google IAM permissions are **eventually consistent**: a role granted or removed may take a few minutes to take effect. - Two CISAPP organizations can see the same projects through two different service accounts: the connection is exclusive per service account, not per project. - An empty scope is capped; an inaccessible project is reported and its resources are not removed from the inventory. - If the service account sees more projects than the cap (100 by default) in "all projects" mode, only the first ones are analyzed and **automatic finding resolution is paused for the whole connection**: findings are still created and updated, but none is resolved, and the synchronization reports it. List the projects to analyze explicitly to restore it. ## Revoke access - **On the Google Cloud side**: remove the "Service Account Token Creator" role granted to CISAPP on your service account. CISAPP can no longer obtain a new token; the token already issued stays usable until it expires (one hour at most), subject to Google IAM propagation. ```bash gcloud iam service-accounts remove-iam-policy-binding "$SA_EMAIL" \ --project="$PROJECT_ID" \ --member="serviceAccount:" \ --role="roles/iam.serviceAccountTokenCreator" ``` - **On the CISAPP side**, **Disconnect** deletes the connection and its cloud inventory, marks its posture findings as resolved and drops the token kept in memory: this is the immediate stop on the CISAPP side. There is nothing to revoke at Google: no credential is stored. Then remove the impersonation role, and delete the service account and the custom role if they are no longer needed. ## Common issues | Message | What to do | | --- | --- | | The Google Cloud connector is unavailable on this instance | The platform service account is not configured on your platform yet: contact support. | | Google Cloud refused access | See the detailed causes below. | | This service account is already connected by another CISAPP organization, or does not match this connection's account | A service account has a single connection: disconnect it from the other CISAPP organization first. Otherwise the account was deleted then recreated (new identifier: it is no longer the service account connected earlier): check the email you entered, disconnect the connection and reconnect it. The same message appears if the connection was changed while it was being verified: reload the page. | | Unable to confirm: this service account changed since the verification | Start the verification again. | | Too many attempts | Too many connection attempts in a short time (10 per minute at most): wait a minute. | | The email is not valid (message under the field) | Enter a service account you created (`name@project.iam.gserviceaccount.com`). Google-managed accounts, including the legacy Google service agents, are refused. This is an input error, not a refusal from Google Cloud. | When Google Cloud refuses access, verification stops at the first cause it meets, in this order: | Cause | What to do | | --- | --- | | The service account belongs to CISAPP's project | Create it in one of **your** projects. | | CISAPP cannot impersonate this service account | Check the email and that CISAPP's service account holds `roles/iam.serviceAccountTokenCreator` **on this service account**. Google does not distinguish a missing account from a missing permission. Wait for IAM propagation. | | The service account cannot read itself | Grant it the custom role on **its home project**. | | Enable an API in the home project | Enable `cloudresourcemanager`, `iam` and `serviceusage` in the home project (step 7). | | A VPC Service Controls perimeter blocks the service account | Allow the service account in the perimeter. | | The service account is not found, does not match the email, does not belong to its project or is disabled | Check the email and re-enable the service account. | | The verification token was not found in the service account description | Update the description with the **exact** value from the panel (no extra text). The token is only checked while the connection is not active. | | `roles/iam.serviceAccountTokenCreator` is granted on the project, a folder or the organization | Remove these wide grants and grant the role on the service account only. | | The service account sees no project, or a project is not readable | Grant the custom role on the projects to analyze (or on the organization) and check that each project is active. | After connecting, in synchronizations: | Symptom | Likely cause | | --- | --- | | Product "not granted" in the result | A permission of the role is missing on that project: grant it on that project or on the organization. | | `SERVICE_DISABLED` error in the result | An API of the service account's home project is disabled (step 7). | | Connection in error "credentials refused" | Impersonation is refused (role removed, account deleted or disabled): restore it, then start the verification again from the record. | | Connection in error "the service account was replaced" | The service account was recreated: disconnect, then reconnect the account. | | Project limit reached | Explicitly select the projects to analyze (while the list is empty, no finding is resolved automatically). | ## Expected result The connection is active, the cloud inventory is populated and Google Cloud posture findings appear in CISAPP. See also: [Configure connectors](https://docs.cisapp.eu/en/organization/connectors). --- Source: https://docs.cisapp.eu/en/organization/connectors/github # Connect GitHub Install the CISAPP GitHub app, link repositories to applications, enable Dependabot and import its alerts into findings. > **Access:** organization administrator. **Beta** feature; the connector must be enabled on your platform. ## Prerequisites - Be an organization administrator in CISAPP. - Be able to install a GitHub app on the target GitHub account or organization (organization owner, or owner of the personal account). - If GitHub shows an approval request, a GitHub organization owner must approve it. ## Install the app 1. Open **My company → Connectors**, then **Connect** on the GitHub card. A panel sums up the steps and the requested access; click **Continue to GitHub**. 2. On GitHub, choose the account or organization, then **All repositories** or a selection. 3. Authorize the app when GitHub asks: this proves your GitHub account can access the installation. 4. You return to the connector record in CISAPP with the repository list. The installation link expires after 30 minutes and works once: if something fails, click **Connect** again. ## Link repositories to applications In the **Repositories** tab, use **Link to an application** to attach a repository to one of your organization’s [applications](https://docs.cisapp.eu/en/registers/applications); the **Application** column shows the link. **Unlink** removes the link without changing anything on GitHub. The repository then appears in the application’s **Code and DevSecOps** tab. To add or remove repositories, use **Manage on GitHub** and change the selection: CISAPP is notified automatically. **Synchronize** forces an immediate update. ## Enable Dependabot and import alerts A repository’s **Dependabot** switch enables vulnerability alerts and automated security fixes on GitHub, **and** imports the repository’s open alerts into CISAPP findings. Turning it off stops automated fixes and the import: the repository’s findings are resolved (alerts stay enabled on GitHub). - The **Open alerts** column of the **Repositories** tab shows alert counts by severity. - The **Alerts** tab shows totals by severity, the **Imported repositories** and the last sync date; **View findings** opens the findings list filtered on GitHub Dependabot. - An alert fixed or dismissed on GitHub is resolved automatically in CISAPP. Existing installations must accept the new **Dependabot alerts** permission on GitHub (GitHub sends a request to the installation owner). ## Common issues | Message | What to do | | --- | --- | | GitHub connector is not configured | The connector is not available on your platform yet: contact support. | | GitHub installation could not be authorized | Expired link or GitHub account without access to the installation: restart with the right account. | | Installation already linked to another organization | A GitHub installation can serve a single CISAPP organization. | | No synchronized repository | Check the repository selection on GitHub, then **Synchronize**. | | Last synchronization incomplete | The message lists the failing repositories: most often the Dependabot alerts permission was not accepted on GitHub. | ## Disconnect **Disconnect** deletes the connection, synchronized repositories and their links, and resolves GitHub findings; applications are not changed. Uninstalling the app on GitHub has the same effect. Then uninstall the app from **Manage on GitHub** if you no longer use it. ## Expected result Selected repositories appear in CISAPP, are linked to the right applications, Dependabot is active where you asked for it and its alerts appear in findings. See also: [Configure connectors](https://docs.cisapp.eu/en/organization/connectors). --- Source: https://docs.cisapp.eu/en/organization/connectors/gitlab # Connect GitLab Authorize CISAPP on GitLab.com, link GitLab projects to applications and import their vulnerabilities into findings. > **Access:** organization administrator. **Beta** feature; the connector must be enabled on your platform. ## Prerequisites - Be an organization administrator in CISAPP. - A **GitLab.com** account that is a member of the projects to monitor with the **Developer** role or higher. Self-managed GitLab is not supported. - To import vulnerabilities: projects on **GitLab Ultimate** with at least one active security scanner (Dependency Scanning, SAST, Container Scanning, Secret Detection…). ## Connect the account 1. Open **My company → Connectors**, then **Connect** on the GitLab card. A panel sums up the steps and the requested access; click **Continue to GitLab**. 2. Sign in to GitLab.com if needed, then click **Authorize**. CISAPP only requests **read** access to the API (`read_api`). 3. You return to the connector record in CISAPP with the account's project list. The authorization link expires after 30 minutes and works once: if something fails, click **Connect** again. CISAPP acts with the rights of the GitLab account that authorized the application: preferably use a dedicated account, or one that will stay in the organization. ## Link projects to applications In the **Repositories** tab, use **Link to an application** to attach a GitLab project to one of your organization’s [applications](https://docs.cisapp.eu/en/registers/applications); the **Application** column shows the link. **Unlink** removes the link without changing anything on GitLab. The project then appears in the application’s **Code and DevSecOps** tab. The list shows the non-archived projects the account is a member of (Developer role or higher). **Synchronize** forces an immediate update; otherwise synchronization runs daily. ## Import vulnerabilities A project's **GitLab vulnerabilities** switch imports its open (detected or confirmed) vulnerabilities from the GitLab vulnerability report into CISAPP findings. Turning it off stops the import: the project's findings are resolved. Nothing changes on GitLab. - The **Open alerts** column of the **Repositories** tab shows the count per severity. - The **Alerts** tab shows totals by severity, the **Imported repositories** and the last synchronization date; **View findings** opens the findings list filtered on GitLab. - A vulnerability resolved or dismissed on GitLab is resolved in CISAPP at the next synchronization. ## Common issues | Message | What to do | | --- | --- | | The GitLab connector is not configured | The connector is not available on your platform yet: contact support. | | Authorization was denied on GitLab | You clicked **Deny**: click **Connect** again and authorize the application. | | The GitLab connection could not be validated | Expired or already used link: start the connection again. | | This GitLab account is already connected to another organization | A GitLab account can serve only one CISAPP organization: use another account. | | No repository synchronized | The account is not a member of any project with the Developer role or higher. | | No vulnerability although import is on | The project is not on GitLab Ultimate, or no scanner ran on the default branch. | | Synchronization error "reconnect" | Access was revoked on GitLab: disconnect, then connect GitLab again. | ## Disconnect **Disconnect** deletes the connection, the synchronized projects and their links, resolves the GitLab findings and revokes CISAPP's access on GitLab; applications are not changed. You can also review authorized applications from **Manage access on GitLab**. ## Expected result GitLab projects appear in CISAPP, are linked to the right applications, and their vulnerabilities appear in findings. See also: [Configure connectors](https://docs.cisapp.eu/en/organization/connectors). --- Source: https://docs.cisapp.eu/en/organization/connectors/ovh # Connect an OVHcloud account Authorize CISAPP read-only on an OVHcloud account to inventory cloud resources and report security posture findings. > **Access:** organization administrator. **Beta** feature; the connector must be enabled on your platform. ## Prerequisites - Be an organization administrator in CISAPP. - Be able to sign in to the OVHcloud account to analyze with its customer identifier (nichandle, like `xx11111-ovh`) with an account allowed to create API keys: the authorization is granted with that account. - Know the account **region**: Europe, Canada or United States. An OVHcloud account belongs to one region. - An OVHcloud account can only be connected to **one** CISAPP organization. CISAPP never asks for a password or a key to copy: authentication only happens on the OVHcloud site. ## Connect in CISAPP 1. Open **My company → Connectors**, then **Connect** on the OVHcloud card. 2. Choose the **account region** (Europe, Canada or United States), then **Continue to OVHcloud**. 3. You are redirected to the OVHcloud authorization page: sign in with the account to analyze. 4. Choose the **validity period** of the authorization. Prefer a **dated validity** over "Unlimited": an authorization without an expiration date is flagged in CISAPP, and you will have to renew it before it expires. 5. Authorize the access. OVHcloud brings you back to CISAPP automatically. 6. Check the displayed **OVHcloud account** (customer identifier), then **Connect**. The first synchronization starts. If you close the wizard before confirmation, the connection stays **Pending**: use **Resume validation** from its record (renew the authorization on OVHcloud, then confirm the account). If you refused the authorization or let the page expire, start the connection again to request a new one. ## What CISAPP collects CISAPP only performs **reads** (read-only requests, on a limited list of routes) and only reads **configuration**, never content: - Public Cloud: instances, security groups, volumes, private networks, Object Storage buckets (configuration, not the objects), managed databases, managed Kubernetes clusters; - dedicated servers, virtual private servers (VPS), web hostings; - domain names and DNS zones, IP address blocks; - services and their expiration and renewal dates; - account security: two-factor authentication, IP restrictions, API keys (expiration dates, last use, allowed addresses). A product that the authorization does not cover is reported as **not granted** in the synchronization result. Resources appear in the **Operational Safety → Cloud inventory** menu entry and its **Map** view, with their region and location. ## What CISAPP never reads CISAPP changes nothing in your account and never reads: - personal profile information (contacts, contact details) or phone numbers; - domain transfer codes; - IPMI access, Object Storage (S3) credentials, `kubeconfig` files or database access credentials; - bucket content (objects), secrets and encryption keys; - rescue passwords, SSH keys and access tokens of instances, servers and hostings. A single write is requested: letting the authorization **cancel itself** when you disconnect or renew the connection. ## Posture findings Findings appear in security findings with the **OVHcloud posture** source. A rule only triggers when the information is certain: an unknown state (product not granted, unreadable value) neither creates nor resolves a finding. - **Account**: two-factor authentication not enabled; API key without an expiration date, unused for more than 90 days or usable from any IP address. - **Domains**: domain without a transfer lock, without DNSSEC although the extension supports it, or close to expiry (less than 30 days) without automatic renewal. - **Services**: service close to expiry without automatic renewal, or unpaid. - **Network**: security group reachable from the whole Internet (0.0.0.0/0 or ::/0) on remote administration (SSH 22, RDP 3389) or on a common database port (3306, 5432, 6379, 27017…). - **Managed databases**: public access without an IP restriction, no backup. - **Kubernetes**: API reachable from the whole Internet, available upgrade not applied, audit logs missing. - **Object storage**: bucket without encryption at rest or without versioning. Public bucket detection is not possible with the OVHcloud API. - **Servers and hostings**: dedicated server without the OVHcloud hardware firewall enabled, web hosting without an SSL certificate, instance created from an end-of-support image. The connection's own key is excluded from these rules and handled separately: without an expiration date it shows a warning on the record; less than 30 days before expiry, a **Credentials expiring soon** badge. ## Renew the authorization 1. On the connection record, **Update credentials** then **Renew the authorization**. 2. You are redirected to OVHcloud: sign in to the **same account**, choose a new dated validity and authorize. 3. Back in CISAPP, confirm the account. The new authorization replaces the old one, which is revoked. 4. If it belongs to **another OVHcloud account**, it is refused and the current authorization is kept. The region cannot be changed after creation: an OVHcloud account belongs to one region. ## Disconnect and revoke **Disconnect** deletes the connection and its cloud inventory, and marks its posture findings as resolved. CISAPP also automatically asks OVHcloud to cancel the authorization; if that cancellation fails, it stays valid until it expires. Then revoke it manually in your OVHcloud account, in the API keys (credentials) section, by deleting the authorization created for CISAPP. ## Common issues | Message | What to do | | --- | --- | | The OVHcloud connector is unavailable on this instance | The connector is not configured on your platform yet: contact support. | | The OVHcloud validation is not finished, or the authorization was refused or expired | Finish the validation on the OVHcloud page, or start the connection again to get a new authorization. | | OVHcloud refused this authorization | The validation was refused or expired: start the connection again. | | This OVHcloud account is already connected by another CISAPP organization | An OVHcloud account has a single connection: disconnect it from the other CISAPP organization first. | | This authorization belongs to another OVHcloud account | When renewing, sign in to the same OVHcloud account. | | Product "not granted" | The authorization does not cover this product: renew it, then check that your account has access to it. | | Expired service (error 460) in the synchronization | A service (for example a domain) has expired at OVHcloud: this is not an authorization problem, the rest of the account is analyzed. Renew or delete that service. | | Expired or refused credentials | The authorization expired or was revoked: renew it from the record. | ## Expected result The connection is active, the cloud inventory is populated and OVHcloud posture findings appear in CISAPP. See also: [Configure connectors](https://docs.cisapp.eu/en/organization/connectors). --- Source: https://docs.cisapp.eu/en/organization/connectors/scaleway # Connect a Scaleway organization Create a read-only Scaleway API key to inventory cloud resources and report security posture findings. > **Access:** organization administrator. **Beta** feature; the connector must be enabled on your platform. ## Prerequisites - Be an organization administrator in CISAPP. - Be able to create an application, a policy and an API key in the **IAM** of the target Scaleway organization (owner or equivalent rights). - A Scaleway organization can only be connected to **one** CISAPP organization. ## Create the access in Scaleway CISAPP never uses your personal account: create a dedicated, read-only **IAM application**. 1. In the Scaleway console, **IAM → Applications**: create an application (for example `cisapp-readonly`). 2. **IAM → Policies**: create a policy for this application with exactly the permission sets below. 3. **IAM → API keys**: create an API key for the application, with an **expiration date** (recommended). Note the **access key** and the **secret key**. ### Permission sets to grant | Scope | Permission sets | | --- | --- | | Projects to analyze | `InstancesReadOnly`, `ObjectStorageBucketsRead`, `RelationalDatabasesReadOnly`, `LoadBalancersReadOnly`, `VPCReadOnly`, `KubernetesReadOnly`, `FunctionsReadOnly`, `ContainersReadOnly`, `ContainerRegistryReadOnly`, `BlockStorageReadOnly` | | Organization | `IAMReadOnly`, `ProjectReadOnly` | If a product is not granted, CISAPP reports it as "not granted" in the synchronization and analyzes the rest. Grant the permission sets on **every project** of the organization, or restrict the connection to the granted projects with the **Projects** field: otherwise projects without these permissions are reported as not collected at every synchronization. **Never grant** `SecretManagerSecretAccess`, any `*FullAccess` or `*Manager` set, `BillingReadOnly` or `AllProductsReadOnly`: CISAPP does not need them. > Scaleway shows the secret key only **once**. CISAPP stores it encrypted and never displays it again. The CISAPP wizard also offers a collapsible guide with a command-line example (`scw iam …`). It is an example to adapt: check the arguments with `scw iam --help` before running it. ## Connect in CISAPP 1. Open **My company → Connectors**, then **Connect** on the Scaleway card. 2. Paste the **access key** (it starts with `SCW`) and the **secret key**. 3. Optionally list the **projects** (UUID identifiers) and the **regions** to analyze. Empty: every project the key can access and every region. 4. **Verify the key**: CISAPP tests access with Scaleway before saving anything. 5. Check the displayed **Scaleway organization**, then **Connect**. The first synchronization starts. If you close the wizard before confirmation, the connection stays **Pending**: use **Confirm the account** from its record. ## What CISAPP collects CISAPP only reads **configuration**, never content: - instances and their security groups, volumes; - object storage buckets (configuration, not the objects), managed databases; - load balancers, Kapsule clusters, Functions and Containers, container registries, private networks; - IAM users and API keys (MFA status, expiration dates). CISAPP never reads secrets (Secret Manager), environment variables, instance user data or the `kubeconfig` access file, and changes nothing in your organization. Resources appear in the **Operational Safety → Cloud inventory** menu entry and its **Map** view. ## Posture findings Findings appear in security findings with the **Scaleway posture** source. A rule only triggers when the information is certain: an unknown state (missing permission, product not granted) neither creates nor resolves a finding. - **Network**: security group reachable from the whole Internet (0.0.0.0/0 or ::/0) on remote administration (SSH 22, RDP 3389) or on a common database port (3306, 5432, 6379, 27017…); inbound default policy set to "accept" on a group attached to a server; server with a public IP behind a permissive group. - **Databases**: public access whose ACL allows 0.0.0.0/0, encryption at rest disabled, automatic backups disabled or no ready backup (a new database is flagged until its first backup), no high availability. - **Object storage**: bucket whose ACL opens access to everyone (`AllUsers`) or to any authenticated user, versioning disabled or suspended. - **Load balancers**: HTTP frontend (port 80) without a certificate, TLS level "old" on a load balancer that terminates TLS. - **Kubernetes**: cluster to upgrade without automatic upgrade, open API (cluster ACL that explicitly allows 0.0.0.0/0 or ::/0; an empty ACL is not reported, and a private network does not make the API private). - **Functions, Containers and registries**: public function or container (invocable without a token), public container registry. - **IAM**: user without multi-factor authentication, API key without an expiration date or created more than 365 days ago. The connection's own key is excluded from these rules and handled separately: without an expiration date it shows a warning on the record; less than 30 days before expiry, a **Credentials expiring soon** badge. ## Replace the key (rotation) 1. Create a new API key for the same application, with an expiration date. 2. On the connection record, **Update credentials** and paste the new access key and secret key. 3. The new key must belong to the **same Scaleway organization**; otherwise it is refused and the current key is kept. 4. Then revoke the old key in the Scaleway console. Projects and regions can be changed from the record (**Edit**), without re-entering the key. Removing a project or region from the connection removes its resources from the inventory at the next sync. ## Common issues | Message | What to do | | --- | --- | | The Scaleway connector is unavailable on this instance | The connector is not configured on your platform yet: contact support. | | Scaleway refused this API key | Check that the key is neither revoked nor expired and that the policy grants at least `IAMReadOnly` and `ProjectReadOnly` on the organization, in addition to the per-product read sets. | | This Scaleway organization is already connected by another CISAPP organization | A Scaleway organization has a single connection: disconnect it from the other CISAPP organization first. | | This API key belongs to another Scaleway organization | When rotating, use a key from the same Scaleway organization. | | Expired or refused credentials | Create a new key and rotate it from the record. | | Product "not granted" | Add the matching permission set to the application's policy. | ## Disconnect **Disconnect** deletes the connection and its cloud inventory, and marks its posture findings as resolved. Then revoke the API key (and the application if it is no longer used) in **IAM** in the Scaleway console. ## Expected result The connection is active, the cloud inventory is populated and Scaleway posture findings appear in CISAPP. See also: [Configure connectors](https://docs.cisapp.eu/en/organization/connectors). --- Source: https://docs.cisapp.eu/en/organization/plans-billing # Understand plans, quotas and billing Read your plan’s capabilities and find billing documents. > **Access:** organization administrator. Subject to enabled modules and your plan. ## Review the plan An administrator opens **Administration → Plan and Billing**. Review the current plan, displayed capabilities and change options actually offered. Accessible functionality depends on both the plan and activation. ## Read quotas Relevant screens display limits: created vendors, activities, projects, storage or monitored assets. The interface shows quantities relevant to your plan; do not assume figures in documentation screenshots apply to your organization. An inactive vendor remains recorded and still counts toward created vendors. Soft-deleting the relationship therefore does not necessarily free a place. ## Billing Open **Billing** to review information and documents offered to your account. Check the period and organization before downloading a document. **Administration → Plan and billing** may also lead to related management. ## Feature flags An administrator can review organization functionality under **Feature flags**. Activation or lifecycle adjustment does not unlock a feature excluded from the plan. Some pages remain under construction even when their menu entry is visible. ## Expected outcome You can distinguish a quota issue from a permission or availability issue. For the complete checklist, see [Feature availability](https://docs.cisapp.eu/en/help/availability). --- Source: https://docs.cisapp.eu/en/guides/onboard-vendor # Onboard a new vendor A journey from identifying a third party to its first assessment. > **Access:** member. Subject to enabled modules and your plan. ## How do you onboard and assess a vendor? In CISAPP, vendor onboarding means finding or creating the record, qualifying criticality, linking business activities and preparing a suitable assessment. Reviewing answers and evidence then supports follow-up decisions. This third-party risk management journey keeps vendor identification connected to assessment. ## Goal and preparation Obtain a reliable record, qualify business importance and prepare the first assessment. Prepare the website, vendor contact and supported activities. You need vendor-creation and assessment-creation permissions and an available quota. ## 1. Identify the third party Search for the company under **Registers → Suppliers** first. If it exists, open its record and check access. Otherwise, follow [Create a vendor](https://docs.cisapp.eu/en/registers/create-vendor). ## 2. Qualify the relationship Enter contact details, choose business criticality and add useful contacts. Identify who will answer the questionnaire and who will own the relationship in your organization. ![Qualifying the vendor](https://docs.cisapp.eu/images/en/vendor-criticality.webp) *Criticality helps match review effort to business importance. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/vendor-criticality.webp)* ## 3. Link activities Open relevant [business activities](https://docs.cisapp.eu/en/registers/activities) and link the vendor. Then check the [dependency map](https://docs.cisapp.eu/en/reporting/dependencies). ## 4. Start the first assessment Choose a questionnaire suited to the need. Follow [Assess a vendor](https://docs.cisapp.eu/en/assessments/vendor), review the scope and check respondent access. ## 5. Plan follow-up Record points to clarify and organize actions after responses arrive. Create a risk when the scenario warrants it and an action plan if several actions are needed. ## Success criteria The record is identifiable, criticality is recorded, useful dependencies are linked and the assessment is accessible to the relevant people. No duplicate was created to work around an access problem. ## Common questions ### Do you need a new vendor record for every assessment? No. Search for the vendor first and use its existing record if it represents the company being assessed. A new assessment does not justify a duplicate; check permissions if the record is inaccessible. ### What information should you prepare before onboarding? Prepare the vendor’s identity and website, the service, supported activities and useful contacts. Business criticality and questionnaire expectations should match this relationship, not just the company name. ### Does an assessment automatically determine the risk decision? The decision requires a review of answers, evidence and business context. Read the [assessment results](https://docs.cisapp.eu/en/assessments/results), then document risks and actions needing follow-up. Explore more [questions about vendors, risk and compliance](https://docs.cisapp.eu/en/help/common-questions). --- Source: https://docs.cisapp.eu/en/guides/launch-assessment # Launch an assessment end to end Prepare the scope, create the assessment and check respondent access. > **Access:** assessment creation. Subject to enabled modules and your plan. ## How do you launch a vendor assessment in CISAPP? To launch an assessment, choose the appropriate type, subject and questionnaires, then define context and access before confirming. Next, check that the respondent can open the questionnaire. For a vendor, this avoids confusing assessment creation with the actual start of response collection. ## Before you start Define the decision the assessment should inform. Prepare the subject, questionnaire and participants. Check your assessment-creation permission. ## Journey 1. Choose the [assessment type](https://docs.cisapp.eu/en/assessments/types) matching the subject. 2. Open its list under **Reviews**, then start creation. 3. Select the requested scope or subject. 4. Choose suitable questionnaires; review content rather than only titles. 5. Complete the name, context and access at the offered steps. 6. Review the summary and confirm. 7. Open the created assessment and check its response questionnaires. 8. Check respondent access and invitation status before asking them to begin. ![Finalizing the assessment](https://docs.cisapp.eu/images/en/evaluation-finalize.webp) *The final check covers the subject, questionnaires and access. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/evaluation-finalize.webp)* ## During and after completion Track progress in the assessment. If a response is missing, clarify expectations with the respondent. Once received, [review results](https://docs.cisapp.eu/en/assessments/results) and evidence before deciding follow-up. ## Success criteria The right subject is assessed, the questionnaire is accessible to the right respondent and the owner can track progress. Creating an assessment without checking respondent access is not enough to start collection. ## If blocked A missing subject or questionnaire may relate to permissions, purpose or the plan. Resolve that before recreating the assessment. ## Expected outcome The assessment and intended questionnaires are accessible to the appropriate people. Tracking distinguishes missing responses from completed assessments. ## Common questions ### What is the difference between a questionnaire and an assessment? A questionnaire contains questions. An assessment links them to a subject, a scope and the people involved. Choose the [assessment type](https://docs.cisapp.eu/en/assessments/types) before selecting suitable questionnaires. ### Why is my questionnaire missing from the picker? Check its destination, purpose and your viewing permissions in the [library](https://docs.cisapp.eu/en/assessments/questionnaires). Being absent from the picker does not necessarily mean the questionnaire was deleted. ### How can you check that response collection has started? Open the created assessment, check respondent access and track response progress. An assessment appearing in a list does not prove that a respondent can access it or has started completing it. Explore more [questions about vendors, risk and compliance](https://docs.cisapp.eu/en/help/common-questions). --- Source: https://docs.cisapp.eu/en/guides/respond-questionnaire # Answer a received questionnaire A journey for colleagues and external respondents invited to complete an assessment. > **Access:** respondent. Subject to enabled modules and your plan. ## How do you answer a security questionnaire? To answer a questionnaire received in CISAPP, use the account associated with the invitation, check the subject and complete answers with the requested evidence. Check that changes are saved and verify the status after submission when that action is available. Saving and finalizing are separate steps. ## Preparation Use the email address the invitation was sent to. Prepare responses and supporting documents. If you represent a vendor, check the organization and request scope. ## Journey 1. Open the received link and [sign in or activate your account](https://docs.cisapp.eu/en/getting-started/sign-in). 2. Check the displayed questionnaire title, subject and requesting organization. 3. Browse sections to understand the information expected. 4. Answer questions and complete offered comments and evidence. 5. Check progress and save state after changes. 6. Review required responses and attachments. 7. Submit when available, then check the displayed status. ![Navigation within the response questionnaire](https://docs.cisapp.eu/images/en/assessment.webp) *The outline helps check sections before submission. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/assessment.webp)* ## If information is missing Contact the assessment owner. Distinguish a pending response from a negative one; do not invent evidence to finish the form. ## If access fails Check the account email, activation and invitation. Find your assessments and the questions assigned to you under **Assessments → To be addressed**, or use the received link. Ask the owner to check permissions if the questionnaire does not open. ## Success criteria Expected responses are saved and status confirms submission when required. The owner can review information and supporting evidence. ## Expected outcome Your responses are saved and the request state has been checked before informing its sender of progress. ## Common questions ### Can you prepare answers before submitting? Complete answers and check that they are saved as you work. Review information and attachments before using the submission action when offered. Do not infer finalization from the progress percentage alone. ### What if you do not know an answer? Ask the relevant owner for information and tell the assessment owner what is pending. Missing information should not become a negative answer or invented evidence. ### Why has an invitation link stopped working? Check the account address, activation and invitation validity. If the link expired or was revoked, ask the owner to resend it. See [troubleshooting](https://docs.cisapp.eu/en/help/troubleshooting) before creating another account. Explore more [questions about vendors, risk and compliance](https://docs.cisapp.eu/en/help/common-questions). --- Source: https://docs.cisapp.eu/en/guides/treat-risk # Move from a risk to a treatment plan Record the scenario, decide treatment and verify implemented controls. > **Access:** member. Subject to enabled modules and your plan. ## How do you create a risk treatment plan? A treatment plan connects a risk scenario to a decision, controls, owners and deadlines. In CISAPP, document the risk and its assessment, organize actions, then verify controls before reassessing residual risk. Creating tasks is part of follow-up, not evidence of risk reduction. ## Preparation Start with a precise fact or scenario, such as a vendor outage affecting a critical activity. Prepare context, ownership and assessment information. ## Journey 1. Check whether the risk already exists under **Registers → Risks**. 2. Otherwise, [create it](https://docs.cisapp.eu/en/risks/register) with its scenario and affected entities. 3. Assess likelihood and impact using the organization’s methodology. 4. Decide a treatment strategy and record its justification. 5. Add useful controls, owners and deadlines. 6. Use an [action plan](https://docs.cisapp.eu/en/collaboration/projects) if work involves multiple actions. 7. Update controls as work progresses and verify evidence. 8. Reassess residual risk, then use the appropriate lifecycle action. ![Risk register for review](https://docs.cisapp.eu/images/en/risks.webp) *The register helps find risks before preparing decisions. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/risks.webp)* ## If a gap must be tolerated temporarily An administrator can prepare an [exemption](https://docs.cisapp.eu/en/risks/exemptions) with justification, compensating controls and a deadline. An exemption does not replace risk treatment. ## Success criteria The scenario, decision, actions and residual level are reviewable. Do not close a risk solely because an action was created: implementation and verification should support the decision. ## Expected outcome The risk has a treatment approach, owners and tracking that can be reviewed at the next checkpoint. ## Common questions ### What is the difference between a treatment plan and an action plan? Treatment explains how the risk is addressed and how its level will be reviewed. An [action plan](https://docs.cisapp.eu/en/collaboration/projects) organizes actions and their completion. Link actions to the risk to preserve the decision context. ### When should you reassess residual risk? Reassess it when you have information about control completion and effectiveness. Apply your organization’s method and retain evidence supporting the new level. A passed deadline does not demonstrate that a control works. ### Does an exemption replace the treatment plan? No. An [exemption](https://docs.cisapp.eu/en/risks/exemptions) sets conditions for a temporary deviation, including justification and a deadline. Treatment and control follow-up remain necessary; preparing an exemption requires organization-administrator access. Explore more [questions about vendors, risk and compliance](https://docs.cisapp.eu/en/help/common-questions). --- Source: https://docs.cisapp.eu/en/guides/risk-committee # Prepare a third-party risk committee Gather indicators, prioritize topics and record decisions. > **Access:** member. Subject to enabled modules and your plan. ## How do you prepare a vendor risk committee? To prepare a vendor risk committee, gather critical third parties, recent assessments, risks requiring decisions and ongoing actions. Specify the period, scope and missing information. In CISAPP, start with indicators, then open detailed records to prepare traceable decisions. ## Preparation Define the review period and vendor scope. Check that registers, criticality levels and activity relationships are current. ## Gather information 1. Open **Home** and refresh indicators. 2. Filter the vendor register for critical vendors or those needing assessment. 3. Review recent assessments and identify missing responses or evidence. 4. Filter risks by criticality and status. 5. Review exemptions expiring within 30 days. 6. Examine dependencies and concentration for important activities. 7. Prepare available exports with their dates and scopes. ![Reporting indicators for the review](https://docs.cisapp.eu/images/en/dashboard.webp) *Indicators guide the review; decisions should rely on detailed records. · [Open full-size screenshot](https://docs.cisapp.eu/images/en/dashboard.webp)* ## During the committee For each topic, check context, the decision needed, owner and deadline. Distinguish established facts from missing data. Record actions in the relevant risks, controls or action plans. ## After the committee Update decisions and deadlines. Assign actions and check they are visible to the relevant people. Keep useful documents in Files with appropriate permissions. ## Expected outcome Each decision is linked to a subject and follow-up. The next review can establish what changed. This journey uses current views and does not require customizable dashboards. Viewing exemptions requires organization-administrator access. If you do not have it, ask an authorized person to prepare that part of the review. ## Common questions ### What information should you present to the committee? Present topics requiring a decision, their context, available evidence and proposed follow-up. Indicators guide the review; vendor records, assessments and risks explain individual situations. ### Can you prepare the committee without a customizable dashboard? Yes. This journey uses the [current dashboard](https://docs.cisapp.eu/en/reporting/dashboard), registers and dependency views. It does not rely on a widget editor or a feature under construction. ### How do you follow up decisions after the committee? Record decisions on the relevant risks, controls or action plans with an owner and deadline. Check access for people responsible for actions and retain useful documents. The next review should be able to find decisions and subsequent changes. Explore more [questions about vendors, risk and compliance](https://docs.cisapp.eu/en/help/common-questions). --- Source: https://docs.cisapp.eu/en/help/troubleshooting # Troubleshoot a problem Check sign-in, permissions, filters, imports and invitations. > **Access:** member. ## Before you start Record the action, displayed message, time and affected module. Check the current organization and that your session is still active. ## Cannot sign in 1. Check the sign-in address and the email used for your invitation. 2. Use **Forgot your password?** when necessary; open the most recent link. 3. Check your spam folder and the link expiry date. 4. Complete any additional authentication configured for your account. See [Sign-in and account](https://docs.cisapp.eu/en/getting-started/sign-in) for activation and authorization states. ## Missing feature or resource | Symptom | Check | |---|---| | Missing menu | Plan availability, module activation and account role. | | Access denied | Organization-level permission, then access to the resource or its team. | | Empty list | Search, filters, status and current organization. | | Disabled button | Required fields and previous steps. | | Cannot create a vendor | Plan quota; inactive vendors may still count. | | “Under construction” page | Unavailable in this version; see alternatives under [Availability](https://docs.cisapp.eu/en/help/availability). | Ask an administrator to review [permissions and sharing](https://docs.cisapp.eu/en/organization/permissions). A direct URL does not grant extra access. ## Questionnaires, imports and invitations - Questionnaire missing from a picker: check its purpose, type and viewing permissions. - Response not saved: wait for confirmation; saving and finalizing are separate actions. - Import rejected: use the supplied template, check columns and values and review the import report before retrying. - Expired or revoked invitation: request a new invitation from the affected resource. - Attachment inaccessible: check sharing and the file distribution level. ## Prepare a support request Provide the module, time, reproduction steps, exact message and a screenshot with sensitive information hidden. Never share passwords, authentication codes or private invitation links. The expected outcome is either a successful action after correction or a reproducible report for your administrator or CISAPP contact. --- Source: https://docs.cisapp.eu/en/help/availability # Understand feature availability Distinguish plans, roles, activation, beta features and unfinished screens. > **Access:** member. ## Why your screen may differ Menus depend on your organization’s plan, enabled features, their lifecycle and your permissions. Documentation describes the product checked on the date shown above each article. Screenshots use a demonstration workspace with fictional data. Your organization may display fewer modules, different names or more data. ## Check availability 1. Check the current organization. 2. Ask an administrator to review **Plans**, quotas and enabled modules. 3. Check your role and resource sharing. 4. Read the badges shown in the application: **Beta** indicates functionality that may change. This guide does not guarantee one fixed list of options for every plan: your organization’s subscription and enabled features determine availability. ## Screens currently under construction | Area | Limitation and alternative | |---|---| | Partners & others | Use the Vendors, Activities, Applications and Projects registers. | | Pending assessments | Open the shared assessment or the link in your invitation. | | Campaigns | Use individual assessments; these screens do not currently provide an operational campaign workflow. | | NIS2, DORA, AI Act | Dedicated pages do not provide operational tracking; use frameworks actually offered in Compliance. | | My exposure, Certifications, My clients, Shares | These pages do not yet provide a working posture-sharing portal. | | Administration: users and roles, security, workflows | Use the operational My organization pages for members, permissions and security settings. | ## Dashboards Dashboards can be customized: templates, widgets, queries and formulas. Creating and editing them depends on your rights. See [Dashboards](https://docs.cisapp.eu/en/reporting/dashboard) and [Configure a widget](https://docs.cisapp.eu/en/reporting/widgets). ## Expected outcome You can explain a difference between this guide and your workspace and identify the appropriate administrator or module. A hidden feature is not necessarily broken. --- Source: https://docs.cisapp.eu/en/help/glossary # Glossary Terms used in registers, assessments and treatment plans. > **Access:** member. | Term | Definition | |---|---| | Activity | Business process supported by resources and vendors. | | Criticality | Importance of a subject to the organization and potential impact of its failure. | | Vendor | Third party tracked for its services and dependencies. | | Assessment | Workflow associating a subject, scope and questionnaires. | | Questionnaire | Structured set of questions to answer or reuse in an assessment. | | Campaign | Intended grouping of assessments; dedicated screens are under construction in this version. | | Framework | Set of requirements used as a basis for compliance tracking. | | Requirement | Expected outcome that applies to an organization within a defined scope. | | Control | Action or safeguard used to meet a requirement or treat a risk. | | Evidence | Document or information demonstrating implementation or effectiveness of a control. | | Initial risk | Risk level assessed before considering planned treatment. | | Residual risk | Risk remaining after treatment measures are considered. | | Incident | Event to qualify, track and close based on its impacts. | | Crisis | Situation requiring exceptional coordination and decisions. | | Exemption | Temporary acceptance of a deviation, with conditions and an expiry date. | | Dependency | Relationship between an activity and supporting vendors or resources. | | Concentration | Significance of a common dependency across multiple activities or vendors. | | ASM | Attack surface management: scopes, exposed assets and findings. | | Trust Center | Area for presenting and sharing trust information according to configured access. | | TLP | File distribution level that complements access permissions. | | Role | Permission assigned to a member or a resource user. | | Team | Group of members with whom resources may be shared. | See [Permissions and sharing](https://docs.cisapp.eu/en/organization/permissions) and [Availability](https://docs.cisapp.eu/en/help/availability) to distinguish access, plans and activation. --- Source: https://docs.cisapp.eu/en/help/use-with-ai # Use the documentation with AI Copy a Markdown article or give an assistant the documentation indexes. > **Access:** member. ## Read or copy an article Every article is available as HTML and Markdown, generated from the same source. 1. Open the relevant article. 2. Select **Copy Markdown** to copy its content with absolute links and image URLs. 3. Or select **View Markdown** to open and save the text file. 4. Give that text to your assistant along with your question. Add `.md` to an article URL. For the home page, use `/index.md` or `/en/index.md`. ## Indexes and exports | Resource | Purpose | |---|---| | [General index](https://docs.cisapp.eu/llms.txt) | Choose a language and corpus. | | [French index](https://docs.cisapp.eu/fr/llms.txt) | Find French articles and their descriptions. | | [Complete French documentation](https://docs.cisapp.eu/fr/llms-full.txt) | Import the French corpus into a tool. | | [English index](https://docs.cisapp.eu/en/llms.txt) | Find English articles. | | [Complete English documentation](https://docs.cisapp.eu/en/llms-full.txt) | Import the English corpus. | | [Complete FR/EN documentation](https://docs.cisapp.eu/llms-full.txt) | Import both languages together. | An assistant with web access can use the index to select relevant articles. If your tool cannot retrieve links, download and attach the file yourself. Support for `llms.txt` depends on the tool. ## Example request > Using the attached CISAPP documentation, explain how to onboard a vendor and launch its first assessment. Cite the articles, specify the required permissions and flag unavailable features. Exports describe product behavior. They contain no data from your organization and grant no account access. Check the assistant’s suggestions in your workspace, especially permissions, quotas and beta availability. ## Troubleshooting If copying fails, open **View Markdown** and copy the text manually. If an assistant cannot read a URL, attach the file. For an imprecise answer, narrow your request to one workflow and ask for article references. --- Source: https://docs.cisapp.eu/en/help/common-questions # Common questions about vendors, risk and compliance CISAPP helps organize vendors, their assessments, risks and compliance information. Find short answers to common third-party risk management questions, then follow the procedures to put them into practice. Available modules depend on your plan and permissions. ## How do you assess a vendor’s security? Define the service and affected business activities, qualify the vendor’s importance, then choose a questionnaire suited to the information you need. Review responses and evidence before deciding follow-up actions. In CISAPP, the journey links a vendor record to an assessment; a score alone does not replace this review. Follow [Onboard a vendor](https://docs.cisapp.eu/en/guides/onboard-vendor), then [Launch an assessment](https://docs.cisapp.eu/en/guides/launch-assessment). ## What is the difference between vendor criticality and cyber risk? Criticality describes how important the vendor is to your business and the consequences of its failure. Risk concerns a scenario, its likelihood and its impact. A critical vendor deserves attention, but its criticality alone does not demonstrate a security weakness. See [Create and qualify a vendor](https://docs.cisapp.eu/en/registers/create-vendor) and the [risk register](https://docs.cisapp.eu/en/risks/register). ## Which vendors should you assess first? Start with vendors supporting important activities, creating strong dependencies or requiring an upcoming decision. Check existing assessments and missing information to avoid duplicate requests. Priority depends on your business context and risk method. Use the [dependency maps](https://docs.cisapp.eu/en/reporting/dependencies) and [Prepare a third-party risk committee](https://docs.cisapp.eu/en/guides/risk-committee). ## How do you choose a vendor assessment questionnaire? Choose a questionnaire whose purpose and questions match the subject being assessed. Review sections, expected answers and useful evidence before selecting it. In CISAPP, a questionnaire may be absent from the picker because of its purpose or your permissions. See the [questionnaire library](https://docs.cisapp.eu/en/assessments/questionnaires) and [assessment types](https://docs.cisapp.eu/en/assessments/types). ## How do you answer a security questionnaire you have received? Open the invitation with the account matching its recipient address, check the subject and complete answers with their evidence. Check that changes are saved, then check the status after submission when that action is offered. A saved response is not necessarily a finalized response. Follow [Respond to a received questionnaire](https://docs.cisapp.eu/en/guides/respond-questionnaire). ## What should you check when a respondent cannot open an assessment? Check the account address, activation, invitation validity and resource access. Organization roles and assessment permissions are separate checks. Recreating an assessment does not necessarily resolve a sharing problem. See [Permissions and sharing](https://docs.cisapp.eu/en/organization/permissions) and [troubleshooting](https://docs.cisapp.eu/en/help/troubleshooting). ## How do you turn a risk into an action plan? Describe the scenario, assess it with your method and choose a treatment. Assign controls to owners and deadlines, verify their completion and reassess residual risk. An action plan can organize actions, but creating it does not prove the risk has been treated. Follow [Move from a risk to a treatment plan](https://docs.cisapp.eu/en/guides/treat-risk). ## What is the difference between initial and residual risk? Initial risk is the level assessed before the planned treatment. Residual risk is what remains after taking controls into account. Its reassessment should rely on controls actually completed and the evidence available. See the [treatment plan](https://docs.cisapp.eu/en/risks/treatment) and [glossary](https://docs.cisapp.eu/en/help/glossary). ## Which indicators should you prepare for a vendor risk committee? Gather critical vendors, assessment progress, missing answers or evidence, risks requiring decisions and actions to follow up. Add important dependencies and, with an authorized account, exemptions nearing their deadline. Date the information and specify its scope. Follow [Prepare a third-party risk committee](https://docs.cisapp.eu/en/guides/risk-committee) and the [dashboard guide](https://docs.cisapp.eu/en/reporting/dashboard). ## How do you organize compliance evidence? Link applicable requirements to controls and the evidence demonstrating their completion. Check document access so reviewers can read them. Storing evidence alone does not establish compliance. See [Requirements, controls and evidence](https://docs.cisapp.eu/en/compliance/requirements-controls) and [file management](https://docs.cisapp.eu/en/collaboration/files). ## What is a Trust Center used for? A Trust Center presents trust information and supports sharing under configured access rules. It complements assessments and document exchanges; it does not replace reviewing the information received. Availability in CISAPP depends on module activation and your plan. See [Configure and use the Trust Center](https://docs.cisapp.eu/en/compliance/trust-center). ## What is the difference between vendor assessment and ASM? An assessment collects and reviews information about a subject using questionnaires and evidence. ASM concerns the external attack surface: scopes, exposed assets and vulnerabilities. They provide complementary information without covering all risks on their own. See [Assess a vendor](https://docs.cisapp.eu/en/assessments/vendor) and [ASM and attack surface](https://docs.cisapp.eu/en/security/scopes-analyses). ## Can you import a questionnaire from Excel? Yes, when Excel questionnaire import is enabled for your plan. CISAPP analyzes the workbook; you then review sheets, sections and recognized elements, correct mappings if necessary and publish the questionnaire. Pay particular attention to merged cells and ambiguous headers. Follow the [Excel import guide](https://docs.cisapp.eu/en/assessments/excel-import). ## Can you already use the NIS2 and DORA screens in CISAPP? Dedicated NIS2 and DORA screens are under construction in the verified version. Appearing in a menu does not mean the workflow is operational. Check available compliance features and documented limitations before organizing your work. See [NIS2, DORA and AI Act](https://docs.cisapp.eu/en/compliance/overview) and [feature availability](https://docs.cisapp.eu/en/help/availability). ## How can you use this documentation with an AI assistant? Give the assistant the relevant Markdown article or the index for your language, then ask it to cite sources and explain access conditions. If it cannot fetch URLs, attach the downloaded file. Public documentation does not grant access to your account data. See [Use the documentation with AI](https://docs.cisapp.eu/en/help/use-with-ai).