b) Gestion des incidents<\/a><\/strong><\/td>\n| Notification initiale sous 24 heures et \u00e9valuation de l’impact sous 72 heures<\/td>\n | Le p\u00e9rim\u00e8tre de l’incident et la tra\u00e7abilit\u00e9 de la r\u00e9ponse, horodat\u00e9s<\/td>\n | La console renvoie instantan\u00e9ment l’utilisateur de l’appareil touch\u00e9, ses acc\u00e8s, ses applications et l’historique des actions<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\ni) Gestion des actifs<\/h3>\nPresque tout le monde dispose d’une liste d’appareils. Presque personne ne la relie aux personnes<\/strong>, et sans ce lien il devient impossible de d\u00e9montrer la r\u00e9vocation des acc\u00e8s ou le p\u00e9rim\u00e8tre d’un incident.<\/p>\nIl existe un second \u00e9cueil courant. L’inventaire s’arr\u00eate souvent aux ordinateurs portables, alors que la directive inclut aussi les services souscrits aupr\u00e8s de prestataires externes. Dans Factorial IT, l’inventaire recense le mat\u00e9riel, les logiciels install\u00e9s et leurs versions depuis une seule console<\/strong>, sur un parc mixte macOS, Windows, Linux, iOS et Android, et chaque appareil est reli\u00e9 \u00e0 une personne, une \u00e9quipe et un service gr\u00e2ce \u00e0 la connexion avec le syst\u00e8me RH. Il int\u00e8gre \u00e9galement les applications SaaS r\u00e9ellement utilis\u00e9es, y compris celles souscrites en dehors de l’IT.<\/p>\nLa preuve g\u00e9n\u00e9r\u00e9e par Factorial IT :<\/strong> inventaire t\u00e9l\u00e9chargeable, dat\u00e9, avec un responsable par actif et le pourcentage de couverture du relev\u00e9.<\/p>\ni) Contr\u00f4le d’acc\u00e8s<\/h3>\nLe principe du moindre privil\u00e8ge est facile \u00e0 \u00e9noncer et difficile \u00e0 prouver. Ce qu’un audit demande, ce n’est pas la politique de droits, mais la liste de qui a acc\u00e8s \u00e0 quoi aujourd’hui, et depuis quand<\/strong>. Dans la plupart des organisations, cette liste n’existe pas telle quelle et il faut la reconstituer en entrant application par application.<\/p>\nFactorial IT tient \u00e0 jour cet inventaire des acc\u00e8s par personne et automatise le provisionnement selon le r\u00f4le<\/strong>, avec des r\u00e8gles qui attribuent groupes, droits et licences \u00e0 partir des donn\u00e9es du logiciel RH. Les applications o\u00f9 l’automatisation n’est pas possible sont couvertes par un flux de tickets qui laisse la m\u00eame trace auditable.<\/p>\nLa preuve g\u00e9n\u00e9r\u00e9e par Factorial IT :<\/strong> un journal dat\u00e9 des cr\u00e9ations, modifications et r\u00e9vocations, ainsi que la cartographie des acc\u00e8s par personne \u00e0 tout instant.<\/p>\ni) S\u00e9curit\u00e9 des ressources humaines<\/h3>\nLa proc\u00e9dure d’offboarding est \u00e9crite dans presque toutes les entreprises. Ce qui manque, c’est la preuve de son ex\u00e9cution.<\/p>\n Presque aucune organisation ne sait dire combien d’heures se sont \u00e9coul\u00e9es, sur les douze derniers d\u00e9parts, entre le dernier jour du collaborateur et la coupure de son dernier acc\u00e8s. C’est exactement ce qui est audit\u00e9.<\/p>\n L’arriv\u00e9e et le d\u00e9part se d\u00e9clenchent depuis le logiciel RH de Factorial lui-m\u00eame, et non depuis un ticket. Lorsqu’une nouvelle personne rejoint l’\u00e9quipe, on provisionne les comptes et les acc\u00e8s selon son r\u00f4le<\/strong>. Lorsque ce collaborateur quitte l’entreprise, on r\u00e9voque les acc\u00e8s, on verrouille l’appareil et on lib\u00e8re les licences<\/strong>. Les AI Agents identifient l’ensemble des acc\u00e8s, appareils et applications attribu\u00e9s \u00e0 une personne et ex\u00e9cutent le d\u00e9part complet, de sorte que la r\u00e9vocation et son enregistrement se produisent au m\u00eame moment.<\/p>\nLa preuve g\u00e9n\u00e9r\u00e9e par Factorial IT :<\/strong> la tra\u00e7abilit\u00e9 compl\u00e8te de chaque d\u00e9part, avec l’heure de r\u00e9vocation de chaque acc\u00e8s et le temps \u00e9coul\u00e9 depuis le dernier jour du collaborateur.<\/p>\nh) Cryptographie et chiffrement<\/h3>\nLa question de l’auditeur n’est jamais de savoir si vous avez le chiffrement de disque. Elle porte sur le pourcentage du parc o\u00f9 il est actif et sur la date \u00e0 laquelle cela a \u00e9t\u00e9 v\u00e9rifi\u00e9<\/strong>. La politique qui impose le chiffrement existe dans presque toutes les entreprises, mais la donn\u00e9e sur les appareils qui la respectent aujourd’hui, non.<\/p>\nFactorial IT applique et v\u00e9rifie FileVault et BitLocker sur l’ensemble du parc<\/strong>, et permet de d\u00e9finir des politiques de configuration par r\u00f4le, syst\u00e8me d’exploitation ou \u00e9tat de s\u00e9curit\u00e9. On y trouve le pare-feu, le verrouillage de session, la politique de mots de passe et les restrictions sur les p\u00e9riph\u00e9riques. Les \u00e9carts sont d\u00e9tect\u00e9s et corrig\u00e9s automatiquement.<\/p>\nLa preuve g\u00e9n\u00e9r\u00e9e par Factorial IT :<\/strong> le pourcentage de conformit\u00e9 par r\u00e8gle \u00e0 une date pr\u00e9cise, la liste nominative des appareils non conformes et la tra\u00e7abilit\u00e9 des rem\u00e9diations. C’est cette liste nominative qui compte, car c’est elle qui transforme un chiffre en une preuve exploitable.<\/p>\ne) Acquisition et maintenance des syst\u00e8mes<\/h3>\nCette cat\u00e9gorie couvre la s\u00e9curit\u00e9 tout au long de la vie d’un syst\u00e8me, de son achat \u00e0 son retrait, et inclut la gestion des vuln\u00e9rabilit\u00e9s. Sur le poste de travail, cela se traduit par deux choses, maintenir les logiciels \u00e0 jour<\/strong> et ne pas garder en production des syst\u00e8mes qui ne re\u00e7oivent plus de correctifs<\/strong>.<\/p>\nLa premi\u00e8re se fait dans presque toutes les entreprises, mais se prouve dans tr\u00e8s peu d’entre elles. On applique les correctifs, et pourtant il n’existe aucun moyen de r\u00e9pondre au temps moyen entre la publication d’une mise \u00e0 jour critique et son application sur l’ensemble du parc, qui est justement la m\u00e9trique demand\u00e9e. La seconde p\u00e8se encore plus lourd, car un appareil dot\u00e9 d’un syst\u00e8me d’exploitation hors support constitue un manquement explicite, et non une simple recommandation, et ces appareils ont tendance \u00e0 surgir pr\u00e9cis\u00e9ment pendant l’audit.<\/p>\n Ce que Factorial IT tient \u00e0 jour.<\/p>\n \n- Le suivi des versions du syst\u00e8me d’exploitation et des applications sur tout le parc.<\/li>\n
- Les politiques de mise \u00e0 jour, avec leur niveau d’application par appareil.<\/li>\n
- Les vuln\u00e9rabilit\u00e9s connues d\u00e9tect\u00e9es sur chaque appareil, avec leur \u00e9tat de rem\u00e9diation.<\/li>\n
- Les logiciels hors support, signal\u00e9s directement dans l’inventaire.<\/li>\n<\/ul>\n
La preuve g\u00e9n\u00e9r\u00e9e par Factorial IT :<\/strong> le niveau de patch par appareil, le d\u00e9lai moyen d’application et la liste des syst\u00e8mes sans support.<\/p>\ng) Cyberhygi\u00e8ne<\/h3>\nLa cyberhygi\u00e8ne regroupe les pratiques de s\u00e9curit\u00e9 de base que l’on tient pour acquises mais qu’il faut pouvoir prouver, et l’une d’elles est la protection contre les codes malveillants<\/strong> sur tous les appareils. Ce qui est audit\u00e9, ce n’est pas d’avoir un antivirus sous contrat, mais qu’il soit install\u00e9 et actif sur chaque appareil.<\/p>\nEt l\u00e0, mieux vaut \u00eatre pr\u00e9cis. Factorial IT n’est pas l’antivirus, c’est la couche qui prouve qu’il est pr\u00e9sent et qu’il fonctionne.<\/p>\n Ce que l’on pr\u00e9sente en audit, c’est souvent la facture de l’antivirus. Ce que l’on v\u00e9rifie, c’est le d\u00e9ploiement effectif, et il y a presque toujours entre 3 % et 8 % d’appareils sans agent ou avec un agent \u00e0 l’arr\u00eat, g\u00e9n\u00e9ralement \u00e0 cause d’une r\u00e9installation, d’un appareil neuf que personne n’a enr\u00f4l\u00e9 ou d’un utilisateur disposant de droits d’administrateur local. Factorial IT v\u00e9rifie l’\u00e9tat de l’agent de protection sur chaque appareil<\/strong> et signale ceux qui en sont d\u00e9pourvus.<\/p>\nLa preuve g\u00e9n\u00e9r\u00e9e par Factorial IT :<\/strong> la couverture effective de l’antimalware, appareil par appareil, avec date.<\/p>\nb) Gestion des incidents<\/h3>\nLa directive NIS2 impose de notifier les incidents importants dans un d\u00e9lai tr\u00e8s court, avec une alerte initiale sous 24 heures et une \u00e9valuation de l’impact sous 72 heures<\/strong>. Tenir ce calendrier d\u00e9pend de la capacit\u00e9 \u00e0 r\u00e9pondre vite \u00e0 une question pr\u00e9cise, celle de savoir jusqu’o\u00f9 l’incident est all\u00e9.<\/p>\nLe probl\u00e8me ne r\u00e9side pas dans la d\u00e9tection, mais dans la d\u00e9limitation. Ce qui bloque la notification, c’est de savoir quelles donn\u00e9es, quels acc\u00e8s et quels syst\u00e8mes \u00e9taient \u00e0 la port\u00e9e de l’appareil compromis<\/strong>, et y r\u00e9pondre \u00e0 la main prend des jours.<\/p>\nLorsqu’un incident touche un appareil, la console renvoie instantan\u00e9ment l’utilisateur, ses acc\u00e8s, ses applications et l’historique des actions men\u00e9es sur l’appareil. Elle inclut le verrouillage et l’effacement \u00e0 distance, avec la tra\u00e7abilit\u00e9 de chaque action.<\/p>\n La preuve g\u00e9n\u00e9r\u00e9e par Factorial IT :<\/strong> le p\u00e9rim\u00e8tre de l’incident et la tra\u00e7abilit\u00e9 de la r\u00e9ponse, horodat\u00e9s.<\/p>\nL\u00e0 o\u00f9 Factorial IT fait le gros du travail<\/h2>\nEn plus des six mesures pr\u00e9c\u00e9dentes, il en existe quatre autres o\u00f9 Factorial IT r\u00e9sout la partie qui d\u00e9pend des donn\u00e9es<\/strong>, la plus co\u00fbteuse \u00e0 r\u00e9unir, comme on l’a d\u00e9j\u00e0 vu. Le reste de ces mesures se compl\u00e8te avec d’autres outils ou avec un processus interne. Ce n’est pas la m\u00eame chose que les mesures que Factorial IT ne couvre pas du tout, que nous verrons plus loin. Sur ces quatre points, l’outil apporte quelque chose de concret, l’inventaire, la tra\u00e7abilit\u00e9 ou la visibilit\u00e9 qu’il faut d’ordinaire des semaines pour reconstituer \u00e0 la main.<\/p>\n\n\n\n| Mesure (art. 21.2)<\/th>\n | Ce qu’elle exige<\/th>\n | La partie que Factorial couvre<\/th>\n | La partie qu’il ne couvre pas<\/th>\n<\/tr>\n<\/thead>\n | \n\nb) Gestion des incidents<\/a><\/strong><\/td>\n| D\u00e9tecter l’incident et d\u00e9limiter son p\u00e9rim\u00e8tre pour notifier dans les d\u00e9lais<\/td>\n | Le p\u00e9rim\u00e8tre et la tra\u00e7abilit\u00e9 de ce qui s’est pass\u00e9 sur l’appareil<\/td>\n | La d\u00e9tection. Factorial IT n’est ni un SIEM ni un SOC<\/td>\n<\/tr>\n | \nj) Authentification multifacteur<\/a><\/strong><\/td>\n| Avoir la MFA active l\u00e0 o\u00f9 c’est requis et pouvoir prouver sur quels comptes elle l’est<\/td>\n | La visibilit\u00e9 sur les comptes o\u00f9 elle est active<\/td>\n | La MFA elle-m\u00eame, apport\u00e9e par votre fournisseur d’identit\u00e9<\/td>\n<\/tr>\n | \ni) Revue des acc\u00e8s<\/a><\/strong><\/td>\n| V\u00e9rifier p\u00e9riodiquement que chaque personne ne dispose que des droits dont elle a besoin<\/td>\n | L’inventaire des acc\u00e8s par personne et l’ex\u00e9cution de la r\u00e9vocation<\/td>\n | Le processus formel de recertification p\u00e9riodique avec des approbateurs<\/td>\n<\/tr>\n | \nd) Cha\u00eene d’approvisionnement<\/a><\/strong><\/td>\n| Conna\u00eetre et \u00e9valuer le risque des fournisseurs et des services utilis\u00e9s<\/td>\n | L’inventaire r\u00e9el des services utilis\u00e9s, y compris le shadow IT<\/td>\n | L’\u00e9valuation et la contractualisation des fournisseurs, qui rel\u00e8vent d’un processus<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\nb) Gestion des incidents<\/h3>\nUn incident de s\u00e9curit\u00e9 comporte deux temps. Le d\u00e9tecter<\/strong> et, une fois d\u00e9tect\u00e9, d\u00e9terminer jusqu’o\u00f9 il est all\u00e9<\/strong>. Ce sont deux t\u00e2ches distinctes, prises en charge par des outils distincts.<\/p>\nLa d\u00e9tection, c’est-\u00e0-dire se rendre compte que quelque chose de grave est en train de se produire, rel\u00e8ve d’un SIEM ou d’un SOC. Un SIEM<\/strong> est un syst\u00e8me qui collecte et corr\u00e8le les journaux de toute l’infrastructure pour d\u00e9clencher une alerte lorsqu’il d\u00e9tecte une anomalie. Un SOC<\/strong> est l’\u00e9quipe de personnes qui surveille ces alertes. Factorial IT n’est ni l’un ni l’autre, et ne pr\u00e9tend pas l’\u00eatre.<\/p>\nCe qu’il fait, en revanche, une fois l’incident d\u00e9tect\u00e9, c’est le d\u00e9limiter. Lorsque l’appareil concern\u00e9 est g\u00e9r\u00e9 par Factorial IT, la console renvoie instantan\u00e9ment qui l’utilisait, \u00e0 quoi cette personne avait acc\u00e8s et quelles actions avaient \u00e9t\u00e9 men\u00e9es sur l’appareil<\/strong>. C’est exactement ce dont vous avez besoin pour notifier dans les d\u00e9lais, mais l’alerte qui d\u00e9clenche tout le processus vient d’ailleurs.<\/p>\nj) Authentification multifacteur<\/h3>\nL’authentification multifacteur (MFA) est fournie par votre fournisseur d’identit\u00e9 (Google Workspace, Microsoft Entra ID ou autre), l\u00e0 o\u00f9 vos collaborateurs se connectent. Factorial IT ne remplace pas ce fournisseur et n’active pas la MFA de lui-m\u00eame<\/strong>.<\/p>\nL\u00e0 o\u00f9 Factorial IT aide, c’est sur le volet contr\u00f4le. La directive n’exige pas seulement d’avoir la MFA, elle exige de pouvoir prouver sur quels comptes elle est r\u00e9ellement active<\/strong>, et cette photographie est souvent \u00e9parpill\u00e9e entre plusieurs outils. L’int\u00e9gration avec le fournisseur d’identit\u00e9 permet de r\u00e9unir cette information au m\u00eame endroit.<\/p>\ni) Revue des acc\u00e8s<\/h3>\nRevoir les acc\u00e8s, c’est v\u00e9rifier de temps \u00e0 autre que chaque personne ne conserve que les droits dont elle a besoin<\/strong>, ni plus ni moins. Cela a deux facettes. La premi\u00e8re consiste \u00e0 disposer de la liste de qui acc\u00e8de \u00e0 quoi. La seconde est le processus formel qui consiste \u00e0 faire asseoir un responsable pour examiner cette liste et signer son approbation, ce que l’on appelle la recertification.<\/p>\nFactorial IT r\u00e9sout la premi\u00e8re facette. Il tient l’inventaire des acc\u00e8s par personne toujours \u00e0 jour<\/strong> et ex\u00e9cute la r\u00e9vocation le moment venu. Ce qu’il n’apporte pas, c’est le circuit d’approbation, autrement dit le flux dans lequel chaque responsable de service revoit p\u00e9riodiquement les acc\u00e8s de son \u00e9quipe et atteste qu’il les a valid\u00e9s.<\/p>\nd) Cha\u00eene d’approvisionnement<\/h3>\nCette mesure vise \u00e0 ma\u00eetriser le risque qui entre par vos fournisseurs, surtout ceux de logiciels et de services num\u00e9riques. Elle comporte elle aussi deux parties. Savoir quels fournisseurs et services vous utilisez r\u00e9ellement, puis \u00e9valuer et contractualiser ces fournisseurs avec les garanties n\u00e9cessaires.<\/p>\n C’est sur la premi\u00e8re que Factorial IT apporte de la valeur. Il d\u00e9couvre les applications SaaS r\u00e9ellement utilis\u00e9es dans l’organisation<\/strong>, y compris celles souscrites en dehors du d\u00e9partement IT, ce que l’on appelle le shadow IT<\/em>. Cet inventaire r\u00e9el est le point de d\u00e9part de la mesure, car on ne peut pas ma\u00eetriser le risque d’un fournisseur dont on ignorait m\u00eame l’usage. Ce qui reste en dehors, c’est la seconde partie, l’\u00e9valuation et la contractualisation de chaque fournisseur<\/strong>, qui rel\u00e8ve d’un processus m\u00e9tier et non d’une donn\u00e9e.<\/p>\nCe que Factorial IT ne couvre pas, et comment le traiter<\/h2>\nCes quatre domaines restent en dehors de Factorial IT, car aucun outil de cette cat\u00e9gorie ne couvre les dix mesures de l’article 21.2. Pour autant, savoir comment les traiter et dans quel ordre, c’est ce qui s\u00e9pare un projet de six semaines d’un projet de six mois.<\/p>\n \n\n\n| Mesure (art. 21.2)<\/th>\n | Pourquoi ce n’est pas un logiciel<\/th>\n | Ce que Factorial IT vous fait gagner<\/th>\n<\/tr>\n<\/thead>\n | \n\na) Gouvernance, politique et analyse des risques<\/a><\/strong><\/td>\n| Ce sont des d\u00e9cisions de direction que quelqu’un doit signer<\/td>\n | L’inventaire des actifs, par lequel d\u00e9marre l’analyse des risques<\/td>\n<\/tr>\n | \ng) Formation et sensibilisation<\/a><\/strong><\/td>\n| N\u00e9cessite une plateforme de formation avec un suivi par collaborateur<\/td>\n | La liste des collaborateurs par service qui alimente cette plateforme<\/td>\n<\/tr>\n | \nc) Sauvegardes, continuit\u00e9 et infrastructure<\/a><\/strong><\/td>\n| C’est une autre couche, faite de serveurs, de r\u00e9seau et de locaux, pas le poste de travail<\/td>\n | L’inventaire des syst\u00e8mes sur lequel se d\u00e9finit le plan de continuit\u00e9<\/td>\n<\/tr>\n | \nf) Supervision, audit et test d’intrusion<\/a><\/strong><\/td>\n| La supervision continue rel\u00e8ve d’un SOC et l’audit est r\u00e9alis\u00e9 par un tiers ind\u00e9pendant<\/td>\n | La preuve que l’auditeur demande d\u00e8s la premi\u00e8re r\u00e9union, d\u00e9j\u00e0 g\u00e9n\u00e9r\u00e9e<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\na) Gouvernance, politique et analyse des risques<\/h3>\nCe n’est pas un logiciel, car il s’agit de d\u00e9cisions de direction. Un document que personne n’approuve ne vaut pas comme preuve, et aucun outil ne peut signer \u00e0 votre place la politique de s\u00e9curit\u00e9 ni l’analyse des risques.<\/p>\n La bonne approche passe par un cabinet de conseil<\/strong>, mais en cadrant la mission. Pour une entreprise de moins de 300 personnes, c’est un projet de quatre \u00e0 six semaines<\/strong>, qui devrait vous livrer quatre \u00e9l\u00e9ments concrets.<\/p>\n | | | | | | | | | | |