Une affirmation est une phrase. Une preuve est quelque chose qu’une seconde personne peut vérifier sans vous demander. Ce qu’une piste d’audit doit contenir, ce qu’un hachage prouve réellement, et ce qu’il faut exiger de tout outil qui prétend en produire une.
Mis à jour · 6 min de lecture
Le tableau de bord a été revu. C’est une affirmation.
Ce classeur, à cette version, différait de la version précédente de vingt-quatre façons, dont trois en échec ; revu par cette personne nommée à cette date ; exporté en un paquet scellé par ce hachage. C’est une preuve.
Le test entre les deux tient en une question. Une seconde personne peut-elle arriver à la même conclusion sans rien demander à la première. Si elle doit demander, ce que vous avez est une conversation, et les conversations ne survivent pas aux gens qui les ont eues.
Deux choses ne doivent jamais s’y trouver : des secrets, et une copie des données que la vérification a lues au passage. Un journal d’audit qui accumule discrètement des données métier est un nouveau passif portant un badge de conformité, et il sera découvert par quelqu’un qui n’est pas de votre côté.
Ce site fait quelque chose qu’un site marketing ne fait généralement pas. Les affirmations portent un chemin de dépôt ou une surface du produit, et chaque article se termine par des sources que vous pouvez ouvrir et lire vous-même.
La raison, c’est le public. Un produit de gouvernance est acheté par des gens dont le métier n’est pas de prendre des affirmations sur parole, et une affirmation accompagnée d’un chemin invite à la vérification. Inviter à la vérification est le signal le plus fort disponible que la vérification ne sera pas embarrassante.
Cela discipline aussi l’écriture, d’une façon inconfortable et utile. Cinq capacités ont été proposées pour ce site comme différenciateurs et ont été auditées contre le code source avant que rien ne soit imprimé. Aucune n’a survécu à l’audit, et deux ont été contredites tout net par le code livré. Elles sont désormais interdites sur chaque page par un test, pas par de bonnes intentions, et le registre du pourquoi est conservé dans le dépôt. La discipline s’est révélée compter bien plus que les cinq phrases.
Un sceau SHA-256 sur un paquet exporté prouve exactement une chose : les octets que vous tenez sont les octets qui ont été scellés. Il ne prouve pas que le contenu est vrai. Un outil qui laisse entendre le contraire vous vend quelque chose.
Ce qu’il écarte, c’est un argument précis : le fichier a-t-il été modifié entre l’export et la revue. Écarter cet argument vaut beaucoup dans un audit, et ne vaut rien du tout dans une discussion sur le fait que la vérification était la bonne vérification.
La forme plus forte est une chaîne. Chaque entrée hache son propre contenu avec le hachage de l’entrée précédente. Une ligne supprimée ou altérée brise la chaîne à partir de ce point, et la vérification nomme la première mauvaise ligne. Utiliser du SHA-256 simple sans clé secrète est la partie qui compte pour un auditeur : il peut revérifier l’export avec ses propres outils au lieu de prendre les nôtres.
Un paquet de preuves devrait être reproductible à l’octet près. Lancez-le deux fois sur la même entrée et obtenez les mêmes octets. Cela paraît académique jusqu’à ce que quelqu’un vous demande de relancer un rapport d’il y a six mois et de comparer.
Cela contraint aussi la conception de façon utile. Cela exclut les horodatages éparpillés dans le contenu, les ordres instables, et tout ce qui dérive d’un modèle qui pourrait répondre autrement demain.
C’est une autre façon d’énoncer une règle qui vaut la peine d’être gardée : le moteur déterministe est celui qui peut produire des preuves. Une passe assistée par l’IA produit un brouillon, et un brouillon est une bonne chose à avoir, tant que personne ne le classe comme preuve.
Une preuve qui n’existe qu’à l’intérieur du produit qui l’a produite n’est pas une preuve, c’est un écran. La question à poser est ce qu’il exporte, et sous quelle forme.
Côté sécurité, l’étiquetage doit voyager avec le constat. Un constat mis en correspondance avec un safeguard CIS Controls v8.1 et une fonction NIST CSF 2.0 devrait porter cette correspondance à l’identique dans le CSV, l’export SARIF, le PDF et l’interface. Une correspondance qui ne s’affiche que dans une page web n’atteint jamais le scanner qui l’aurait utilisée. C’était de la décoration.
Des preuves d’audit mises en correspondance sont une chose utile à produire, et ce n’est pas une certification de conformité. Tout outil qui brouille ces deux notions vous nuit au moment précis où vous avez le plus besoin de clarté.
La quatrième trie vite les produits. Si le registre part avec l’outil, alors ce qui a été acheté était un tableau de bord sur la gouvernance, pas la gouvernance elle-même.
La ligne la plus utile de la plupart des rapports est celle qui décrit ce qui n’a pas été couvert. Ce qui n’a pas été mesuré devrait être rapporté comme non mesuré, jamais discrètement complété par un chiffre plausible.
Un rapport avec des trous que vous pouvez voir vaut plus qu’un rapport d’apparence complète que vous ne pouvez pas vérifier, parce que vous pouvez agir sur le premier cette semaine.
Et une liste de constats vide est un bon résultat, ce qui n’est vrai que si le même outil vous aurait dit clairement que la vérification n’avait pas tourné du tout. Une preuve est ce qui reste utile quand la personne qui l’a produite n’est pas disponible.
Quatre choses se font appeler gouvernance : la certification, la propriété, le contenu obsolète et le contrôle des changements. Ici, chacune est écrite comme une vérification que vous pouvez lancer, pas comme un objectif que vous pouvez énoncer. Il y est aussi question du seul changement qui passe une revue visuelle et reste faux.
La règle approuver pour exécuter, en mots simples. L’assistant lit, explique et propose, et une personne possède le chemin d’écriture. Ce que cela coûte, ce que cela rapporte, et trois questions à poser à toute fonctionnalité d’IA.
Une couche sémantique donne à une métrique un seul foyer. Chaque outil qui calcule la métrique lit ce foyer unique. Tous obtiennent le même chiffre. Voici ce que cela signifie en pratique, et ce qui change quand vous exploitez plus d’un entrepôt.