Qu'est-ce que la Compliance-Evidence ?
La Compliance-Evidence (les preuves de conformité) désigne des preuves documentées et vérifiables qu'une mesure de sécurité exigée est effectivement mise en œuvre et produit ses effets. Elle transforme une affirmation en preuve : non pas seulement la déclaration qu'un contrôle existe, mais la preuve concrète de ce contrôle, rattachée à l'exigence correspondante d'un référentiel comme NIS2, DORA ou l'ISO 27001. Les preuves typiques sont les états de configuration, les extraits de logs, un Audit-Trail sans lacune, les documents de policy et les validations. Une bonne preuve est à jour, clairement rattachée à une exigence et complète. Sans ces propriétés, elle reste en audit une simple affirmation qui déclenche des questions et du travail supplémentaire.
Compliance-Evidence en détail
Des référentiels comme NIS2, DORA ou l'ISO 27001 formulent des exigences, appelées Controls. Pour chacune de ces exigences, l'exploitation doit pouvoir montrer qu'elle est mise en œuvre. Ce sont précisément ces preuves qui constituent l'Evidence. Elles vont d'artefacts techniques concrets, comme les états de configuration et les extraits de logs, jusqu'à des documents organisationnels comme les policies, les validations et les tickets. Une capture d'écran peut servir, mais seulement avec un horodatage et un contexte.
La valeur d'une preuve tient à trois propriétés. Elle doit être à jour, c'est-à-dire refléter l'état actuel et non un état depuis longtemps dépassé. Elle doit être traçable, c'est-à-dire porter la source, l'horodatage et le lien avec l'exigence. Et elle doit être complète, c'est-à-dire couvrir réellement le contrôle. Si l'une de ces propriétés manque, une lacune apparaît en audit : l'auditeur voit une preuve, mais ne peut ni la situer ni la reconnaître comme efficace.
Pourquoi la Compliance-Evidence compte-t-elle dans l'exploitation Zscaler ?
Une exploitation Zscaler génère en continu précisément les signaux qui font office de preuve : états des policies, historiques de modifications, logs d'accès et de filtrage, validations selon le principe des quatre yeux. Le problème est rarement l'absence de preuves, mais plutôt qu'elles sont dispersées et non rattachées à une exigence. Avant un audit commence alors la chasse : on prend des captures d'écran, on rassemble des exports, on reconstitue des états. Cela coûte du temps et ne livre souvent qu'un instantané.
Qui dérive au contraire ses preuves en continu à partir des signaux réels de l'exploitation et les rattache aux Controls inverse la logique. La preuve n'est alors plus un projet mené avant l'audit, mais un sous-produit d'une exploitation propre. Cela réduit l'effort, diminue le risque de preuves obsolètes et rend l'argumentation solide face aux auditeurs. La transposition nationale concrète de NIS2 reste ici déterminante, c'est pourquoi le rattachement aux Controls doit rester traçable.
Sources d'erreur courantes
- Collectée une fois, puis obsolète : une preuve vieille d'un an n'atteste plus l'état actuel.
- Sans lien avec l'exigence : une preuve non rattachée à un Control aide peu en audit.
- Capture d'écran sans contexte : sans horodatage ni source, une image reste une preuve faible et contestable.
- Collecte manuelle juste avant l'audit : cela crée du stress, des lacunes et seulement un instantané fugace.
Compliance-Evidence en pratique : ce qu'apporte CentaurNexus
Compliance Mapping de CentaurNexus rattache les signaux réels du tenant Zscaler aux exigences de NIS2, DORA et ISO 27001, et en assemble un Evidence-Pack exportable. La preuve naît ainsi de l'exploitation courante, au lieu d'être péniblement rassemblée avant l'audit. Comme le rattachement s'appuie sur les données réelles de configuration et de modification, les preuves restent à jour et clairement rattachées à une exigence. L'article suivant montre comment une modification devient réellement prouvable : Modifications Zscaler seulement après Read-back.
Termes associés
Questions fréquentes sur la Compliance-Evidence
La Compliance-Evidence désigne des preuves documentées et vérifiables qu'une mesure de sécurité exigée est effectivement mise en œuvre et produit ses effets. Elle transforme une affirmation en preuve : non pas seulement la déclaration qu'un contrôle existe, mais la preuve concrète de ce contrôle, rattachée à l'exigence correspondante d'un référentiel.
Les preuves typiques sont les états de configuration, les extraits de logs, un Audit-Trail sans lacune, les documents de policy, les validations et les tickets. Des captures d'écran peuvent également servir, si elles portent un horodatage et un contexte. Ce qui compte, c'est qu'une preuve soit rattachée à une exigence concrète et montre que la mesure n'est pas seulement prévue, mais effective.
Surtout pour NIS2, DORA et ISO 27001. Ces trois référentiels n'exigent pas de simples déclarations d'intention, mais des mesures prouvables et effectives. Pour l'exploitation IT, cela signifie : pour chaque contrôle exigé, il doit être possible de montrer que et comment il est mis en œuvre. La transposition nationale concrète de NIS2 reste ici déterminante.
Une bonne preuve est à jour, traçable et complète. À jour signifie qu'elle reflète l'état actuel, pas celui d'il y a un an. Traçable signifie qu'elle porte l'horodatage, la source et le lien avec l'exigence. Complète signifie qu'elle couvre réellement le contrôle et ne laisse aucune lacune visible en audit.
En les dérivant en continu des signaux réels de l'exploitation, plutôt qu'en les rassemblant manuellement juste avant l'audit. Lorsque les états de configuration, les logs et les Audit-Trails sont rattachés en continu aux Controls, il en résulte une image toujours solide. Cela réduit le stress avant les contrôles et évite des preuves obsolètes ou incomplètes.
- BSI : directive NIS2 et transposition en Allemagne - bsi.bund.de
- DORA (règlement UE 2022/2554), exigences relatives à la gestion du risque lié aux TIC - eur-lex.europa.eu
Remarque : CentaurNexus est un produit indépendant de SourcingBlox GmbH et non une offre de Zscaler, Inc. Les noms de produits et de marques appartiennent à leurs détenteurs respectifs.