CPSID
Se connecter

CPSID · Purple Team

Cybersécurité, Protection, Souveraineté et Intelligence des Données

Cybersécurité et protection des données, tout-en-un.

CPSID réunit défense, validation offensive, confidentialité, souveraineté et intelligence des données dans une seule plateforme. Une approche Purple Team relie le CISO et le DPO autour des mêmes contrôles, responsables et preuves.

Se connecter à la plateforme
CPSID · Cybersécurité, Protection, Souveraineté et Intelligence des Données

Ce que vous gagnez avec CPSID.

Une réponse rapide en cas d’incident, une surveillance continue et des preuves prêtes pour l’autorité et l’auditeur.

Réponse aux incidents critiques

À compter du signalement à CPSID.

  1. 15min

    Prise en charge

    L’équipe de réponse de CPSID prend en charge l’incident et commence à agir.

  2. 1h

    Confinement

    L’incident est confiné pour qu’il cesse de se propager.

  3. 4h

    Rapport

    Ce qui s’est passé, ce qui a été touché et les preuves, prêts pour la direction et l’autorité.

24/7

Surveillance continue

La plateforme surveille le réseau, les terminaux, le WAF et le cloud sans interruption et alerte votre équipe.

72h

Délais légaux maîtrisés

C’est le délai légal habituel pour notifier une violation de données. CPSID chronomètre chaque délai et prépare la notification avec ses preuves.

1

Une preuve, toutes les lois

Ce que vous prouvez une fois vaut pour chaque loi et chaque norme qui l’exige : moins de travail répété à chaque audit.

Forensique numérique

L’équipe forensique de CPSID collecte et analyse les preuves de l’incident, avec chaîne de traçabilité.

Pré-audit

Vous savez où vous en êtes et ce qu’il faut corriger en premier : vos écarts classés par risque, au regard des lois qui vous concernent.

Disponibilité contractuelle

La disponibilité de la plateforme fait l’objet d’un engagement dans le contrat de service.

Délais pour les incidents critiques, selon le contrat de service. La surveillance 24/7 est assurée par la plateforme ; l’équipe de réponse de CPSID intervient dès le signalement.

Ce que la loi exige déjà, dans tous les pays.

La protection des données, la cybersécurité et l’intelligence artificielle sont déjà réglementées dans une grande partie du monde. Connaître votre niveau de maturité, et pouvoir le prouver, ne relève plus des bonnes pratiques : c’est une obligation, assortie de délais et d’amendes.

Lois sur la protection des données

RGPD en Europe, nLPD en Suisse, LPRPDE et Loi 25 au Canada, loi 09-08 au Maroc et bien d’autres.

Ce qui est exigé
Elles varient d’un pays à l’autre, mais exigent généralement les mêmes choses : une base légale pour chaque traitement, le respect des droits des personnes concernées, des analyses d’impact, des mesures de sécurité et, de plus en plus souvent, la notification des violations à l’autorité dans un délai de quelques heures à quelques jours. Dans plusieurs pays, les amendes peuvent atteindre un pourcentage du chiffre d’affaires.
Ce que fait CPSID
Réunit en un seul endroit les demandes d’exercice des droits, les analyses d’impact, la gestion des violations et le travail du DPO, avec des preuves rattachées à chaque loi qui vous est applicable.

Cybersécurité avancée

NIS2 et DORA en Europe, circulaires CSSF au Luxembourg, circulaire FINMA 2023/1 en Suisse, NIST CSF 2.0 et ISO/IEC 27001.

Ce qui est exigé
Gérer les risques sous la responsabilité de la direction, détecter les incidents et y répondre, puis les signaler aux autorités dans des délais toujours plus courts, parfois de quelques heures seulement.
Ce que fait CPSID
Rassemble les opérations de sécurité, le renseignement sur les menaces, la gestion des vulnérabilités et la réponse aux incidents autour des mêmes contrôles, et prépare le signalement aux autorités avec les preuves correspondantes.

Sécurité de l’IA

Règlement européen sur l’IA, ISO/IEC 42001 et le cadre de gestion des risques liés à l’IA du NIST.

Ce qui est exigé
Savoir quels systèmes d’IA l’organisation utilise, évaluer leurs risques, protéger les données qui servent à leur entraînement et à leur fonctionnement, et maintenir un contrôle humain sur leurs décisions.
Ce que fait CPSID
Applique des contrôles propres à l’intelligence artificielle, tient à jour l’inventaire des modèles approuvés et détecte les usages de l’IA que personne n’a autorisés.

Un contrôle, toutes les lois.

Chaque contrôle de la plateforme est relié aux lois et aux normes qui l’exigent. Ce que vous prouvez une fois vaut pour chaque loi de chaque pays où vous exercez vos activités, de l’Union européenne et des États-Unis à l’Amérique latine, au Brésil, à la Chine et à l’Arabie saoudite.

Une plateforme. Sécurité et données réunies.

Détection, réponse et validation de sécurité avec protection des données, souveraineté, gouvernance et intelligence. CISO, DPO, équipes techniques et auditeurs partagent les contrôles et les preuves.

Protection des données personnelles

Tout ce qu’exigent les lois sur la protection des données, réuni en un seul endroit et relié aux preuves de chaque contrôle.

  • Registre des activités de traitement avec lignage des données
  • Demandes d’exercice des droits avec délais et portail public avec vérification d’identité
  • Analyses d’impact rattachées à chaque traitement
  • Carte des transferts internationaux

Génération documentaire

Politiques, procédures et évaluations générées à partir des données vérifiées de votre organisation. Ce qui ne peut pas être vérifié est signalé comme en attente : rien n’est inventé.

  • Documents pour chaque lacune documentaire relevée lors d’un audit
  • Versions avec empreinte numérique et contrôles qualité
  • Approbation avec quorum et signature par code à usage unique
  • Export vers Word, PDF et Excel

IA embarquée

Un assistant qui répond aux questions sur votre programme en citant ses sources, avec un niveau de confiance et les données manquantes, et qui peut fonctionner avec des modèles locaux. L’IA propose ; les personnes approuvent et signent.

  • Réponses vérifiables tirées de vos propres données
  • Documents adaptés au secteur de votre organisation
  • Tests de sécurité des modèles selon l’OWASP Top 10 pour les LLM

Protection des données dans l’IA (DLP)

Détecte les outils d’IA et les applications SaaS que votre équipe utilise sans approbation, et protège les données sensibles dans l’IA de la plateforme.

  • Usage non approuvé de l’IA et du SaaS (shadow AI et shadow IT)
  • Règles de blocage, d’anonymisation et de masquage
  • Inventaire des modèles d’IA avec approbation

Découverte des actifs et des identités

Trouve chaque équipement, ressource cloud et service dont vous disposez, et le confronte à votre inventaire.

  • Sonde installable pour Windows, Linux, macOS et Kubernetes
  • Inventaire d’AWS, Azure, Google Cloud, Oracle Cloud et d’autres clouds
  • Inventaire des actifs (CMDB) confronté à ce que voit le réseau
  • Comptes à privilèges excessifs, orphelins ou inactifs, révocables depuis le même écran

Gestion des risques tiers (TPRM)

Classe vos fournisseurs, évalue leur risque et collecte leurs preuves via un portail dédié, avec revue et réévaluation périodique.

  • Portail fournisseur avec lien à usage unique pour déposer des preuves
  • Score de risque et concentration par fournisseur et par service
  • Revue des preuves avant approbation
  • Réévaluations planifiées qui créent des fiches de risque, des dossiers juridiques et des plans de continuité

Risques, contrôles et maturité

Votre propre méthodologie des risques versionnée, les contrôles avec leurs écarts et la maturité de chaque périmètre par rapport à la cible.

  • Cartographie des risques 5×5, inhérents et résiduels
  • Échelles et matrice paramétrables et versionnées
  • Preuves arrivant à échéance, avec chaîne de traçabilité
  • Maturité par périmètre, écart à la cible et tendance

Détection et SOC

Où les alertes s’accumulent, ce que couvre chaque capteur et quelles menaces plusieurs sources ont confirmées.

  • Entonnoir d’alertes et couverture de détection
  • Alertes confirmées par plusieurs capteurs réseau, terminaux et WAF
  • Règles de détection avec tests et suivi des dérives
  • Chasse aux menaces et leurres vérifiés par des événements réels

Réponse aux incidents

Du dossier au confinement et à la déclaration à l’autorité, chaque action étant approuvée et journalisée.

  • Dossiers CSIRT avec actifs touchés et chronologie
  • Confinement signé depuis la sonde et playbooks SOAR
  • Portée de chaque violation sur les données et les traitements
  • Délais de notification à l’autorité sous contrôle

Vulnérabilités et ingénierie de sécurité

Ce qu’il faut corriger en premier selon l’exploitation réelle, et les menaces de chaque système avant sa mise en production.

  • Priorisation par CVSS, EPSS et catalogue KEV
  • Logiciels installés rapprochés de la base NVD
  • Graphe de la chaîne d’approvisionnement logicielle (SBOM)
  • Modélisation des menaces STRIDE et graphe d’attaque

Continuité d’activité

La reprise réellement obtenue, comparée à celle qui a été promise.

  • Reprise éprouvée par rapport aux objectifs de RTO et de RPO
  • Bilan d’impact sur l’activité (BIA)
  • Étapes d’activation, versions et exercices
  • Matrice des sauvegardes et graphe des dépendances

Gouvernance, rapports et formation

Des comités avec leurs procès-verbaux et décisions, des rapports fondés sur des données à jour et une formation adaptée au rôle de chacun.

  • Comités, procès-verbaux et décisions avec signature électronique
  • Rapports sur données à jour, avec contrôle d’intégrité, en PDF
  • Académie par rôle avec évaluations et certificats vérifiables

Une vue pour chaque responsable.

Chacun voit ce qu’il doit décider, à partir des mêmes données : ce que l’auditeur examine est exactement ce que l’équipe a mis en œuvre.

  • Direction générale

    Le risque résiduel au regard de l’appétence au risque, les décisions en attente du comité et le rapport de synthèse pour le conseil d’administration.

    • Risques au-delà de l’appétence et de la tolérance
    • Décisions du comité avec traitement recommandé et coût de l’inaction
    • Rapport de synthèse pour le conseil d’administration
    • Comités, procès-verbaux et décisions avec responsable et échéance

  • Directions métiers

    Qui répond de chaque contrôle, processus, constat et risque, quelles actions correctives sont en cours et lesquelles sont en retard.

    • Matrices de responsabilités (RASCI) par contrôle, preuve, constat et risque
    • Actions correctives avec priorité, échéance et alerte de retard
    • Processus critiques avec responsable et prochaine revue
    • Constats encore sans plan d’action

  • DPO

    Le registre des activités de traitement avec base légale, durées de conservation et lignage des données, les analyses d’impact, les demandes d’exercice des droits et leurs délais, et les violations encore à notifier.

    • Registre des activités de traitement
    • Analyses d’impact relatives à la protection des données (AIPD)
    • Portail public d’exercice des droits avec vérification d’identité
    • Gestion des violations de données personnelles

  • RSSI

    Posture de sécurité, risque résiduel, incidents critiques, exposition juridique, tiers à haut risque et surface d’attaque réunis dans un seul tableau de bord, avec détection et réponse intégrées.

    • SOC avec corrélation entre capteurs réseau, terminaux et WAF
    • CSIRT et actions de réponse approuvées et auditées
    • Sondes de découverte pour Windows, Linux, macOS et Kubernetes

  • CTO

    Vulnérabilités, configuration du cloud, correctifs en retard et dépendance aux fournisseurs réunis en une seule décision : ce qu’il faut corriger en premier, selon le coût de l’inaction.

    • Remédiation priorisée sur les services critiques
    • Maturité actuelle par rapport à la cible, par capacité
    • Concentration de la chaîne d’approvisionnement par fournisseur
    • Feuille de route de l’audit avec jalons et livrables

  • Audit interne

    Le plan d’audit de bout en bout : chaque contrôle examiné avec ses preuves, une revue par les pairs et un contrôle qualité avant la clôture du rapport.

    • Plan avec diagramme de Gantt, chemin critique et comparaison prévu-réalisé
    • Revue des contrôles et des preuves, avec des documents pour chaque écart
    • Revue par les pairs et contrôle qualité avant la clôture
    • Rapport avec synthèse en PDF

  • Auditeur externe

    Un portail distinct de la plateforme, où l’auditeur ne voit que les preuves partagées avec lui, pour la durée convenue, chaque accès étant journalisé.

    • Accès sur invitation, avec mot de passe et code à usage unique
    • Dossiers de preuves avec durée de validité et limite de téléchargements
    • Documents filigranés au nom de la personne qui les consulte
    • Journal des accès chaîné et vérifiable

De l’incertitude à la preuve, en quatre étapes.

  1. 1

    Pré-audit

    Nous mesurons votre maturité en protection des données, en cybersécurité et en IA, contrôle par contrôle, au regard des lois qui vous sont réellement applicables.

  2. 2

    Écarts priorisés

    Ce qui manque, le niveau de risque de chaque écart et l’ordre dans lequel les combler.

  3. 3

    Pilotage par la preuve

    Contrôles, tests, documents et preuves tenus à jour sur la plateforme, chacun avec son responsable et sa date.

  4. 4

    Signalement aux autorités

    Violations de données et incidents signalés dans les délais à l’autorité compétente, avec les preuves qui étayent chaque réponse.

Commencez par savoir où vous en êtes.

Lors du pré-audit, nous mesurons votre maturité en protection des données, en cybersécurité et en IA, et vous remettons les écarts classés par niveau de risque.

E-mail
[email protected]
Bureau
Valparaíso, Chili