Le registre de risque qui se remplit tout seul
Pas de questionnaire pour démarrer : le registre s'alimente en continu depuis les cinq modules et depuis vos intégrations, sur une taxonomie de 9 domaines et 52 sous-domaines. Chaque risque porte son inhérent et son résiduel, et le résiduel se dérive des contrôles au lieu d'être saisi à la main.
5
Modules corrélés
30 sec
Briefing board
30/60/90
Trajectoire en jours
Une boîte noire ne tient pas devant un CFO.
Si vous ne pouvez pas montrer comment un score de risque a été construit, vous ne pouvez pas défendre le budget qui en dépend.
Des résultats que votre équipe ressent.
Personne n'occupe ce pont
Les outils auto-alimentés font du rating ou de la vulnérabilité sans registre méthodologique ; les registres méthodologiques restent manuels. Ici les deux se rejoignent.
Briefing board en 30 secondes
Arrivez au comité avec la réponse prête.
Aucune couverture inconnue maquillée
Quand la couverture est inconnue, le registre affiche « — », jamais un zéro. Un domaine non mesuré ne doit pas ressembler à un domaine sans risque.
Capacités clés
Posture sur 9 domaines de risques TI, 52 sous-domaines
Une taxonomie structurée et compréhensible de votre risque TI, pas une boîte noire : 9 domaines déclinés en 52 sous-domaines que vous pouvez lire, défendre et traiter.
Alimenté par les modules et par vos intégrations
Les signaux des cinq modules sont ingérés et scorés automatiquement, avec collecte de preuves par contrôle, sans ressaisie manuelle ni gestion de tableurs. Les intégrations à votre environnement ouvrent une seconde entrée : un tenant Microsoft 365 branché en lecture remonte sa configuration et ses alertes, et le risque correspondant se crée dans le registre au lieu d'attendre l'atelier annuel.
Un registre vivant, jamais un document annuel
Le calcul tourne toutes les heures, et se relance à l'événement : une remédiation validée, une chute de score fournisseur ou une preuve de conformité modifiée re-notent immédiatement le sous-domaine concerné. Un registre annuel est obsolète le jour de sa publication ; celui-ci suit la réalité.
Inhérent et résiduel, dérivés des contrôles
Le résiduel n'est jamais une saisie manuelle : il descend du modèle de contrôle SCF, et quand aucun contrôle n'est renseigné sur un sous-domaine, un crédit de défense implicite est dérivé de votre maturité de posture plutôt que de laisser un trou. Le traitement suit l'ISO 27005, accepter, réduire, transférer ou éviter, avec une acceptation datée qui se rouvre automatiquement à son échéance.
Calculs transparents et décomposables
Chaque score se décompose en ses entrées et son calcul exact (CVSS, EPSS, KEV, exposition, ciblage sectoriel, couverture des contrôles, criticité des actifs), défendable ligne par ligne devant un CFO.
Personnalisable selon vos besoins
Adaptez les domaines, catégories, pondérations, seuils et rapports prêts pour le board aux besoins spécifiques de votre organisation. Le moteur s'adapte à vous, pas l'inverse.
Une dégradation devient une action, pas une ligne de plus.
Quand la note d'un sous-domaine se dégrade, une action « comprendre la dégradation » part dans l'Action Center avec son contexte. Le calibrage par profil d'organisation, cinq niveaux de tolérance au risque selon votre taille, votre secteur et votre appétit, ajuste automatiquement la sévérité perçue : le même risque brut ne pèse pas pareil chez tout le monde.
Neuf domaines : le risque TI en entier, pas seulement le cyber.
Un outil de sécurité note ce qu'il sait scanner, et s'arrête donc à la sécurité de l'information : un domaine sur neuf. Le registre part de l'inverse — la taxonomie du risque TI d'abord, les capteurs ensuite. Les cinq modules remplissent en continu ce qu'ils savent observer ; les domaines qu'aucun scanner ne voit restent dans le tableau, à évaluer, au lieu d'en disparaître.
Sécurité de l'information
Identités et accès, vulnérabilités et correctifs, détection et réponse, réseau, cloud et postes, cryptographie, sécurité applicative, gouvernance de sécurité.
Posture · EASM · CTI · ConformitéRésilience opérationnelle
Disponibilité et performance des services, continuité et reprise, gestion des changements, capacité et obsolescence, traitement des incidents.
Posture · EASMRisque tiers
Diligence avant contrat, obligations contractuelles et SLA, surveillance continue, concentration et dépendance de votre chaîne d'approvisionnement.
TPRM · CTIRisque réglementaire
Inventaire des obligations applicables, test d'efficacité des contrôles, constats d'audit et remédiation, vie privée et souveraineté.
Conformité · PostureRisque financier, vue TI
Écarts budgétaires, optimisation du cloud et des licences, cycle de vie et amortissement des actifs, retour sur investissement.
Évalué par vos équipesDonnées et IA
Qualité et intégrité des données, gouvernance et classification, usage éthique et vie privée, fiabilité des modèles, shadow AI.
Conformité · PostureRisque de projet TI
Tenue des échéances, budget et ressources, périmètre et bénéfices réalisés, gouvernance et adoption des initiatives numériques.
Évalué par vos équipesTalent et culture
Capacité et compétences des équipes, rétention et succession, dépendance à des personnes clés, engagement et culture de sécurité.
Évalué par vos équipesSécurité physique
Contrôle d'accès et périmètre, vidéosurveillance, sûreté environnementale des locaux et des salles techniques.
Évalué par vos équipes
Un domaine sans capteur reste un domaine visible.
Aucun de ces neuf domaines n'est masqué faute de source automatique. Tant que vous ne l'avez pas évalué, il affiche « à évaluer » et un badge de confiance faible, jamais un zéro rassurant. C'est ce qui rend le registre défendable devant un auditeur comme devant un conseil : ce qui n'est pas mesuré se voit, et se planifie.
Trois moments. Trois utilisations différentes du moteur.
- Cas 1
Le matin du RSSI (8h00)
Vous arrivez au bureau. Vous ouvrez l'Action Feed. Vous voyez 7 actions priorisées pour aujourd'hui. La première : « Patch CVE-2025-XXXX sur frontend-prod-01.acme.ca. Acteur : BlackBasta cible votre secteur. Effort estimé : 3 heures. Réduction de risque : 12 points. » Vous assignez à votre équipe. Vous passez à la deuxième. En 15 minutes, votre journée est cadrée.
- Cas 2
La veille du comité (réunion mensuelle)
Vous demandez au copilot : « Génère le briefing comité du mois ». Le copilot produit un PDF de 8 pages en 30 secondes : score de risque global décomposé par pilier, trajectoire 90 jours, top 5 actions exécutées, top 3 à venir, coût évité estimé. Chaque chiffre est sourcé dans la plateforme. Vous arrivez au comité avec un document que vous pouvez défendre ligne par ligne.
- Cas 3
Pivot menace (alerte CISA dans la nuit)
CISA publie une nouvelle KEV à 2h00 du matin. À 2h15, le Risk Engine recalcule automatiquement les scores des actifs concernés. À 2h20, votre webhook Slack reçoit l'alerte avec la liste des actifs vulnérables, leur exposition, leurs propriétaires. À 8h00 quand vous arrivez, l'Action Feed du jour intègre déjà la nouvelle priorité. Vous n'avez pas attendu le rapport hebdomadaire.
Ce qui est inclus
Le registre s'auto-alimente
- Aucun questionnaire à remplir pour démarrer
- Le registre s'alimente depuis la posture, la conformité, la menace, la surface d'attaque et les tiers
- Intégrations d'environnement : Microsoft 365, Entra ID, Defender
- Neuf domaines de risque TI, du cyber au financier, au projet et au physique
- Inhérent et résiduel calculés en probabilité × impact, pas saisis
- Le résiduel descend de vos contrôles, jamais d'un avis
- Un sous-domaine sans contrôle renseigné hérite de votre maturité de posture plutôt que d'un trou
- Recalcul horaire, et immédiat dès qu'un signal change
- Traitement ISO 27005 : accepter, réduire, transférer, éviter
- Acceptation datée qui se rouvre d'elle-même à échéance
- Ateliers EBIOS RM pré-remplis depuis vos données
- Scénarios structurés selon la taxonomie FAIR pour le risque cyber
Des décisions défendables devant un conseil
- Une note A+ à F par sous-domaine, par domaine et pour l'organisation
- Chaque score se décompose jusqu'à ses entrées, ligne par ligne
- Badge de confiance affichant la part réellement évaluée
- « — » quand la couverture est inconnue, jamais un zéro rassurant
- Matrice 5×5 pour arbitrer en comité
- Trajectoire à 30, 60 et 90 jours
- Briefing comité en 30 secondes, chaque chiffre sourcé dans la plateforme
- Cinq niveaux de tolérance calibrés sur votre taille, votre secteur et votre géographie
- Graphe de relations à cinq niveaux, de l'actif à l'acteur de menace actif
- Une dégradation part en action dans l'Action Center avec son contexte
- Domaines, catégories, pondérations et seuils ajustables à votre organisation
Enrichissement IA, optionnel
L'IA accélère ce module, elle ne le remplace pas. Chaque fonction décrite ci-dessus fonctionne sans elle. L'enrichissement s'active par espace de travail, et se désactive sans perdre une capacité.
Sur le registre de risque, l'IA vise la mise en récit : expliquer une variation de score, rédiger le commentaire de tendance, préparer le point pour le comité. Le calcul du risque inhérent et résiduel reste un modèle explicite, décomposable et exportable, jamais une sortie de modèle.
Souveraineté : la plateforme est bâtie et hébergée au Canada, hors de portée du CLOUD Act américain. Pour l'IA, vous décidez si l'enrichissement est activé, sur quelles données et dans quel périmètre ; les options de déploiement se définissent avec vous, selon vos exigences de résidence et de confidentialité. Aucune donnée client n'est utilisée pour entraîner un modèle.
Le Risk Engine est inutile sans les modules qui l'alimentent.
C'est ce qui le différencie d'un moteur de scoring standalone. La qualité de la priorisation dépend directement de la qualité, de la fraîcheur et de la corrélation des signaux qui l'alimentent. Voici ce que chaque pilier apporte au moteur.
CTI → Risk Engine
Le moteur reçoit les 50 M+ signaux/jour, les 1 500+ acteurs trackés, les CVE enrichies (CVSS + EPSS + KEV). Sans ce signal, l'IA ne sait pas si un CVE est activement exploité. Elle traiterait un CVSS 9.8 jamais exploité comme un CVSS 6.5 dans la KEV CISA.
EASM → Risk Engine
Le moteur reçoit les 110+ types de constats, le scanner OT/ICS, la cartographie d'exposition externe. Sans ce signal, l'IA ne sait pas si l'actif vulnérable est exposé sur Internet. Elle ne peut pas distinguer un risque théorique d'un risque exploitable demain matin.
TPRM → Risk Engine
Le moteur reçoit le score continu de chaque tiers critique, leur dérive, leurs alertes. Sans ce signal, l'IA ne voit que vos actifs directs. Elle manque les 30-60 % du risque cyber qui passent par votre supply chain.
Posture → Risk Engine
Le moteur reçoit la maturité CMM de chaque contrôle, l'alignement aux 31 référentiels, la couverture par catégorie d'actif. Sans ce signal, l'IA ne sait pas si l'actif est défendu. Elle priorise un CVE critique sur un actif déjà bien protégé en bas de la liste.
Découvrez les autres modules.
30 minutes pour savoir quoi corriger en premier.
Un membre de notre équipe vous guide dans FortaRisks sur des menaces pertinentes pour votre secteur, et vous repartez avec vos priorités. Sans chatbot.
Questions fréquentes
Comment le moteur corrèle-t-il les cinq modules ?
Chaque module produit des signaux structurés, ingérés dans un graphe de relations à cinq niveaux : actif vers service exposé vers vulnérabilité vers exploit disponible vers acteur de menace actif. Chaque score combine CVSS, EPSS, KEV, exposition réelle et ciblage sectoriel, et est entièrement décomposable.
La méthodologie de scoring est-elle une boîte noire ?
Non. Chaque facteur est documenté, les poids par module sont configurables, et chaque calcul est exportable avec sa décomposition. Le résiduel se lit contrôle par contrôle, et la part réellement évaluée est affichée sous forme de badge de confiance à côté de la note.
Quel modèle d'IA alimente le copilot ?
Le copilot conversationnel s'appuie sur un LLM de pointe pour la compréhension, avec du retrieval sur votre graphe de risque. Le modèle ne voit jamais vos données brutes, seulement des résultats de requêtes structurées, et vos données restent au Canada.
À quelle fréquence le score est-il recalculé ?
Un traitement horaire passe sur l'ensemble, et un recalcul ciblé se déclenche à chaque événement significatif. Concrètement, une remédiation validée cet après-midi change la note du sous-domaine concerné sans attendre le lendemain.
Quelles méthodes de risque suivez-vous ?
Le modèle repose aujourd'hui sur l'ISO 27005 : probabilité × impact, inhérent et résiduel, traitement en accepter, réduire, transférer ou éviter. Les scénarios de risque sont construits pour satisfaire les deux grilles que vos interlocuteurs attendent. Les ateliers EBIOS RM d'abord, dont le socle de sécurité, l'écosystème, les sources de risque et les scénarios stratégiques arrivent pré-remplis depuis vos données au lieu d'être reconstitués devant une page blanche. La taxonomie FAIR pour le risque cyber ensuite, qui oblige à nommer l'acteur de menace, l'actif visé et l'effet redouté plutôt qu'à écrire « risque de cyberattaque ». Un même scénario se lit dans les deux grammaires, sans double saisie.