Chaque système, tel qu'il tourne. Chaque couche, notée.
Dessinez chaque système tel qu'il tourne vraiment, puis lisez-le au regard de huit couches de défense. La couche mince, le chemin à un seul mur et la revue de conception en retard ressortent avant qu'un attaquant ou un auditeur ne les trouve.
Ce que cela remplace
- Le schéma d'architecture était exact la semaine où il a été dessiné.
- Chaque revue demande où la défense est mince ; personne ne sait le montrer.
- On achète des outils ; personne ne sait dire quel contrôle chacun sert.
Ce qui change
- Une note de défense par système sur huit couches, avec le chemin le plus faible compté.
- Les systèmes en retard de revue de conception, listés par date, pas de mémoire.
- Chaque outil de sécurité rattaché aux contrôles qu'il assure, pour que manques et doublons se voient.
Ce que vous faites ici
- 1Dessinez chaque système à partir de l'inventaire.
Les composants viennent directement de la liste des actifs, déjà reliés à leurs actifs et aux vulnérabilités qu'ils portent.
Security architecture - 2Notez chaque système sur huit couches de défense.
Chaque couche est notée à part, donc une note faible désigne toujours une couche nommée.
Defence layers - 3Trouvez le chemin à un seul mur, ou sans mur.
Le chemin le plus faible compte les couches entre l'extérieur et les données sensibles, système par système.
Security architecture - 4Rattachez chaque outil de sécurité aux contrôles qu'il assure.
Un outil qui ne soutient aucun contrôle ressort — tout comme un contrôle sans outil derrière lui.
Security tools - 5Inscrivez les revues de conception au calendrier.
Un système actif sans revue depuis douze mois est signalé avec la date de la dernière.
Security architecture - 6Écrivez le standard une fois, puis liez-le.
Les standards d'architecture vivent dans la bibliothèque documentaire, avec versions et approbations, rattachés aux contrôles qu'ils fixent.
Documents
Où le rôle s'arrête
Vous modifiez systèmes, couches de défense, contrôles et outils. Risques et actifs restent ici en lecture seule ; leurs responsables tiennent ces registres.
Travaille avec
APPSECResponsable AppSecUne seule liste des correctifs. Avant que la release parte.Scanners, pipelines et pentests alimentent un registre par application. Classez les correctifs selon ce qui est réellement exploité, soumettez les releases à des règles que vous avez écrites et gardez un SBOM par release pour le dossier CRA.
ASSETSResponsable ITPatché, c'est une affirmation. Durci, c'est un scan.Un inventaire n'est exact que le jour de son export. Ici le registre reste vivant, les dérogations sont des décisions écrites et chaque système est scanné sur sa base de référence, avec l'option de durcissement.
OPSResponsable sécuritéRien ne passe entre les mailles.Tenez le quotidien opérationnel : la file des vulnérabilités, les incidents du tri au retour d'expérience, les revues d'accès, les dérogations de durcissement et les vagues de phishing. Chaque dossier porte un responsable, une date et une trace.
Prêt à aller
au-delà du GRC classique ?
Essai gratuit de 14 jours. Sans carte bancaire. Cloud ou on-premises.