Un logiciel ISMS qui repose sur votre CMDB – et non à côté.

Un ISMS (système de management de la sécurité de l'information) est le corpus documenté de procédures, de responsabilités et de mesures par lequel une organisation pilote systématiquement la sécurité de l'information – du besoin de protection à la vérification de l'efficacité, en passant par l'appréciation des risques. Ce n'est pas un produit mais un système de management ; un logiciel le soutient, il ne le remplace pas.

L'ISO/IEC 27001 décrit ce qu'un ISMS doit assurer et laisse ouvert le comment. Le BSI IT-Grundschutz fournit des modules concrets, assortis d'exigences rédigées pour chaque type d'objet cible, et se révèle donc nettement plus prescriptif. En Allemagne, le Grundschutz est répandu dans le secteur public et chez les opérateurs d'infrastructures critiques, l'ISO 27001 à l'international. Les deux se combinent – une certification Grundschutz englobe un certificat ISO 27001.

Le BSI IT-Grundschutz et l'annexe A de l'ISO/IEC 27001:2022 sont tenus dans le même module. Les catalogues de sécurité s'importent via OSCAL et le navigateur de catalogue est modifiable et extensible – vos propres catalogues ou des catalogues sectoriels peuvent donc également être représentés.

Parce qu'il faudrait sinon entretenir deux inventaires, qui finissent par diverger. Dans Ordivis Platform, l'ISMS utilise la CMDB en lecture seule comme base de ses objets cibles : les modules sont proposés automatiquement à partir de la classe de CI et, lorsqu'un CI rattaché est mis hors service, le responsable de la sécurité reçoit un avis de vérification.

Les risques sont déduits d'un catalogue de 47 menaces élémentaires du BSI et de 25 menaces d'entreprise supplémentaires, puis évalués par fréquence × ampleur du dommage sur une échelle de 1 à 25. Une fois la stratégie de traitement choisie, le risque résiduel est réévalué ; les deux états apparaissent dans une carte thermique graphique 5×5. L'acceptation du risque relève du responsable de la sécurité, et les risques critiques déclenchent une notification.

Indirectement – et nous le disons volontairement avec prudence. NIS2 exige une gestion des risques, des mesures de maintien de l'activité, des canaux de signalement et une capacité de preuve. Ce sont précisément ces briques qu'Ordivis Platform fournit avec l'ISMS, le BCM et la piste d'audit inaltérable. Un outil ne satisfait toutefois aucune directive – la mise en œuvre reste une tâche organisationnelle.

Oui, et c'est ici que cela compte particulièrement : les données contiennent des besoins de protection, des mesures ouvertes et des faiblesses évaluées – une carte de votre surface d'attaque. Ordivis Platform fonctionne entièrement dans votre centre de données sur PostgreSQL et, grâce à l'activation hors ligne ECDSA, également isolé du réseau, sans connexion internet.

Non. C'est votre organisation qui est certifiée par un organisme accrédité, pas votre logiciel. Ordivis Platform fournit la structure, les preuves et les rapports avec lesquels vous abordez un audit – l'appréciation revient à l'auditeur.