Par où lire, selon votre rôle ?

Chaque ajout, modification, suppression, import, export ou changement de configuration est horodaté : colonnes Date · Utilisateur · Action · Catégorie · Cible · Détails. Six types d'action (Ajout, Modification, Suppression, Import, Export, Configuration) et 18 catégories couvrant tous les registres. Filtre par type d'action et recherche plein texte sur la cible ; bouton Effacer l'historique (verrouillé en lecture seule). En mode serveur, l'utilisateur tracé est le compte JWT ; en local, « utilisateur local ».

La SoA (Statement of Applicability) est le premier document qu'un auditeur de certification demande : pour chacun des 93 contrôles de l'Annexe A, vous déclarez s'il est applicable, d'où vient l'exigence, où en est l'implémentation, qui en est propriétaire, quelles preuves existent et quels risques le justifient.

Bandeau d'indicateurs : compteurs Applicables / Non applicables, jauge d'implémentation (vert ≥ 80 %, orange ≥ 50 %) et couverture par domaine. Filtres par applicabilité et domaine, tris par référence, applicabilité ou implémentation.

Auto-évaluation clause par clause du corps de la norme ISO 27001:2022 : 30 exigences réparties sur les 7 chapitres (4 Contexte, 5 Leadership, 6 Planification, 7 Supports, 8 Fonctionnement, 9 Évaluation de la performance, 10 Amélioration). Le texte intégral de chaque exigence est affiché sous sa référence, en français comme en anglais — pas besoin d'avoir la norme ouverte à côté.

Statuts : Conforme · Partiellement conforme · Non conforme · Non applicable, avec responsable, justification, document/preuve (lien sécurisé), dates de dernière et prochaine revue. Le bandeau affiche le taux de conformité global (calculé sur les 30 clauses).

Registre des menaces pesant sur l'organisation, cotées en impact × probabilité (échelles 1-5 partagées avec les risques SMSI) : le niveau (Critique → Insignifiant, score 1-25) se recalcule en direct dans la modale pendant la saisie — pédagogique en atelier. Chaque menace porte sa décision de traitement (Réduction, Acceptation, Transfert, Évitement — les quatre options ISO 27005) et se rattache aux actifs essentiels et aux actions du plan.

La modale comporte aussi un champ Contexte (visible en fiche, pas dans le tableau). Les niveaux sont stockés en français canonique même en interface anglaise — utile à savoir pour les exports bruts.

L'inventaire pivot de l'application : chaque actif tient sur une ligne sa classification complète — là où d'autres outils demandent trois registres.

Les actifs se lient aux risques, menaces, actions et non-conformités (badges cliquables, navigation dans les deux sens). Un tag contenant « obsol… » déclenche un badge d'alerte rouge — convention pratique pour marquer les composants obsolètes. Les titres de la section sont personnalisables (bouton Renommer) : utilisez-la par exemple comme registre de « Services essentiels NIS2 ».

Registre des parties intéressées et intervenants du SMSI (nom, rôle, contact, commentaires). C'est aussi le référentiel des responsables : les listes « Responsable » du plan d'actions et des non-conformités sont alimentées par ce registre.

Piège : une création sans nom échoue silencieusement (aucun message) ; et deux homonymes sont traités comme une seule personne (appariement par nom). Renommez toujours via la modale plutôt que de recréer.

L'index maître de votre pyramide documentaire : chaque document est classé sur 4 niveaux (Politique → Processus → Procédure → Enregistrement), avec son type de livrable, l'outil qui l'héberge (GED, SharePoint, GLPI…) et son lien d'accès. Ce n'est volontairement pas une GED : l'application indexe et prouve la maîtrise documentaire, vos documents restent dans vos outils. Les liens sont filtrés (http/https uniquement) et ouverts de façon sécurisée.

À noter : le tri libellé « Titre » ordonne en fait par Type de livrable (seul champ obligatoire du formulaire) ; les puces de tri de ce tableau restent décoratives.

Le cockpit du RSSI, actif par défaut au démarrage. Tout y est cliquable : chaque tuile, alerte ou graphique navigue vers son module.

Le Score SMSI — une jauge, trois composantes

• ISO 27001 : taux de contrôles implémentés ou vérifiés parmi les contrôles applicables au sens de la SoA ;
• NIS2 : maturité moyenne CyFun (ramenée sur 100) ou taux de conformité ReCyF selon le référentiel actif ;
• Risques maîtrisés : part des risques hors zones Critique/Grave.

Pondération : ISO × 0,40 + NIS2 × 0,30 + Risques × 0,30 (bascule automatique sur 55/45 si NIS2 est désactivé). Couleur de l'arc : vert ≥ 70, orange ≥ 40, rouge en dessous.

Zones du tableau de bord

• Alertes & Priorités : risques critiques, actions en retard, audits sous 30 jours, projets à risque — chaque alerte est un lien direct.
• Tuiles KPI avec sparklines : Conformité globale, Contrôles implémentés, Actions en cours, Risques critiques, Non-conformités (+ ligne secondaire : analyses projets, actifs, menaces, audits, documents). Les mini-courbes de tendance s'alimentent automatiquement au fil des modifications.
• Radar de maturité ISO 27002 : moyenne CMM par capacité opérationnelle (15 axes de la norme), avec courbe de cible paramétrable.
• Radar NIS2 adaptatif : en CyFun, 3 courbes (Cible / Documentation / Implémentation, échelle 0-5) ; en ReCyF, conformité en % par objectif de sécurité — le radar change de nature avec le référentiel, sans configuration.
• Matrice des risques 5×5 : positionnement Impact × Probabilité, colorisée par la grille de cotation active du module Analyse des risques (cohérence transverse).
• Graphiques compacts : répartition des risques, maturité CMM, statut des actions, contrôles par domaine, projets, évolution des actions par priorité sur 6 mois.
• Activité récente : le fil du journal de traçabilité, cliquable.

Le registre central des risques de sécurité de l'information :

• Cotation : Impact (1 Négligeable → 5 Grave) × Probabilité (1 Très improbable → 5 Très probable) ; niveau recalculé en direct — score ≥ 20 Critique, ≥ 15 Grave, ≥ 10 Significatif, ≥ 5 Mineur, sinon Insignifiant.
• Traitement : Réduction, Acceptation, Transfert, Évitement.
• Validation CODIR : date de passage en comité saisissable directement dans le tableau — le jalon de gouvernance sans ouvrir de fiche.
• Liens : actions de traitement (une action peut couvrir plusieurs risques), actifs impactés, contrôles SoA justifiés par le risque.

Ce registre porte les risques permanents du SI, ceux qui justifient vos contrôles SoA. À ne pas confondre avec la méthode ISO 27005 complète (avis daté sur un projet), qui vit dans le pilier Risques projets : voir le schéma « Deux niveaux de risque, un seul fil ISO 27005 ».

Le plan d'actions unique et transversal du SMSI. Chaque action est rattachée à sa source — six types de lien : Contrôle (ISO 27002 et exigences CyFun, via un sélecteur recherchable groupé par référentiel), Risque (multi-sélection), Non-conformité, Audit, Menace ou Amélioration continue.

• Suivi : priorité (Critique/Haute/Moyenne/Faible), statut (Planifié/En cours/Terminé/Annulé), échéance, responsable (alimenté par les parties prenantes), avancement 0-100 %.
• Synchronisation intelligente : passer une action à 100 % la termine automatiquement, la terminer force 100 % — inutile de saisir les deux.
• Commentaires horodatés : historique append-only des échanges (max 10 par action).
• Filtres : par type de lien, par valeur (avec entrée « Non assigné »), par statut. Le filtre Audit est transitif : il remonte aussi les actions des NC rattachées à l'audit — la vue « plan de remédiation d'un audit » complète.

Cycle de vie outillé en 4 étapes : Détection → Analyse → Action → Clôture, avec type (Majeure/Mineure), responsable, audit d'origine et actifs concernés. Le compteur du Dashboard ne décroît qu'à la clôture — une NC en analyse reste ouverte. Le tri par défaut fait remonter les Majeures.

Le journal des revues de management — la preuve d'implication de la direction exigée en certification : date, participants, éléments d'entrée examinés, décisions et actions arrêtées, commentaires horodatés. Volontairement simple : qui, quand, quoi examiné, quoi décidé.

Vos indicateurs « maison » : couverture MFA, taux de sensibilisation, tests de sauvegarde… Chaque KPI porte une progression 0-100 % (barre visuelle) et un commentaire éditable directement dans le tableau — zéro friction pour la mise à jour mensuelle avant revue de direction. Documentez la valeur cible dans la description.

Pilotage budgétaire pluriannuel par lignes de dépense : intitulé, catégorie (personnalisables), responsable, statut d'engagement (Planifié / Engagé / Réalisé) et montant par année. Les années sont entièrement configurables (ajout, retrait, renommage — les montants suivent le renommage), triple lecture instantanée par année, par catégorie et par statut : cartes KPI, barres empilées par statut, répartition par catégorie, table groupée avec sous-totaux.

Trois restitutions : Imprimer/PDF (graphiques figés en images), export HTML autonome (fichier unique partageable hors application) et export Excel structuré (lignes typées Ligne/Sous-total/Total pour filtrer sans double-compter).

Le texte normatif (titre, mesure, recommandations) est intégral, bilingue et verrouillé ; votre fiche de suivi porte l'évaluation :

• Statut : Non implémenté · En cours · Implémenté · Vérifié
• Maturité CMM : Initial · Répétable · Défini · Géré · Optimisé — alimente le radar par capacité opérationnelle
• Efficacité mesurée : Efficace · Partiellement efficace · Non efficace · Non testé
• Fréquence de revue : mensuelle à annuelle, ou sur changement
• Propriétaire, dernière évaluation, preuves/artefacts, KPI associé

Chaque contrôle affiche ses attributs ISO natifs : type (Préventif / Détectif / Correctif) et capacités opérationnelles. Les descriptions se déplient d'un clic sans ouvrir la fiche. Filtres par domaine, statut et maturité ; tris par référence, titre, statut ou maturité.

Le programme d'audit complet : Audit interne, Audit externe, Certification, Surveillance — tout le cycle de certification dans un registre simple (périmètre, dates planifiée/d'exécution, auditeur, statut, constatations, recommandations).

• Pastille de retard automatique sur l'onglet de navigation : un audit dont la date planifiée est dépassée (et non réalisé/annulé) se signale sans même ouvrir le module.
• Chaînage audit → NC → actions correctives : les NC référencent leur audit d'origine, le plan d'actions filtre par audit (y compris transitif via les NC).
• Flux naturel : planifier l'audit, puis le rouvrir après réalisation pour saisir date d'exécution, constatations et recommandations.

La salle des cartes entre vos référentiels — visible dès que deux référentiels sont actifs. Choisissez un référentiel source et un référentiel cible :

• Vue liste : pour chaque contrôle source, ses correspondances en badges — type de relation (Équivalent, Couvre, Couvert par, Lié), % de couverture, note justificative en infobulle et pastille du statut réel du contrôle cible. Un « Équivalent 90 % » vers une cible rouge = un écart à traiter en priorité.
• Vue matrice : heatmap catégories × catégories (nombre de relations + couverture moyenne, vert ≥ 70 %) — la vision macro pour arbitrer.
• Détection de conflits : un triangle orange signale les statuts divergents entre contrôles mappés — l'incohérence inter-référentiels se voit d'un coup d'œil.
• Statistiques : relations totales, couverture moyenne, contrôles mappés/couverts de chaque côté.

La liste d'accueil présente toutes vos analyses : Titre · Créée le · Statut (Brouillon/Terminée) · Score n/5 · Feu tricolore · Revue (en rouge si dépassée, surlignée à ≤ 30 jours). Par ligne : Ouvrir, Dupliquer (repart en brouillon, résultats et n° de rapport effacés — idéal pour l'analyse N+1 à partir de N), PDF, Export/Import .analyse, Sync vers Risques projets (analyses Terminées) et Supprimer. Boutons d'en-tête : Nouvelle analyse et Importer (un fichier .analyse est toujours importé en copie, avec anti-duplication des matrices et seuils embarqués).

L'assistant en 10 étapes (8 étapes méthodologiques + prévisualisation et export) :

Le portefeuille des projets analysés : une ligne par projet avec statut feu tricolore (Vert / Jaune / Rouge / À réaliser / Suspendue), priorité P0-P3, numéro de rapport et recommandations pointées « Implémenté ». Deux KPI de tête : analyses réalisées et recommandations implémentées — le suivi post-analyse que la plupart des outils oublient.

Les entrées issues d'une analyse portent un badge « Auto » cliquable qui rouvre l'analyse source ; leurs champs structurants sont verrouillés (c'est l'analyse qui fait foi) mais bénéficiaire, priorité, note et pointage des recommandations restent éditables et survivent aux resynchronisations.

Fini la cotation « au doigt mouillé » : l'évaluateur choisit, dimension par dimension, le niveau dont la description factuelle correspond (pertes chiffrées, utilisateurs impactés, sanctions RGPD/NIS2…) — l'impact global est le maximum des dimensions évaluées, et la décomposition est tracée jusque dans le rapport PDF.

Chaque niveau porte une capacité de réponse graduée — de la gestion courante jusqu'au déclenchement de la cellule de crise : la cotation d'impact rejoint la gouvernance de crise. Les matrices sont duplicables et entièrement éditables (niveaux — 5 maximum, alignés sur l'échelle 1-5 —, dimensions, descriptions de cellules, sauvegarde automatique en cours de frappe).

Bon à savoir : l'impact global est toujours le maximum des dimensions évaluées (le sélecteur d'agrégation reste documentaire). Modifier une matrice ne recalcule pas rétroactivement les impacts déjà appliqués — rouvrez « Évaluer via matrice ». La grille EBIOS RM (4 niveaux) plafonne l'impact à 4.

Les 218 exigences sont organisées selon les 6 fonctions du NIST CSF 2.0 : Gouverner (GV), Identifier (ID), Protéger (PR), Détecter (DE), Répondre (RS), Rétablir (RC) — 22 catégories au total. Chaque exigence s'évalue sur deux axes de maturité 1-5 (Documentation et Implémentation : Initial → Optimisé), avec justification et preuves.

• Mesures clefs (étoile, ligne surlignée) : 13 en BASIC, 22 en IMPORTANT, 29 en ESSENTIAL — scorées séparément, selon la méthode publiée par le CCB.
• Verdict de conformité : calculé sur les seuils publiés par le CCB pour chaque niveau (BASIC : moyennes ≥ 2,5 ; IMPORTANT : ≥ 3 ; ESSENTIAL : mesures clefs ≥ 3, total ≥ 3,5 et minimum 3 par catégorie) → CONFORME / NON CONFORME, avec liste des catégories non évaluées. C'est une auto-évaluation fidèle à la méthode officielle : elle prépare et anticipe l'évaluation, sans se substituer au jugement de l'autorité de contrôle.
• Exigences liées au management (16, icône immeuble) : revue obligatoire à chaque audit.
• Langue des exigences indépendante de l'interface : texte officiel anglais ou traduction française.
• Filtres par fonction, catégorie, niveau, mesure clef et état d'évaluation.

L'évaluation fidèle à la logique ANSSI des moyens acceptables de conformité : chaque mesure reçoit un statut — Conforme, Partiellement conforme, Non conforme, Mesure alternative, Non applicable, Non évalué — directement dans le tableau (liste déroulante en ligne : l'évaluation de masse est très rapide) avec justification par mesure.

• Score temps réel : % pondéré (Conforme = 1, Partiel = 0,5, Alternative = 1 — spécificité ANSSI : la mesure alternative justifiée vaut conformité), répartition par statut, progression évaluées/applicables.
• Degrés cumulatifs : Entité Importante (objectifs 1-15) ⊂ Entité Essentielle (objectifs 1-20). Le degré ne filtre que l'affichage et le score : un aller-retour EE → EI → EE ne perd jamais rien.
• Filtres par objectif, thématique, cible (EI/EE ou EE uniquement) et conformité ; radar Dashboard par objectif (bleu ANSSI).

Le support de communication stratégique du RSSI : six cartes alignées sur les fonctions NIST (Gouverner → Rétablir), chacune avec son sous-titre, ses éléments clefs (MFA et accès à privilèges, SIEM, circuit de notification NIS2, DRP avec RTO/RPO testés…) et son chef de projet nommé — la redevabilité NIS2 rendue visible. Contenu pré-rempli, entièrement personnalisable en 4 champs par pilier ; export Excel « une ligne par élément » directement exploitable comme plan de programme. Prêt à projeter en comité de direction.