Comment prouver que vous l'avez réparé
Trouver un problème de sécurité est un travail. Prouver que vous avez résolu le problème est une question différente, et la plupart des outils ne vous aident qu'avec le premier. Si vous êtes encore en train de déterminer ce que vous exposez en premier lieu, commencez par le guide de gestion des surfaces d'attaque.
La différence est importante car la personne à convaincre n’était généralement pas là. Un gestionnaire approuvant le budget de l'année prochaine, un auditeur demandantdes preuves, un client envoyant un questionnaire de sécurité, un assureur fixant le prix d'une police - aucun d'entre eux ne vous a vu réparer quoi que ce soit. Ils ont besoin de quelque chose qu'ils peuvent lire.
Cette page a pour but de construire ce quelque chose.
Pourquoi on vous demande cela maintenant
Dans une lettre ouverte publiée en août 2026, 116 organisations – dont Microsoft, Google, AWS, Cisco, Cloudflare, CrowdStrike, IBM, Oracle et Palo Alto Networks – ont appelé chaque organisation àsupprimez leurs faiblesses les plus risquées et vérifiez les résultats sans perturber les services essentiels. (Un appel à une action collective sur la cyberdéfense, OpenAI)
Cette seconde moitié est la partie qui change le travail. "Nous l'avons corrigé" est une réponse acceptable depuis longtemps. Cela devient de moins en moins acceptable.
Qu'est-ce qui compte comme preuve et ce qui ne l'est pas
Une capture d'écran d'une analyse propre ne constitue pas une preuve. Iln'a pas d'avant, il n'a pas de date que vous ne pouvez pas modifier et vous l'avez produit vous-même.
La preuve de la réparation nécessite quatre éléments :
1.
A avant. Le problème, pour ainsi dire, avec une date.
2.
Un après. Le même contrôle, exécuté de la même manière, avec une date ultérieure.
3.
Une méthode. Ce qui a été vérifié et comment, donc les deux sont comparables.
4.
Une source qui n'est pas votre propre affirmation. Quelque chose généré par un outil, non saisi par la personne interrogée.
Si vous manquez quelqu'un, vous serez de nouveau cru plutôt que montré.
Le moyen le moins coûteux d’avoir les quatre est de mesurer avant que quiconque ne le demande. Les preuves ne peuvent pas être produites rétroactivement : s’il n’y a aucune trace du problème, il n’y a aucun moyen de prouver qu’il a disparu.
Ce que chaque public veut réellement
Ils ne posent pas la même question, et leur envoyer à tous le même PDF est la raison pour laquelle cela se passe généralement mal.
| Qui demande | Ce qu'ils ont réellementveux | Quoi envoyer |
|---|---|---|
| Votre gestion | L’argent que nous avons dépensé a-t-il changé quelque chose ? | Un numéro au fil du temps. Une note passée de D à B indique plus de quarante résultats résolus |
| Un auditeur | Pouvez-vous démontrer qu’un contrôle fonctionne ? | Le daté avant, le daté après et la méthode. Les détails sont les bienvenus ici |
| Examen de sécurité d'un client | Êtes-vous un risque pour nous ? | Une synthèse actuelle, partageable, qui ne nécessite pas de création de compte |
| Unassureur ou une équipe d'approvisionnement | Votre posture s’améliore ou se dégrade ? | La tendance, pas l'instantané |
L'échec courant consiste à envoyer le niveau de détail d'un auditeur à un responsable, ou le résumé d'un gestionnaire à un auditeur. Le premier est ignoré ; le second revient avec des questions.
Comment construire le sentier
Cela fonctionne avec n’importe quel outil qui conserve l’historique. La séquence compte plus que le produit.
1. Établissez la base de référence avant de réparer quoi que ce soit.Cela semble rétrograde et c’est l’étape que les gens sautent. Une analyse effectuée aujourd'hui, même si des problèmes subsistent, est "l'avant" dont vous aurez besoin dans trois mois. Une fois corrigé, cet enregistrement ne peut plus être créé.
2. Utilisez une mesure qui survit à la traduction. Le nombre de résultats augmente lorsque vous regardez de plus près, ce qui donne l'impression que l'amélioration est un déclin. Une seule mesure graduée va dans la direction attendue par un lecteur non technique.
3. Répétez les mêmes contrôles sur uncalendrier, pas à la main. Deux analyses exécutées différemment ne sont pas comparables, et une piste de preuves avec une lacune invite à la question que vous souhaitez le moins.
4. Conservez l'historique suffisamment longtemps pour qu'il compte. Un mois d'historique s'avère une solution. Une année prouve un programme. Ce que votre outil conserve est la période la plus longue que vous puissiez démontrer - vérifiez-le maintenant plutôt qu'en décembre.
5. Enregistrez le correctif, pas seulement le résultat. Ce qui a été modifié, par qui et quand. L'analyse montre que le problème a été résolu ; cela montre qu'il s'est arrêté pour une raison et non par accident.
Comment AYAsec fait cela
Chaque analyse produit un score de 0 à 100 et une note de A+ à F, de sorte que l'avant et l'après constituent un nombre comparable plutôt que deux listes.
Les analyses peuvent être exécutées selon un calendrier, ce qui signifie que les enregistrements s'accumulent sans que personne ne se souvienne de les produire. Si une notechute entre les analyses, on vous dit - vous n'êtes pas obligé de le remarquer.
Les rapports sont exportés au format PDF sous deux formes : bref pour le public qui souhaite la conclusion, complet pour le public qui souhaite travailler. Tout rapport peut également être transformé en un lien partagé qui s'ouvre sans compte AYAsec, ce qui est généralement ce que souhaite réellement l'examen de sécurité d'un client.
Pour les champs de ce rapport, voir comment lire unrapport dans la documentation.
La quantité d'historique que vous conservez dépend de votre forfait : sept jours sur Free, trente sur Starter, avec exportation d'audit disponible depuis Pro. La gratuité suffit pour voir si cela fonctionne pour vous. Il ne suffit pas de prouver quoi que ce soit en décembre, et cela vaut la peine de le savoir en septembre plutôt qu'en décembre.
Qu'est-ce que ce n'est pas
AYAsecproduit des résultats, des notes et un dossier daté. Il ne produit pas d'attestation de conformité ni de certificat. Personne ne peut vous en remettre un à partir d'une analyse - la certification implique un évaluateur, et des preuves comme celle-ci sont une contribution à ce processus plutôt qu'un substitut.
Si quelqu’un vous dit que son scanner vous rend conforme, c’est une affirmation qui mérite d’être lue deux fois.
Questions fréquemment posées
Nous avons réglé les choses avant de commencermesurer. Pouvons-nous quand même le montrer ?
Pas pour ces correctifs, et aucun outil ne peut changer cela. Commencez l'enregistrement maintenant pour que le prochain tour soit prouvable.
Une note est-elle suffisante à elle seule ?
Pour la gestion, généralement. Pour un auditeur, non : il voudra connaître les conclusions sous-jacentes et les dates, ce à quoi sert le rapport complet.
Jusqu'à quand devons-nous conserver les preuves ?
Assez long pour couvrir le cycle qui vous est demandé. Les conversations budgétaires annuelles et les audits annuels signifient tous deux qu'une année est laréponse pratique.
Pouvons-nous le montrer à un client sans lui donner accès à notre compte ?
Oui. Un rapport peut être partagé sous forme de lien qui s'ouvre sans compte, et le lien peut être révoqué.
Un rapport propre signifie-t-il que nous sommes en sécurité ?
Cela signifie que ces chèques ont été passés à cette date. C’est une chose utile à démontrer, et ce n’est pas la même affirmation.