Configuration

Le menu « Configuration » donne accès aux attributs, aux domaines, aux utilisateurs, aux groupes, à l'importation, aux correspondances entre référentiels, aux paramètres et aux logs.

Attributs

Cet écran permet de gérer les attributs associés aux mesures de sécurité. Il contient la liste des attributs et permet de créer, supprimer ou modifier des listes d’attributs.

Les administrateurs disposent d'un bouton « Gérer » qui ouvre un formulaire permettant de remplacer globalement une valeur d'attribut existante par une nouvelle valeur. Le remplacement s'applique partout où la valeur est utilisée : dans les listes d'attributs, dans les mesures de sécurité, ainsi que dans les contrôles qui n'ont pas encore été réalisés. Les contrôles déjà réalisés ne sont pas modifiés, car ils constituent un historique.

Domaines

Cet écran permet de créer, modifier ou supprimer des listes de domaines de sécurité.

L’application est fournie avec une base de mesures de sécurité inspirée de la norme ISO 27001:2022, mais il est possible de définir de nouveaux domaines de sécurité inspirés d’autres normes comme PCI DSS, HDS...

Utilisateurs

Les utilisateurs sont définis dans l’application.

Un utilisateur est composé d'un identifiant, d'un nom, d'un titre, d'un rôle, d'une adresse mail, d'une langue, d'un mot de passe et de la liste des contrôles qui lui sont assignés. La langue est utilisée pour l'interface, les notifications et les documents générés.

Il existe six rôles différents :

• Administrateurs : L'administrateur de l’application peut créer de nouveaux utilisateur, des mesures, de nouveaux attributs, modifier des contrôles déjà réalisés.

• Utilisateurs : les utilisateurs peuvent utiliser l’application sans pouvoir modifier les mesures, les attributs et les contrôles déjà réalisés.

• Audité : les audités ne peuvent réaliser et voir que les contrôles qui leur sont assignés ou qu'ils ont réalisés précédemment (voir Délégation).

• Auditeur : l’auditeur a un accès en lecture à l’ensemble des informations de l’application. L'auditeur ne peut pas utiliser l'agent IA.

• API : compte utilisé pour accéder à l'API.

• Désactivé : le compte est conservé, afin de garder son historique, mais ne peut plus se connecter.

Le bouton « Historique » de l'écran d'affichage d'un utilisateur affiche l'historique des modifications de cet utilisateur.

Groupes

Cet écran permet de définir des groupes d'utilisateurs. Un groupe permet de rassembler un ensemble d'utilisateurs et de contrôles.

Un groupe est composé :

• d'un nom de groupe

• d'un type : Business ou Sécurité (modifiable uniquement par un administrateur)

• d'une description du groupe

• d'une liste d'utilisateurs

• d'une liste de contrôles

Le type du groupe permet de distinguer les contrôles portés par l'équipe Sécurité de ceux portés par les autres fonctions métier dans l'écran de pilotage.

Seuls les contrôles non encore réalisés sont proposés dans le formulaire ; les contrôles réalisés ou proposés restent liés au groupe lors de sa modification.

Rapports

Cet écran est accessible aux administrateurs et aux utilisateurs. Il permet de générer le rapport de pilotage du SMSI, la déclaration d'applicabilité et les exports de données.

Rapport de pilotage du SMSI : choisissez un référentiel (facultatif) et une période, puis cliquez sur « Créer ». Un document Word est généré à partir du modèle de rapport de pilotage.

Voici le rapport de pilotage du SMSI :

Déclaration d'applicabilité : génère un fichier Excel listant, pour chaque domaine et chaque clause, les mesures de sécurité et la date de planification de leurs contrôles pour chaque périmètre.

Exporter des données : exporte dans des fichiers Excel les utilisateurs, les domaines, les attributs, les mesures de sécurité, les contrôles, les plans d'action et le registre des risques.

Importation

Il est possible d'importer des mesures de sécurité depuis un fichier .XLSX ou depuis la base de données de modèles.

Lors de l'importation, il est possible de supprimer tous les autres contrôles et mesures et de générer des données de test.

Paramètres

La page « Paramètres », réservée aux administrateurs, regroupe dans des onglets les réglages de l'application :

• Documents : la vérification des documents et leur durée de conservation ;

• Modèles : les modèles de documents ;

• Classification : la configuration du scoring des risques ;

• IA : la configuration de l'agent IA ;

• Notifications : les notifications envoyées aux utilisateurs.

Chaque onglet a ses propres boutons. Après un enregistrement, la page revient sur l'onglet modifié.

Documents

L'onglet « Documents » de la page Paramètres permet de vérifier les documents conservés dans Deming et de configurer leur durée de conservation.

Stockage

Cette partie de l'onglet permet de vérifier l'intégrité des documents conservés dans l'application.

En cliquant sur « Vérifier », Deming lance le contrôle d'intégrité des documents conservés dans l'application en utilisant un CRC32.

Conservation

Cette partie de l'onglet permet de configurer la durée de conservation (en mois) des contrôles réalisés dans l'application.

Tous les contrôles réalisés avant cette durée sont supprimés, ainsi que les documents, les plans d'action et les logs associés.

Lorsque vous cliquez sur :

• « Sauver » - la durée de conservation est enregistrée ;

• « Tester » - Deming affiche le nombre de logs, de documents et de contrôles qui seraient supprimés, sans les supprimer ;

• « Supprimer » - après confirmation, la suppression est effectuée immédiatement.

La suppression est aussi effectuée automatiquement en exécutant la commande

php artisan deming:cleanup

au travers d'un cron.

Modèles

L'onglet « Modèles » de la page Paramètres permet de modifier les modèles de document utilisés pour les fiches de contrôle et le rapport de pilotage du SMSI.

L'onglet contient deux blocs, « Fiche de contrôle » et « Rapport de pilotage ». Chaque bloc propose :

• un lien pour télécharger le modèle par défaut ;

• un lien « Modèle modifié » pour télécharger le modèle personnalisé, s'il en existe un ;

• un champ pour charger un nouveau modèle (.docx), qui remplace le modèle personnalisé.

Les modèles chargés sont enregistrés en cliquant sur « Sauver ».

Le modèle du rapport de pilotage est un document Word (.docx) dont les balises sont remplacées lors de la génération du rapport. Le panneau « Balises du modèle », affiché à côté des modèles, liste les balises disponibles ; un clic sur une balise la copie dans le presse-papiers. La partie « Colonnes disponibles » liste, pour chaque table, les colonnes utilisables dans les tableaux personnalisés.

• Variables : ${today}, ${start_date}, ${end_date}, ${framework}, ainsi que les tableaux prédéfinis ${control_table}, ${kpi_table}, ${made_control_table} et ${action_plans_table}.

• Tableaux personnalisés : ${table:<table>:<colonne>[=Entête],...[|option]}, où <table> est l'une des tables domains, controls, measures, actions, risks, exceptions, attributes, users ou user_groups. La balise doit être seule dans son paragraphe. Les options disponibles sont period:<colonne> (lignes comprises dans la période du rapport), where:<colonne>=<valeur> (filtre, != et null sont acceptés), order:[-]<colonne> (tri, - pour un tri décroissant) et limit:<n>.

Exemple :

${table:actions:reference,name,owners,due_date|where:status=0|order:due_date}

IA

L'onglet « IA » de la page Paramètres, réservée aux administrateurs, permet d'activer et de configurer l'agent IA qui analyse les mesures de sécurité, les contrôles, les plans d'action et les risques : activation, URL de l'agent, clé API, liste des tâches disponibles, test de connexion et suppression de toutes les analyses. Les prompts et les modèles sont gérés par le fournisseur de l'agent, la passerelle IA Sourcentis. L'IA est désactivée par défaut.

Voir Activer et configurer et, avant toute activation, Protection des données.

Notifications

L'onglet « Notifications » de la page Paramètres permet de configurer les notifications envoyées aux utilisateurs lorsqu'ils doivent réaliser des contrôles.

L'onglet contient deux blocs.

Serveur SMTP : le serveur utilisé pour envoyer les mails.

• le serveur et le port ;

• le chiffrement (aucun, SSL ou TLS) et le STARTTLS automatique ;

• l'authentification, l'utilisateur et le mot de passe ;

• la signature DKIM, facultative : domaine, sélecteur, chemin de la clé privée et phrase secrète.

Ces paramètres sont enregistrés dans la base de données. Le mot de passe et la phrase secrète DKIM sont chiffrés avec la clé de l'application (APP_KEY) et ne sont jamais réaffichés : laisser le champ vide conserve la valeur enregistrée, la case « Supprimer » l'efface. Si l'APP_KEY change, il faut les ressaisir.

Notifications : le contenu et la fréquence des mails.

• l'émetteur du mail ;

• le sujet et le contenu du mail envoyé à l'utilisateur ;

• la périodicité de l'envoi des notifications ;

• le délai : les contrôles qui arrivent à échéance dans ce délai sont notifiés.

Lorsque vous cliquez sur :

• « Sauver » - la configuration est sauvée ;

• « Test » - un mail de test est envoyé à l'utilisateur courant, avec les valeurs saisies (elles ne sont pas enregistrées) ;

• « Annuler » - vous revenez à la page principale.

Logs

Cet écran, accessible depuis le menu « Configuration », liste, du plus récent au plus ancien, toutes les modifications apportées aux mesures de sécurité, aux contrôles, aux plans d'action, aux risques, aux utilisateurs et à la configuration, ainsi que les connexions et déconnexions : action (création, modification, suppression, connexion, déconnexion), type et identifiant de l'objet, utilisateur, adresse IP et date.

En cliquant sur :

• l'identifiant d'une entrée, ou le bouton « Voir », vous affichez le détail de la modification, avec l'ensemble des données de l'objet à ce moment ;

• l'identifiant d'un objet, vous affichez cet objet ;

• le bouton « Historique », vous affichez l'historique des modifications de cet objet.

Voici le détail d'une modification :

L'historique des modifications présente, en colonnes, les valeurs successives de l'objet :

L'historique des modifications d'un objet est aussi accessible par le bouton « Historique » des écrans d'affichage d'un contrôle, d'un risque ou d'un utilisateur.

Les logs plus anciens que la durée de conservation sont supprimés par la commande deming:cleanup.