We build Agents. You build the Future. Nous construisons les agents. Vous construisez l’avenir.
● Offre B2B — MutuellesRisque cyber tiers — Mutuelles : les fournisseurs recensés, les preuves vérifiées
La Mutuelle Verdanne confie les données de santé de cent quatre-vingt-dix mille personnes à huit délégataires, dont trois n'ont pas signé d'annexe de traitement et deux ne disent pas où les données résident. L'agent lit le coffre de contrats, l'outil de gestion santé et la plateforme de tiers payant : il rattache chaque flux à son délégataire, déclare les localisations inconnues comme inconnues et prépare les avenants. Le délégué à la protection des données instruit ; le conseil d'administration accepte. Vous arbitrez sur des faits datés : chaque dossier arrive avec ses facteurs, ses inconnues comptées et la pièce qui les lèvera — et la signature reste la vôtre, rendue en minutes plutôt qu’en comité.
Mis à jour le
Simulation fictive — pas un résultat client
Chaque dossier porte ses inconnues et la date de sa dernière preuve.
⛓ Sourcé · référentiel fournisseurs, coffre de contrats, registre des accès
Le dossier de demande est prêt — déclaration d’applicabilité et annexe de périmètre — et part dès que vous le validez.
✎ Cadre · une certification couvre son périmètre et sa période
Pour une organisation établie hors de l'Union européenne, c'est le droit de son pays qui s'applique ; sur sa demande, nous mettons en place des garanties équivalentes (revue humaine avant toute action, journal des critères, information des personnes).
Un agent Blue Lemon Agent de risque cyber tiers recense la relation fournisseur, qualifie la criticité depuis les fonctions soutenues, vérifie les preuves sur leur périmètre et leur période, déplie la chaîne de sous-traitance, mesure la concentration sur l’agrégat des services et prépare les plans de traitement et de sortie. Il fonctionne en inférence locale ou est hébergé en France, architecture conçue pour réduire l’exposition aux législations extraterritoriales, la localisation ne garantissant pas à elle seule l’immunité.
Repères décrivant notre offre, et non des résultats mesurés chez un client. Le gain sur votre parc de fournisseurs se confirme par un pilote, sur vos propres dossiers.
Estimation indicative, à confirmer par un pilote sur vos dossiers réels (conditions générales de vente, article 4).
Une formule, un seul agent
Un agent de risque cyber tiers — onze modules inclus —, installé et exploité pour vous. Tarifs HT, abonnement annuel. Les vingt déclinaisons sectorielles partagent ce tarif : elles changent le contenu, jamais le moteur ni le prix.
Installation + abonnement maîtrisé
- Installation, paramétrage et formation de vos équipes
- Exploitation, supervision humaine, mises à jour et support
- Hébergement en France, ressource dédiée et isolée
Tout inclus, sans frais d'installation
- Mise en service incluse (installation, paramétrage, formation)
- Exploitation, supervision humaine, mises à jour et support
- Hébergement en France, géré de bout en bout
Sur site, vous êtes propriétaire
- Matériel installé dans vos locaux (vous en êtes propriétaire)
- Modèles IA français / européens exécutés en local
- Maintenance à distance sécurisée (Suivi Pro inclus)
Que fait l’agent concrètement ?
Onze modules compris au socle, auxquels s’ajoute l’IA souveraine ; une seule machine d’état, avec des renvois vers des agents voisins. L’agent réalise lui-même ce que vous l’autorisez à faire ; la décision reste à vos responsables habilités, qui fixent ce qu’il fait seul et ce qu’il leur soumet.
Registre des tiers et des services
Recense fournisseur, groupe, service, contrat, sous-traitants, pays, données, accès, propriétaires, dates et statut de la relation.
Criticité métier et données
Relie le service aux fonctions qu’il soutient, aux durées de reprise visées, aux volumes, aux catégories de données, aux privilèges et à la substituabilité.
Frontière : qualifie les données pour mesurer le risque de sécurité et la dépendance. La licéité du traitement, sa base légale et le registre des traitements relèvent de l’agent d’appui DPO/RGPD, facturé à part.
Questionnaires adaptatifs
Choisit les questions selon la criticité et le cadre applicable, réutilise les réponses encore valides, demande la justification et suit les non-réponses.
Collecte et vérification des preuves
Contrôle période, périmètre, émetteur, signature, réserves, exceptions, plans correctifs et cohérence des attestations produites.
Frontière : vérifie les preuves de SÉCURITÉ — périmètre, période, émetteur. Les pièces déjà tenues par l’agent d’appui DPO/RGPD sont reprises telles quelles : le même fournisseur n’est ni réinterrogé, ni refacturé.
Exposition et vulnérabilités autorisées
Agrège avis de sécurité, incidents publics et surface expressément autorisée, sans test intrusif ni attribution non prouvée.
Scénarios de risque
Structure événements redoutés, sources, chemins passant par le tiers, mesures existantes, gravité, vraisemblance et risque résiduel.
Scoring explicable
Calcule des dimensions séparées avec leurs facteurs, leurs poids, leurs inconnues et leur confiance ; conserve le score avant et après contradiction.
Contrats et exigences
Compare les clauses de sécurité, de notification, d’audit, de localisation, de sous-traitance, de continuité, de réversibilité et de suppression.
Frontière : porte au contrat les exigences de sécurité, de réversibilité et de notification. La rédaction des clauses de l’article 28 et l’accord de sous-traitance restent l’ouvrage de l’agent d’appui DPO/RGPD.
Plans de traitement
Transforme chaque écart en mesure, avec propriétaire, échéance, preuve attendue, exception éventuelle et acceptation temporaire motivée.
Surveillance et incidents
Suit les changements, les échéances de preuves, les vulnérabilités pertinentes, les incidents déclarés, les engagements de service et les réévaluations.
Sortie, preuve et pilotage
Prépare alternatives, extraction, transition, révocation, effacement et tests ; conserve décisions, versions et indicateurs.
IA souveraine
Le socle d’hébergement et de confidentialité sur lequel repose l’agent.
La conformité du traitement — licéité, registre des traitements, analyses d’impact — et la rédaction des clauses de l’article 28 ne sont PAS comprises dans ce socle : elles sont portées par l’agent d’appui DPO/RGPD, facturé à part. Ce socle-ci traite la sécurité du tiers, la dépendance, la concentration et la sortie ; il déplie la chaîne de sous-traitance au rang 1 pour toutes les relations et au rang 2 déclaré pour les critiques. Le dépliage « rang 3 et au-delà » et la préparation du fichier de remise du registre d’information DORA sont des options. L’identité du fournisseur et les preuves communes aux deux agents se réutilisent : elles ne se collectent pas deux fois, et elles ne se facturent pas deux fois.
Étendre les capacités de cet agent
Ces capacités s'ajoutent au MÊME agent, sans en changer. Elles se facturent au palier de la grille, pas au prix d'un agent.
Prolonge le dépliage de la chaîne de sous-traitance au-delà du rang 2 : cartographie des rangs 3 et suivants, concentration mesurée sur l’ensemble de cette chaîne et plans de sortie qui en tiennent compte. Ce qui n’est pas nommé reste déclaré inconnu, avec la question posée et sa date. Option choisie dans le tunnel de commande, mise en service puis mensuel.
+ 500 € HT de mise en service, puis 35 € HT / mois — choisi dans le tunnel Choisir mes options →Besoin d'aller plus loin ?
Ces agents traitent un autre processus métier, avec leur propre responsable et leur propre tarif. Ils s'ajoutent à celui-ci.
Contrats de bout en bout
Porter au contrat les clauses que l’évaluation réclame, puis suivre échéances et préavis.
Agent de gestion de contrats end-to-end dès 362 € HT / mois Découvrir l'agent →Achats et fournisseurs
Mener la consultation et comparer les offres ; l’avis cyber rejoint le dossier, il ne l’emporte pas.
Agent achats / fournisseurs (devis, relances) dès 259 € HT / mois Découvrir l'agent →Cybersécurité et journaux
Corréler et qualifier vos alertes INTERNES. Ce socle-ci évalue les tiers : les périmètres ne se recouvrent pas.
Agent de cybersécurité (analyse de logs) dès 311 € HT / mois Découvrir l'agent →Appui DPO / RGPD
Conformité du traitement et clauses de l’article 28. Ce socle-ci traite la sécurité, la dépendance, la concentration et la sortie : l’identité du tiers et les preuves communes se réutilisent, elles ne se collectent ni ne se facturent deux fois.
Appui DPO / RGPD dès 343 € HT / mois Découvrir l'agent →En 30 minutes, nous identifions l'agent le plus pertinent — sans surdimensionner le projet.
Voyez l'agent au travail
5 situations courantes, prises parmi celles qui reviennent le plus. Choisissez-en une : l'échange se déroule comme il se déroulerait chez vous.
Démonstration écrite à l'avance. Ces échanges illustrent le comportement de l'agent — ses sources, ses refus, ce qu'il laisse à vos équipes. Rien n'est envoyé depuis cette page, aucun modèle n'y est interrogé, et les dossiers cités sont fictifs. C'est précisément ce que nous promettons à vos données. Les comportements montrés ici — surveillance, règles d'automatisation, routage et relances — sont paramétrés avec vous lors du déploiement, à partir de vos outils, de vos règles et de vos seuils. Les points d'architecture cités dans ces échanges — localisation, exécution locale, isolation, chiffrement, accès par rôle, journalisation — ne sont pas une garantie attachée à la démonstration : ils sont ceux de l'architecture décrite à votre devis, et vérifiés avant mise en service.
L'entreprise de cette démonstration
Entreprise fictiveMutuelle Verdanne — mutuelle fictive de livre II, 190 000 personnes protégées
- Secteur
- Mutuelle de livre II — complémentaire santé et prévoyance, gouvernance élective
- Effectif
- 420 salariés, dont 3 à la conformité et 1 délégué à la protection des données
- Public servi
- 190 000 personnes protégées, 2 300 entreprises adhérentes
- Ordre de grandeur
- 190 000 personnes protégées, 810 000 décomptes par mois, 8 délégataires de gestion
- Outils en place
- Outil de gestion santé, plateforme de tiers payant, extranet adhérents, coffre de contrats
- Qui décide
- Le délégué à la protection des données instruit ; le conseil d'administration accepte
- Les points d'amélioration
- 8 délégataires dont 3 sans annexe de traitement signée ; localisation des données inconnue chez 2 d'entre eux
La Mutuelle Verdanne confie les données de santé de cent quatre-vingt-dix mille personnes à huit délégataires, dont trois n'ont pas signé d'annexe de traitement et deux ne disent pas où les données résident. L'agent lit le coffre de contrats, l'outil de gestion santé et la plateforme de tiers payant : il rattache chaque flux à son délégataire, déclare les localisations inconnues comme inconnues et prépare les avenants. Le délégué à la protection des données instruit ; le conseil d'administration accepte.
Cette entreprise, ses chiffres et les échanges qui suivent ont été inventés pour la démonstration. Ils illustrent une situation courante ; ils ne décrivent aucun client réel.
Simulation fictive — pas un résultat client
Recenser, ici, c’est rattacher chaque fournisseur au SERVICE qu’il rend et à la FONCTION que ce service soutient. Tant que ce lien manque, aucune criticité n’est calculable — et c’est le lien qui manquait partout.
Le premier dossier que je vous mets sur la table : Le délégataire entrant du régime collectif.
· État ouvert : évaluation en préparation, priorité P3, sur le fait « réévaluation ouverte ».
· 11 contrôles sur 12 ne sont pas conformes, et je vous dis lesquels et pourquoi, un par un.
· 0 facteur(s) inconnu(s) — la confiance affichée tombe à 100 %, et la note, elle, ne monte pas d’un point pour autant.
Ce que je vous propose : je vous montre comment ce classement se recalcule depuis vos propres données, facteur par facteur, sans qu’aucune note opaque n’intervienne. parc-recense_relations-et-services.pdf4 objets métier rattachés, chacun à son propriétaire
⛓ Sourcé · référentiel fournisseurs, coffre de contrats, annuaire
Pour ce dossier, le fait retenu est « réévaluation ouverte », et il vient de vos entrées, pas d’un avis : subprocessorChanged = oui, noticeReceived = oui.
Le score est conservé avant ET après la contradiction du fournisseur. Il n’a jamais le dernier mot : il ouvre une revue. Le délégué à la protection des données instruit ; le conseil d'administration accepte.
Et le pas suivant, si vous le voulez : je passe la même lecture sur l’ensemble du parc et je vous rends la liste ordonnée, chaque ligne avec ses facteurs et sa date. fiche-relation_facteurs-visibles.pdf6 dimensions, leurs poids, leurs facteurs et la confiance
✎ Cadre · le score ouvre une revue, il ne décide de rien
· Registre des tiers et des services — Recense fournisseur, groupe, service, contrat, sous-traitants, pays, données, accès, propriétaires, dates et statut de la relation.
· Criticité métier et données — Relie le service aux fonctions qu’il soutient, aux durées de reprise visées, aux volumes, aux catégories de données, aux privilèges et à la substituabilité.
· Questionnaires adaptatifs — Choisit les questions selon la criticité et le cadre applicable, réutilise les réponses encore valides, demande la justification et suit les non-réponses.
· Collecte et vérification des preuves — Contrôle période, périmètre, émetteur, signature, réserves, exceptions, plans correctifs et cohérence des attestations produites.
· Exposition et vulnérabilités autorisées — Agrège avis de sécurité, incidents publics et surface expressément autorisée, sans test intrusif ni attribution non prouvée.
· Scénarios de risque — Structure événements redoutés, sources, chemins passant par le tiers, mesures existantes, gravité, vraisemblance et risque résiduel.
· Scoring explicable — Calcule des dimensions séparées avec leurs facteurs, leurs poids, leurs inconnues et leur confiance ; conserve le score avant et après contradiction.
· Contrats et exigences — Compare les clauses de sécurité, de notification, d’audit, de localisation, de sous-traitance, de continuité, de réversibilité et de suppression.
· Plans de traitement — Transforme chaque écart en mesure, avec propriétaire, échéance, preuve attendue, exception éventuelle et acceptation temporaire motivée.
· Surveillance et incidents — Suit les changements, les échéances de preuves, les vulnérabilités pertinentes, les incidents déclarés, les engagements de service et les réévaluations.
· Sortie, preuve et pilotage — Prépare alternatives, extraction, transition, révocation, effacement et tests ; conserve décisions, versions et indicateurs.
· IA souveraine — le socle d’hébergement et de confidentialité sur lequel tout cela repose : inférence locale ou ressource isolée hébergée en France.
Les onze sont compris, sans supplément : ni la sécurité, ni la traçabilité, ni la validation humaine, ni les démonstrateurs ne sont vendus en option. modules-mobilises_onze-modules-du-socle.pdfles onze modules du socle et ce que chacun apporte
✎ Cadre · onze modules compris au socle, sans supplément
Simulation fictive — pas un résultat client
Ce que j’ai observé : specialCategoryData = oui, certificationClaim = oui, scopeMatches = non.
Ce que la règle en conclut : périmètre de preuve incompatible — état preuves en examen, priorité P1.
Ce que je propose, et c’est déjà écrit : Obtenir la déclaration d'applicabilité et l'annexe de périmètre, ou faire couvrir le service par un audit dédié.
La mesure part avec son propriétaire, son échéance et LA PIÈCE ATTENDUE nommée à l’avance — c’est cette pièce, et elle seule, qui la fermera. Une remédiation close sur promesse reste ouverte chez moi. ecart_valeurs-observees-et-regle.pdfvaleurs observées, règle appliquée, version de la règle
⛓ Sourcé · pièces reçues, contrat en vigueur, politique interne
Si le fournisseur a raison, la mesure se referme sur sa pièce — datée, signée, avec son périmètre. S’il n’apporte rien, l’écart reste au dossier avec la date de la demande : le silence ne referme rien.
Dans les deux cas vous gagnez la même chose : Le délégué à la protection des données instruit ; le conseil d'administration accepte — et vous arbitrez sur des faits datés au lieu d’une impression. plan-traitement_mesure-proprietaire-echeance.pdfmesure, propriétaire, échéance, preuve attendue
✎ Cadre · la contradiction se conserve, elle n’efface rien
Simulation fictive — pas un résultat client
État ouvert : criticité à établir, priorité P3, fait retenu « criticité non validable ».
1 facteur(s) inconnu(s) au dossier, et voilà ce qu’ils font — et ce qu’ils ne font pas : la confiance affichée passe à 90 %, la note ne bouge pas d’un point. Une inconnue n’est ni un échec automatique, ni une réussite implicite.
Le protocole est déjà rédigé : la question exacte, le destinataire, la pièce attendue et la date de relance. Il part dès que vous le validez. inconnue_protocole-de-levee.pdfquestion posée, destinataire, pièce attendue, date de relance
⛓ Sourcé · questionnaire, registre, flux observés
Ce que je vous apporte entre-temps, et qui ne dépend de personne : ce que vos propres personnes protégées disent déjà — le contrat, les flux observés, l’historique des accès. Le dossier avance sur ce qui est vérifiable, en attendant ce qui ne l’est pas encore.
Et une comparaison qui éclaire : une relation instruite avec deux inconnues nommées se décide ; une relation sans aucune inconnue affichée ne prouve pas qu’il n’y en a pas — elle prouve que personne ne les a cherchées. journal_questions-posees-et-dates.pdfjournal des questions, relances et non-réponses, avec leurs dates
✎ Cadre · une non-réponse est un fait daté, pas un blanc
Simulation fictive — pas un résultat client
État ouvert : décision réservée au responsable, priorité P1, fait retenu « preuve d’un autre client inaccessible ».
Ce que le dossier contient déjà : les valeurs observées, la règle appliquée et sa version, les 12 contrôles non conformes avec leur justification, le score et ses facteurs, les 0 inconnue(s), et l’effet mesuré sur les services soutenus.
Demander la preuve au fournisseur pour ce tenant-ci, ou obtenir du client détenteur une permission écrite et tracée.
Qui signe, et pourquoi c’est un avantage : Le délégué à la protection des données instruit ; le conseil d'administration accepte. La décision vous revient — et je vous la rends en minutes : dossier complet, chiffré, motivé. Vous tranchez sur des faits datés au lieu de convoquer un comité pour rassembler les pièces. dossier-de-decision_complet-chiffre-motive.pdfvaleurs, règle, contrôles, score, inconnues, effet sur les services
✎ Cadre · l’acte engage l’organisation, le dossier est prêt
Un plan jamais éprouvé reste une hypothèse — je vous propose donc l’exercice qui le rend crédible, avec sa date, son périmètre et l’écart mesuré au délai de reprise que vous visez.
Ce que vous obtenez au bout : Acceptations portées au conseil d'administration, mesuré et non déclaré. Signez l’exercice et il est programmé cette semaine. plan-de-sortie_alternatives-et-exercice.pdfalternatives, extraction, transition, révocation, effacement, critère de réussite
⛓ Sourcé · alternatives documentées, format d’extraction, exercice de réversibilité
Simulation fictive — pas un résultat client
Ce que j’établis : 810 000 décomptes par mois, un mandat qui couvre la gestion des prestations et rien d’autre, une annexe de traitement signée pour cette seule finalité, et 190 000 personnes protégées derrière.
Ce cas de figure n’avait pas encore été pris en compte dans votre paramétrage : votre règle dit qu’une donnée de santé confiée relève d’un régime renforcé et que la localisation se démontre, et tout cela s’applique ici ; ce qu’elle ne dit pas, c’est qui décide d’une finalité que le mandat n’a jamais prévue. Je n’ai donc rien arrêté seul, et l’instruction continue sur ce qui est déjà vérifiable.
Trois façons de faire. Écarter la demande : le mandat couvre la gestion, et rien de plus : aucune instruction à conduire, et le régime renforcé reste intact, mais vous vous privez d’une détection dont le bénéfice vous reviendrait, et la demande reviendra autrement. Accepter sur des données pseudonymisées, par avenant au mandat : la finalité entre au contrat et la donnée circule sous une forme réduite, mais une pseudonymisation à vérifier chez le délégataire, chez qui la table de correspondance reste. Accepter sur un échantillon borné, après avis du délégué à la protection des données et passage au conseil d’administration : la décision se prend là où votre gouvernance la place, et l’échantillon limite ce qui sort, mais un conseil à attendre, et le délégataire souhaite commencer.
Je recommande la troisième. votre règle veut qu’une acceptation significative remonte au conseil d’administration avec son dossier, et une finalité nouvelle sur des données de santé en est une ; l’échantillon, lui, rend la décision réversible tant qu’elle n’est pas prise.
Vous pouvez aussi m’en définir une autre — par exemple : accepter sur échantillon pseudonymisé, et ne saisir le conseil qu’au passage en production.
Faut-il que je la retienne pour les prochains cas de ce type ? Sur vos 8 délégataires de gestion, 3 ont demandé une réutilisation depuis deux ans, et 2 de ces demandes portaient sur des données de santé. Si vous validez, je préparerai le dossier du conseil dès la réception de la demande.
⛓ Sourcé · convention de délégation de gestion, annexe de traitement des données de santé, demande écrite du délégataire
La règle, en une phrase : une finalité nouvelle demandée par un délégataire ouvre un dossier d’acceptation porté au conseil d’administration, après avis du délégué à la protection des données, et elle est instruite sur un échantillon borné ; l’échantillon est tiré sur des décomptes clos depuis plus d’un an — votre correction — le mandat restant inchangé tant que le conseil n’a pas délibéré.
Ce que j’ai relevé en instruisant ce dossier, et qui vaut plus que la règle : sur vos 8 délégataires, 3 n’ont pas d’annexe de traitement signée et la localisation des données reste inconnue chez 2 ; j’ai rapproché les deux listes : les 2 localisations inconnues font partie des 3 annexes manquantes.
Ce que ça vaut : la localisation est une clause de l’annexe, pas une demande séparée : signer les 3 annexes manquantes lève aussi les 2 localisations inconnues, et vos deux indicateurs — annexes signées et localisation documentée — passent ensemble de 5 à 8 et de 6 à 8 avec 3 signatures, au lieu de 5 démarches conduites séparément.
La décision est à vous : c’est votre plan de mise en conformité, et le conseil d’administration l’accepte. Je vous donne les 3 délégataires, la clause de localisation que chaque annexe doit porter et ce que chacun traite aujourd’hui. Je ne modifie rien avant que vous l’ayez écrit, et la règle se retire d’une ligne.
✎ Règle validée · écrite sous son nom, avec sa date et le dossier qui l’a fait naître — réversible en une ligne
Votre cas n'est pas ici ? C'est exactement ce dont on parle en 30 minutes. Parler de votre projet →
Les étapes de votre projet d'agent IA
Audit & cadrage
30 min pour cibler le cas d'usage le plus rentable.
Devis ou souscription directe
Une offre du catalogue se souscrit en ligne ; un besoin particulier reçoit un devis chiffré.
Conception
Nous concevons l'agent et ses garde-fous.
Intégration & tests
Nous raccordons vos outils à l'agent, lui-même hébergé en France.
Déploiement
Mise en service et formation de votre équipe.
Exploitation
Supervision continue et amélioration.
Qu’apporte un agent IA à l’évaluation de vos fournisseurs ?
Une relation recensée, chiffrée et datée s’arbitre en minutes ; un dossier éparpillé entre un contrat, une attestation et trois courriels demande de tout reconstituer.
! L’enjeu
Évaluer un fournisseur suppose de rassembler ce qui est vérifiable et de nommer ce qui ne l’est pas. Ce travail de rapprochement est systématique et se prête à l’automatisation ; la décision d’accepter un risque, elle, engage l’organisation.
✓ Notre réponse
Vos responsables arbitrent sur l’ensemble du parc plutôt que sur les fournisseurs qu’on pense à regarder — et chaque dossier arrive déjà recensé, chiffré et daté. Chaque score conserve ses facteurs, avant et après la contradiction du fournisseur : votre conclusion tient devant lui, et elle se corrige quand il apporte la pièce. Données hébergées en France sur une ressource isolée ; le modèle d'IA est appelé chez son éditeur, sauf option Modèle souverain. En formule 100 % Souverain, vos rapports d’audit et vos cartographies de dépendance ne sortent pas de l’organisation.
Rapports d’audit, contrats et cartographies de dépendance : souveraineté & cloisonnement
Les preuves que vos fournisseurs vous confient décrivent leurs faiblesses autant que vos dépendances : leur confidentialité est un enjeu de sécurité en soi.
Inférence locale
En formule 100 % Souverain, l’agent tourne sur une machine de votre organisation : aucun rapport d’audit, aucun contrat et aucune cartographie de dépendance ne sort du réseau.
Hébergement en France
Sinon, en formules Agilité et Sérénité, une ressource dédiée et isolée hébergée en France, sous droit français : données hébergées en France ; le modèle d'IA est appelé chez son éditeur, sauf option Modèle souverain.
Cloisonnement strict des tenants
Le rapport déposé par un client n’est jamais lisible par un autre, quel que soit l’émetteur du document. Un partage entre tenants exige une permission écrite et tracée.
Exposition extraterritoriale réduite
Pour vos rapports d’audit et vos cartographies de dépendance, l’architecture vise à réduire l’exposition aux législations extraterritoriales ; la seule localisation ne garantit pas à elle seule l’immunité.
Portes humaines nommées
Acceptation d’un risque, engagement d’une sortie, escalade d’un incident : trois états qu’un responsable habilité seul peut ouvrir, avec motif et horodatage.
Journal détectant l’altération
Chaque transition porte sa preuve, son acteur et son horodatage ; les refus se journalisent au même titre que les passages.
Ce qui dépend de l'architecture retenue Ces points ne sont pas des garanties générales : ils sont arrêtés déploiement par déploiement, au devis.
- La localisation applicable est celle de l'architecture décrite au devis et vérifiée avant mise en service.
- L'exécution locale n'est annoncée que pour la configuration explicitement décrite et recettée au devis.
- L'isolation applicable dépend du mode de déploiement décrit au devis ; aucune isolation dédiée n'est présumée.
- Les événements journalisés, leur contenu, leur durée de conservation et leurs accès sont définis pour le déploiement retenu.
Combien de relations une équipe peut-elle instruire ?
En prenant en charge le recensement, le rapprochement des preuves et la constitution du dossier, on déplace l’effort vers l’arbitrage. L’ampleur du gain dépend de votre parc et reste à confirmer par un pilote.
Quatre garanties qui comptent sur ce sujet
Ressources liées
Vos questions, nos réponses
Quel cadre réglementaire encadre l’évaluation de vos prestataires informatiques ?
L’agent certifie-t-il qu’un fournisseur est sûr ?
Comment vérifie-t-il une certification ou un rapport d’audit ?
Peut-il scanner un fournisseur sans son accord ?
Comment traite-t-il les sous-traitants de quatrième rang ?
Comment calcule-t-il criticité et concentration ?
Le score peut-il bloquer automatiquement un achat ?
Comment suit-il une remédiation et ses preuves ?
Comment prépare-t-il un plan de sortie réellement testable ?
Qu’est-ce qui fait le prix de la tenue du registre, et jusqu’où déplie-t-on la chaîne ?
D’autres agents pour la sécurité et les achats
Estimons le potentiel sur votre parc de fournisseurs
30 minutes pour cadrer vos services, vos preuves et vos responsables — hébergé en France, supervisé, sans engagement.