L'Audit Pack est un rapport de preuves à la demande, à l'échelle du Realm, généré depuis la page Pack d'Audit (/audit-pack) du Dashboard. Il produit un PDF localisé, construit à partir de la télémétrie et de l'état de configuration de votre Realm, structuré pour des audits de type NIS2/KSC/BSIG : une Matrice de Couverture des Exigences, des annexes de preuves, une section d'attestations organisationnelles et une liste de vérification de démonstration de reprise.
Le document constitue une preuve outillée qui appuie un audit. Il ne s'agit ni d'une certification de conformité, ni d'un conseil juridique, ni d'une preuve de conformité ; cela est indiqué sur la couverture de chaque PDF généré.
Prérequis et contrôle d'accès
- La page est protégée par la permission
realm.view_audit_logs. Les utilisateurs qui n'en disposent pas peuvent ni charger l'extrait ni générer le PDF. - La génération du rapport est elle-même consignée dans le journal d'audit : chaque génération réussie écrit une entrée dans la piste d'audit du Realm, en enregistrant l'utilisateur à l'origine de l'action, la période du rapport et le profil de juridiction sélectionné. Les auditeurs peuvent donc vérifier quand et par qui les preuves ont été produites.
Configurer le rapport
La carte Configuration du Rapport propose trois paramètres.
Profil de Juridiction
| Profil | Base juridique | Statut |
|---|---|---|
| Union européenne - NIS2 | Directive (UE) 2022/2555 (NIS2) | En vigueur |
| Pologne - KSC | Loi sur le système national de cybersécurité (ustawa o KSC) | En vigueur |
| Allemagne - BSIG (NIS2UmsuCG) | BSIG n.F. (loi de transposition NIS2) | En vigueur |
| France - ReCyF | Projet de loi (loi Résilience) + document de travail ANSSI ReCyF | En cours |
Le profil français est marqué comme en cours : la France n'a pas achevé la transposition de NIS2, de sorte que le profil cite un projet de loi non promulgué et un document de travail de l'ANSSI. Lorsqu'il est sélectionné, une bannière d'avertissement s'affiche sur la page, une réserve est imprimée sur la couverture du PDF, et chaque ligne de la matrice porte un astérisque indiquant que les références juridiques sont provisoires et susceptibles d'être renumérotées.
Le profil ne sélectionne que la présentation et l'étiquetage : les lignes d'exigences, leurs références juridiques et la langue de la liste des bases juridiques. L'extrait de preuves sous-jacent est identique pour tous les profils.
Langue du Rapport
Le PDF peut être produit en anglais, polonais, allemand ou français, indépendamment de la langue de l'interface du Dashboard. La langue par défaut suit le profil sélectionné (EN pour l'UE, PL pour la Pologne, DE pour l'Allemagne, FR pour la France) et peut être modifiée librement.
Période
Les préréglages couvrent les 30, 90 (par défaut) ou 365 derniers jours ; une plage de dates personnalisée est également disponible. La date de fin est incluse. En l'absence de plage indiquée, le backend utilise par défaut les 90 derniers jours et plafonne toute plage à 400 jours.
Générer le rapport
- Cliquez sur CHARGER L'APERÇU. Le Dashboard récupère l'extrait de preuves pour la période sélectionnée et affiche un bandeau de KPI (taux de réussite des sauvegardes, membres avec MFA, constats actifs, couverture d'analyse) ainsi qu'un aperçu en direct de la Matrice de Couverture des Exigences.
- Examinez la matrice. Changer de Profil de Juridiction réévalue la matrice côté client à partir de l'extrait déjà chargé : aucune nouvelle récupération n'est nécessaire, car l'extrait est indépendant de la juridiction.
- Complétez le formulaire Attestations Organisationnelles : cochez les mesures que votre organisation a mises en œuvre et ajoutez des notes facultatives. Ces saisies sont conservées côté client et ne sont pas stockées sur le serveur ; elles n'existent que dans le PDF généré.
- Cliquez sur GÉNÉRER LE PDF. Le PDF est construit entièrement dans le navigateur (aucun rendu côté serveur). Si la période ou le profil a changé depuis le dernier aperçu, un nouvel extrait est d'abord récupéré afin que la piste d'audit enregistre les bons paramètres.
Le fichier téléchargé est nommé statewarden-audit-pack-{profile}-{from}-{to}.pdf.
Ce que contient le PDF
- Couverture : nom du Realm, profil, période du rapport, horodatage de génération, utilisateur générant le rapport, versions du système (WebAPI et nombre d'agents par version), base juridique du profil sélectionné et clause de non-responsabilité. La couverture porte également une empreinte de l'extrait : un hachage SHA-256 calculé sur l'extrait de preuves JSON canonisé. L'empreinte peut être recalculée à partir de l'extrait source pour vérifier l'intégrité.
- 1. Matrice de Couverture des Exigences - voir ci-dessous.
- 2. Annexes de Preuves (2.1-2.8) : sauvegarde et reprise après sinistre ; chiffrement ; accès et identité ; incidents et réponse ; vulnérabilités et supervision ; infrastructure et localisation ; intégrité logicielle ; extrait du journal des changements.
- 3. Attestations Organisationnelles : les déclarations cochées et les notes, imprimées comme DÉCLARATIONS DU CLIENT avec un bloc de signature pour le représentant du client.
- 4. Liste de Vérification de Démonstration de Reprise : une page finale pour la démonstration de restauration en direct devant l'auditeur, avec des champs pour la date, l'hôte, l'ID de sauvegarde, la méthode et le résultat. Le rapport ne prétend volontairement pas attester l'exécution de tests de reprise après sinistre ; réaliser et documenter la démonstration en direct reste une activité d'audit manuelle.
Les listes longues sont plafonnées. L'extrait côté serveur récupère une ligne au-delà de sa limite et marque la section comme tronquée ; le PDF indique lorsqu'une liste est affichée partiellement (« Extrait serveur tronqué » ou « Liste tronquée pour l'impression »).
La Matrice de Couverture des Exigences
La matrice fait correspondre les exigences légales aux preuves de la plateforme. Douze exigences fondamentales (R1-R12) couvrent les mesures de l'article 21(2)(a)-(j) de NIS2, la capacité de notification d'incidents et la responsabilité de la direction ; les profils de juridiction ajoutent leurs propres lignes (Pologne : P1-P6, Allemagne : D1-D4, France : F1-F3), par exemple la sécurité physique, les obligations d'enregistrement et les entrées relatives au régime de supervision informationnelle. Chaque ligne affiche la référence juridique verbatim (jamais traduite), un résumé de preuve calculé à partir de l'extrait, et un renvoi vers l'annexe contenant les données sous-jacentes.
Chaque ligne reçoit l'un des trois statuts suivants :
- Démontré (●) : une preuve système existe sur la période du rapport.
- Partiel (◐) : une partie des preuves existe, mais elle est incomplète ou doit être complétée par un processus du client. C'est également le niveau plancher pour les lignes calculées lorsque la période ne contient aucune donnée pertinente : la matrice ne rapporte jamais « Démontré » en l'absence de données.
- Organisationnel (○) : la mesure ne peut pas être démontrée par la plateforme (par exemple les programmes de formation ou la sécurité physique). Ces lignes renvoient à la section DÉCLARATIONS DU CLIENT.
Les règles d'évaluation sont déterministes et conservatrices. Par exemple, la ligne sauvegarde et reprise après sinistre (R3) n'atteint « Démontré » que si au moins une sauvegarde s'est terminée sur la période, si au moins 80 % des appareils compatibles avec un agent sont couverts par une politique de sauvegarde active, et si plus de la moitié des appareils couverts ont une sauvegarde terminée ; la ligne de résumé rapporte dans tous les cas les décomptes réels.
Backend et provenance des données
L'extrait est produit par une opération backend unique, en lecture seule, qui exige la permission realm.view_audit_logs ; la génération du rapport est elle-même consignée dans le journal d'audit comme décrit ci-dessus. L'extrait est indépendant de la juridiction : le profil sélectionné ne modifie pas les données sous-jacentes ; le profil est repris dans les métadonnées du rapport et enregistré dans le journal d'audit.
L'extrait agrège les sections bornées par la période suivantes : configuration du Realm (mode de chiffrement, politique MFA, politiques de réponse, régions autorisées), membres, sessions, événements d'authentification, journal des changements, synthèse des journaux d'appareils, posture de sauvegarde (flotte et par appareil), politiques de sauvegarde, historique des restaurations, posture de sécurité (constats, couverture d'analyse, historique d'analyses), infrastructure (nœuds de stockage, régions, usage) et versions des composants (versions WebAPI et agents).
Remarques sur l'exactitude des données
La fidélité des résultats de restauration dépend de la version de l'agent. Les agents 1.7.0 et plus récents rapportent fidèlement les échecs partiels de restauration : une restauration ayant échoué pour certains disques est consignée comme échouée, avec identification des disques en échec. Sur des agents plus anciens, une restauration partiellement échouée pouvait être consignée comme réussie. Les rapports couvrant des périodes avec des agents antérieurs à 1.7.0 doivent être lus en gardant cette limitation à l'esprit ; la couverture liste les versions d'agents présentes dans la flotte afin que l'auditeur puisse l'évaluer.
Périmètre et limitations
L'Audit Pack atteste les contrôles techniques que StateWarden exploite ou observe : sauvegardes, restaurations, configuration du chiffrement, contrôle d'accès, MFA, supervision, traitement des vulnérabilités et la piste d'audit elle-même. Les mesures organisationnelles (politiques de sécurité, documents d'analyse de risque, programmes de formation, processus RH, sécurité physique, évaluations des fournisseurs) restent de la responsabilité du client. Elles sont représentées dans le rapport par des lignes Organisationnel (○) et sont couvertes par la liste d'attestations, que le client signe en tant que DÉCLARATIONS DU CLIENT.
Le pack fournit des preuves pour appuyer votre audit ; il ne certifie pas la conformité. Votre organisation reste responsable de sa propre posture de conformité, y compris de l'exactitude des déclarations faites dans la section d'attestations et de l'exécution de la démonstration de reprise en direct.