Homologation sécurité des applications

Dites GO en confiance. Ou No GO, avec les preuves.

Les contrôles dans un tableur, les preuves dans vingt e‑mails, le comité vendredi. Sentinel réunit la criticité, les contrôles vérifiés, les risques signés et le verdict de chaque application dans un seul registre, prêt le jour J.

Demander une démo Voir les fonctionnalités

Aucune donnée d'exemple sur cette page. La démo se fait en direct, sur vos propres cas.

  • Criticité

    Fonctionnalité · Qualifier

    Le questionnaire de criticité note l'application et détermine son niveau

    Commune

  • Contrôles

    Fonctionnalité · Prouver

    Des contrôles vérifiés, pas seulement déclarés

    Peu commune

  • Acceptation du risque

    Fonctionnalité · Maîtriser le risque

    Des risques acceptés par la bonne personne, pour une durée

    Rare

  • Remédiation

    Fonctionnalité · Piloter

    Plans de remédiation par étapes, clôture signée par le référent

    Peu commune

  • Partenaires et BIA

    Fonctionnalité · Qualifier

    Tiers et partenaires avec la validité SIG suivie, BIA et sensibilité des données

    Commune

  • Verdict GO / No GO

    Fonctionnalité · Décider

    Un verdict qui tient devant un auditeur

    Légendaire

Vous connaissez la scène.

Le tableur de contrôles a trois versions, et personne ne sait laquelle fait foi.

Dans Sentinel, un contrôle a un état : déclaré, puis vérifié sur pièces, ou pas. Il n'y a qu'une version.

La preuve existe. Quelque part. Dans un e‑mail de mars ou sur un SharePoint.

La preuve est jointe au contrôle, empreinte SHA-256 calculée à l'envoi, et la note du vérificateur reste avec elle.

Le projet veut son GO vendredi. L'auditeur demandera un jour sur quoi vous l'avez donné.

Le verdict cite la version validée sur laquelle il repose, ses conditions datées et leur responsable. En PDF.

Un seul catalogue, rattaché à vos référentiels.

  • 264contrôles
  • 29domaines de sécurité
  • 10référentiels cités, contrôle par contrôle
  • 4formats d'export : PDF, Excel, PowerPoint, CSV
  • ISO/IEC 27001
  • NIST SP 800-53
  • CIS v8
  • PCI DSS
  • OWASP
  • MITRE D3FEND
  • MITRE ATLAS
  • IEC 62443
  • RGPD
  • EU AI Act

Un contrôle vérifié une fois répond à toutes les exigences qui le demandent. Votre audit ISO 27001 et votre évaluation PCI DSS s'appuient sur la même preuve.

IAM-MFA Identité et accès

Authentification multifacteur sur tous les accès

ISO/IEC 27001
A.8.5
NIST SP 800-53
IA-2(1)
CIS v8
6.3
PCI DSS
8.4
MITRE D3FEND
D3-MFA

Exigé pour des données confidentielles ou personnelles, une application exposée ou à privilèges, et dès une criticité de 30

Un contrôle du catalogue, tel qu'il est défini dans Sentinel.

Quatre étapes. Un seul chemin pour toutes vos applications.

Chaque application suit le même parcours, et chaque étape laisse une trace que vous pouvez montrer.

  1. Qualifier

    Le questionnaire de criticité note l'application de 0 à 100 et détermine son niveau. Chaque validation est figée, scellée et chaînée à la précédente.

    Règle : un questionnaire validé ne se modifie plus sans un déverrouillage motivé, accordé par quelqu'un d'autre.

  2. Exiger

    Le niveau déclenche le socle minimum et les contrôles renforcés, tirés d'un catalogue unique rattaché à vos référentiels. Vos propres listes s'ajoutent à côté.

    Règle : seuls les contrôles qui s'appliquent sont demandés à l'équipe projet.

  3. Prouver

    L'équipe projet déclare. Le référent sécurité vérifie sur pièces, ou déclare le contrôle non applicable avec une justification.

    Règle : un contrôle déclaré n'est jamais compté comme vérifié.

  4. Décider

    Sentinel propose un verdict d'après les faits. Le référent décide : GO, GO sous condition ou No GO, avec des conditions datées, un responsable et une date de revalidation.

    Règle : un GO sur une application critique, ou un verdict plus clément que la proposition, demande la contresignature de l'administrateur du tenant.

Tout ce qu'il faut pour décider, et rien à ressaisir.

Quatre résultats que vous attendez d'un outil d'homologation. Chaque ligne existe aujourd'hui dans Sentinel.

Décider

Un verdict qui tient devant un auditeur

  • GO, GO sous condition ou No GO : proposé par les règles à partir des faits, décidé par le référent sécurité
  • Conditions datées avec leur responsable, validité plafonnée par niveau de criticité, rappel de revalidation
  • Contresignature de l'administrateur du tenant pour tout GO sur une application critique, ou tout verdict plus clément que la proposition
  • Note de décision en PDF, qui cite la version validée et son empreinte

Prouver

Des contrôles vérifiés, pas seulement déclarés

  • Catalogue de 264 contrôles rattachés à dix référentiels, listes par usage (API, mobile, cloud, CI/CD, IA...) et vos propres contrôles sur le même chemin
  • Socle minimum pour chaque application, contrôles renforcés dérivés du questionnaire
  • Déclaration par l'équipe projet, vérification sur pièces par le référent, non-applicabilité justifiée
  • Preuves jointes avec empreinte SHA-256 calculée à l'envoi, et la note du vérificateur

Piloter

Chacun sait quoi faire, sans relance manuelle

  • Tableau de bord par rôle : votre liste de travail, la file de l'équipe, et l'entonnoir du portefeuille de l'enregistrement au verdict
  • Boîte de réception par personne et rappels sur chaque échéance datée : revues, acceptations, validité SIG, plans, verdicts Par e‑mail avec l'édition serveur
  • Historique de chaque fiche et piste d'audit des opérateurs, applications supprimées comprises
  • Rapports PDF, Excel, PowerPoint et CSV, enregistrés et planifiés, construits dans le navigateur

Maîtriser le risque

Des risques acceptés par la bonne personne, pour une durée

  • Registre des risques alimenté automatiquement par les écarts déclarés, carte de chaleur
  • Acceptation signée par le responsable métier, contresignée par l'administrateur du tenant pour un risque critique, bornée dans le temps selon la sévérité
  • Plans de remédiation par étapes, clôture signée par le référent qui atténue le risque lié
  • Tiers et partenaires avec la validité SIG suivie, BIA et sensibilité des données avec l'alerte DPIA quand le RGPD la demande

Édition serveur : la version serveur de Sentinel, construite et testée, pas encore en production.

Six rôles fixes, matrice des permissions rendue depuis la table qui l'applique. Interface, wiki et notifications en français et en anglais.

Quatre choses que Sentinel ne fera jamais.

Réécrire une validation

Chaque validation fige un enregistrement scellé par SHA-256 et chaîné au précédent. Un verdict cite celui sur lequel il repose.

Compter une déclaration comme une preuve

Le référent vérifie sur pièces, ou refuse. Toute nouvelle déclaration remet la vérification à zéro.

Laisser une seule personne décider

Le responsable métier signe le risque ; l'administrateur du tenant contresigne un risque critique, un GO sur une application critique ou un verdict plus clément que proposé. Celui qui déclare ne vérifie pas.

Effacer une trace

Journal d'audit en ajout seul, chaîné, écrit dans la même transaction que l'action. Dans l'application, même une application supprimée garde son historique.

Édition serveur

Modifiez un mot. La chaîne le voit.

Chaque validation et chaque action critique sont scellées par SHA-256 et chaînées à la précédente. Changez un mot ci-dessous : l'empreinte est recalculée dans votre navigateur et la chaîne se rompt sous vos yeux.

Calcul des empreintes...

    Démonstration du principe, sur des enregistrements génériques. Rien n'est envoyé.

    Pensé pour ceux qui signent.

    Un portefeuille dont vous connaissez enfin l'état réel, preuve par preuve.

    • Les écarts déclarés remontent seuls dans le registre des risques.
    • Vos référents vérifient, vos équipes déclarent : les rôles ne se mélangent pas.
    • La vue portefeuille montre où en est chaque application, de l'enregistrement au verdict.

    Nous appliquons ce que nous auditons.

    Un outil qui juge votre sécurité doit passer ses propres contrôles. Voici les nôtres.

    Navigateur verrouillé
    Content-Security-Policy stricte : aucun script inline, aucun appel vers un autre domaine. Cette page aussi.
    Isolation par client Édition serveur
    Row-Level Security PostgreSQL : un client ne peut pas lire les données d'un autre, même en cas de bug applicatif.
    Journal chaîné Édition serveur
    Journal d'audit en ajout seul, chaîné par SHA-256 et par client, écrit dans la même transaction que l'action qu'il trace.
    Surface minimale
    Une seule bibliothèque dans le navigateur, React. Chaque nouvelle dépendance est revue avant d'entrer.
    Hébergement en France
    L'application et sa base de données tournent dans la région AWS de Paris (eu-west-3).
    Divulgation coordonnée
    Une faille ? Écrivez à security@rakal.tech (RFC 9116, security.txt).

    Édition serveur : la version serveur de Sentinel, construite et testée, pas encore en production. Sentinel ne détient aucune certification : nous publions ce que nous faisons, pas des labels.

    Feuille de route

    Ce qui arrive. Dans cet ordre, sans date.

    Nous construisons avec les pilotes, et nous publions l'ordre plutôt que des promesses de trimestre. Rien ci-dessous n'est disponible aujourd'hui.

    À venir = conçu, pas encore disponible

    Accès anticipé : influencez la feuille de route

    Les pilotes voient ces fonctions en premier et pèsent sur leur ordre. Dites-nous ce qui vous manque.

    Demander une démo

    1. Tickets Jira et ServiceNow

      À venir, en premier

      Les risques, les plans de remédiation et leurs étapes, les écarts de contrôle partent vers Jira ou ServiceNow, avec un rattachement configurable par client (projet, type, champs, priorité selon la gravité). Le statut du ticket revient dans Sentinel ; la clôture et la vérification restent la décision de votre référent.

    2. CMDB ServiceNow, puis GLPI

      À venir

      Vos applications et leurs responsables viennent de la CMDB ; la criticité validée, le verdict et la date d'homologation y repartent. Un propriétaire par champ, les écarts signalés plutôt qu'écrasés.

    3. Imports de scanners et de pentests

      À venir

      Nessus, Qualys, Burp, SARIF et rapports de pentest deviennent des constats, d'où Sentinel propose risques et remédiations. Rien n'est ressaisi.

    4. Preuves là où vous les gardez

      À venir

      Pièces liées depuis SharePoint, OneDrive, Google Drive ou Confluence, avec un instantané pris au moment de la vérification. Fournisseurs et attestations importés depuis votre outil achats ou TPRM.

    5. Statut par exigence : DORA, NIS2, ISO 27001:2022, PCI DSS 4.0.1, ISO 42001

      À venir

      Le statut de chaque exigence déduit des contrôles déjà vérifiés, une déclaration d'applicabilité ISO qui s'écrit seule, des rapports d'écart, et pour le secteur public le dossier d'homologation RGS avec EBIOS Risk Manager. Le catalogue cite déjà l'EU AI Act contrôle par contrôle ; ici, c'est le statut par exigence qui arrive.

    6. SSO d'entreprise

      À venir

      OIDC et SAML 2.0 avec votre fournisseur d'identité, rôle attribué à la première connexion, politique SSO et MFA choisie par client.

    7. API REST ouverte et webhooks

      À venir

      Tout ce que font les écrans, accessible à vos outils, avec des jetons par client et des événements signés.

    8. Brouillons par IA et serveur MCP

      À venir

      Vos assistants lisent votre posture et préparent des brouillons avec vos droits ; un humain valide, jamais l'IA. Modèle choisi par client, ou aucun.

    Plus tard : analyse de posture cloud et SaaS avec preuves automatiques, toujours contestables par le référent.

    Démo sur mesure

    Demandez une démo sur mesure.

    45 minutes en direct avec l'équipe, sur vos propres cas d'usage et vos listes de contrôles. Aucun enregistrement n'est remis. C'est aussi la première étape du programme pilote.

    1. Vous décrivez votre contexte

      Votre fonction, la taille de l'organisation, ce que vous voulez voir. Quelques lignes suffisent.

    2. Nous préparons la démo sur vos cas

      Vos cas d'usage et vos listes de contrôles, pas un parcours générique.

    3. Nous la montrons en direct

      45 minutes en visioconférence avec l'équipe, qui répond à vos questions au fil de l'écran.

    Ensuite, si Sentinel vous convient : le programme pilote, ouvert à un petit nombre de grandes organisations. Vos listes de contrôles reprises à côté du catalogue, et un mot à dire sur l'ordre de la feuille de route, Jira et ServiceNow en tête.

    Votre demande

    Moins de deux minutes à remplir. Le message est facultatif.

    Vous
    Votre organisation
    Votre démo

    Vos cas d'usage, vos listes de contrôles, l'outil actuel, une intégration attendue (Jira, ServiceNow...).

    Questions fréquentes

    Sentinel pousse-t-il des tickets dans Jira ou ServiceNow ?

    Pas encore : c'est le premier point de la feuille de route, sans date annoncée, et les pilotes le verront en premier. Les risques, les remédiations et les écarts partiront vers Jira ou ServiceNow, le statut du ticket reviendra dans Sentinel, et la clôture restera la décision du référent sécurité.

    Sentinel remplace-t-il notre outil de GRC ?

    Non. Sentinel couvre la décision de sécurité applicative, du questionnaire au verdict, et exporte ses résultats (PDF, Excel, PowerPoint, CSV) vers vos outils existants.

    Quels référentiels sont couverts ?

    Le catalogue rattache ses 264 contrôles à ISO/IEC 27001, NIST SP 800-53, CIS v8, PCI DSS, OWASP, MITRE D3FEND et ATLAS, IEC 62443, RGPD et l'EU AI Act. Il n'a pas encore de correspondance DORA ni NIS2 explicite : elle est sur la feuille de route, et si c'est votre priorité, dites-le-nous.

    Pouvons-nous utiliser nos propres contrôles ?

    Oui. Vos listes de contrôles s'ajoutent à côté du catalogue et suivent le même chemin : déclaration, vérification, verdict.

    Où sont hébergées nos données, et qu'est-ce que l'édition serveur ?

    L'application et sa base de données tournent dans la région AWS de Paris (eu-west-3). L'édition serveur, construite et testée mais pas encore en production, ajoute l'isolation de chaque client au niveau de la base (Row-Level Security PostgreSQL), le journal d'audit chaîné et l'envoi des notifications par e‑mail.

    Que devient ma demande ?

    Elle sert uniquement à vous recontacter au sujet d'une démo et du programme pilote. Elle est supprimée automatiquement au bout de trois ans, ou plus tôt sur simple demande.