Connaissez vos produits.
Gardez leur cybersécurité sous contrôle quand ils évoluent.
Un fabricant ne gère pas un seul fichier de sécurité. Il gère des projets, des produits, des équipements, des variantes, des versions logicielles, des composants, des dépendances et des années d'évolution. Le premier défi consiste donc à disposer d'une image fiable de ce qui existe réellement — avant même de parler de vulnérabilité, de menace ou de risque.
VAST organise cette connaissance autour des Projects et des Assets. Chaque Asset représente un produit ou un équipement vivant dans la plateforme, avec ses versions, sa composition technique, ses relations et son historique. À mesure que le produit évolue, VAST conserve le contexte nécessaire pour rechercher, comprendre l'impact d'un changement et alimenter les activités de cybersécurité qui en dépendent.
Projects & Assets · Asset Inventory · Versions & Dependencies · Portfolio Search · Vulnerability & VEX · Threat & Risk · Reporting
Tout part de la connaissance produit. Le risque et le CRA ne sont pas le point de départ : ils deviennent fiables parce que cette connaissance existe déjà.
Projects & Assets
Commencer par savoir quels produits existent, à quel projet ils appartiennent et dans quel état ils se trouvent.
Dans une organisation industrielle, la cybersécurité ne se pilote pas produit par produit dans des fichiers indépendants. Plusieurs équipes travaillent sur plusieurs projets, parfois sur des familles de produits qui partagent des composants, des fournisseurs ou des briques logicielles. Sans structure commune, la connaissance se disperse rapidement.
VAST utilise les Projects pour organiser le travail et les Assets pour représenter les produits ou équipements à sécuriser. L'utilisateur peut passer d'une vue portefeuille à un projet, puis à un Asset précis sans perdre le contexte. Cette hiérarchie donne un point d'ancrage commun aux équipes : elles savent de quel produit elles parlent, de quelle version, et quelles informations lui appartiennent.
L'Asset devient ainsi la référence autour de laquelle les informations techniques et cyber peuvent évoluer dans le temps.
à intégrer
Asset Manager & Asset Inventory
Voir le produit tel qu'il existe réellement, pas seulement comme une ligne dans un inventaire.
Un nom de produit et un numéro de version ne suffisent pas pour comprendre sa surface cyber. Il faut savoir ce qu'il contient, où le logiciel s'exécute, quelles applications assurent les fonctions du produit, quelles données sont manipulées, quels comptes sont utilisés, comment les composants communiquent et comment le produit est maintenu ou mis à jour.
L'Asset Inventory constitue cette base de connaissance technique dans VAST. Il rassemble et relie les éléments importants du produit : **Hardware, Software et SBOM, Accounts, Data, Business Apps, Interconnections, Tools et Updates**. Les dépendances et les relations entre ces éléments donnent progressivement une image beaucoup plus utile qu'un simple inventaire administratif.
Le but n'est pas de documenter pour documenter. Cette connaissance permet ensuite aux équipes de retrouver une dépendance, comprendre un chemin de communication, localiser un composant, replacer une vulnérabilité dans son contexte ou préparer une analyse cyber sans reconstruire le produit à chaque fois.
Explorer l'Asset Inventory
à intégrer
Versions & historique
Le produit change. Son Asset doit continuer à raconter la bonne histoire.
Une nouvelle release peut modifier plusieurs éléments à la fois : une bibliothèque passe en nouvelle version, une application change de dépendance, une interface apparaît, un compte technique évolue ou le mécanisme d'update est renforcé. Si l'inventaire reste figé, les analyses réalisées autour de lui commencent immédiatement à perdre leur contexte.
Dans VAST, l'Asset est pensé pour vivre avec le produit. Les versions et révisions permettent de conserver ce qui était vrai à un moment donné tout en construisant l'état suivant. L'équipe peut comprendre l'évolution du produit sans écraser son historique, et les activités cyber peuvent rester rattachées au bon état technique.
C'est cette continuité qui transforme un inventaire en véritable Asset Intelligence.
à intégrer
Dépendances & relations produit
Une dépendance technique n'est jamais seulement une information de SBOM.
Savoir qu'un package est présent est utile. Savoir **où il est utilisé, par quoi il est utilisé et dans quels produits il se retrouve** l'est beaucoup plus. Dans les produits embarqués et connectés, une même bibliothèque, un même composant ou une même technologie peut traverser plusieurs applications, versions et projets.
VAST maintient les relations utiles autour de l'Asset afin que la composition du produit ne reste pas une liste plate. Cette vision permet d'explorer les dépendances et de comprendre plus rapidement les conséquences possibles d'un changement, d'une obsolescence ou d'un problème supply chain.
Lorsque la question devient « qu'est-ce qui dépend de cet élément ? », l'information existe déjà dans le contexte du produit.
à intégrer
Recherche transverse
« Où utilisons-nous ce composant ? » ne devrait pas déclencher une enquête de plusieurs jours.
Une équipe Product Security travaille rarement sur un seul Asset isolé. Lorsqu'une bibliothèque est compromise, qu'un fournisseur signale un problème ou qu'une technologie doit être retirée, la question importante devient immédiatement transverse : **quels Projects, quels Assets et quelles versions sont concernés ?**
VAST permet de rechercher dans la connaissance produit à l'échelle du portefeuille. Une bibliothèque, un composant, une CVE, une licence, une technologie, un fournisseur ou un autre critère peut devenir le point de départ pour retrouver les produits concernés et ouvrir directement leur contexte.
Cette capacité est utile avant même l'analyse de risque : elle réduit le temps nécessaire pour comprendre l'étendue réelle d'un sujet et décider où concentrer l'effort.
à intégrer
Une fois les produits connus, la sécurité devient exploitable.
Vulnérabilités, menaces et risque se lisent dans le contexte réel du produit — pas comme des flux isolés.
Vulnérabilités & VEX
Une CVE devient utile lorsqu'on sait où elle se trouve et ce qu'elle signifie pour le produit.
Les flux de vulnérabilités produisent des alertes. Ils ne connaissent pas toujours l'usage réel d'un composant dans votre équipement. VAST replace la vulnérabilité dans l'Asset et dans sa version : quel composant est concerné, dans quels produits il apparaît, comment il est utilisé et quelles décisions ont déjà été prises.
L'équipe peut alors investiguer l'exploitabilité, documenter sa conclusion, suivre le traitement et produire l'information VEX lorsque c'est nécessaire. Une nouvelle donnée ne remplace pas l'historique : elle enrichit la connaissance du produit et permet de voir quelles décisions peuvent demander une nouvelle revue.
Threat Engine
Identifier les menaces qui méritent l'attention du produit, sans transformer l'analyse en catalogue.
Une base de menaces générique peut contenir énormément d'informations sans dire lesquelles comptent réellement pour un équipement donné. VAST Threat Engine exploite le contexte déjà construit autour de l'Asset pour aider à identifier les menaces pertinentes.
La connaissance peut provenir de plusieurs espaces complémentaires : la connaissance VAST, des sources reconnues telles que MITRE ATT&CK, et des catalogues spécifiques à l'organisation lorsque son métier, ses technologies ou son retour d'expérience exigent une couverture plus ciblée.
Le site n'a pas besoin d'en dire davantage sur le fonctionnement interne. Ce qui compte pour l'utilisateur est simple : la connaissance de menace rejoint la connaissance du produit au lieu de rester dans une base séparée.
Risk Assessment
Une analyse de risque devient plus robuste lorsqu'elle ne commence pas par reconstruire le produit.
Le Risk Assessment reste une capacité essentielle de VAST, mais il arrive après la compréhension de l'Asset. L'analyste travaille avec un contexte déjà structuré : produit, version, composants, dépendances, données, interfaces, vulnérabilités et menaces pertinentes. Il peut donc consacrer davantage de temps au raisonnement et moins à collecter les mêmes informations une nouvelle fois.
L'analyse reste également reliée aux faits qui l'ont alimentée. Lorsque le produit change, VAST peut aider à retrouver les éléments susceptibles d'affecter une analyse existante et à concentrer la revue là où elle est utile. Les décisions importantes restent sous contrôle humain et leur justification reste traçable.
Dashboards & vue portefeuille
Voir un produit en détail et garder une vue sur l'ensemble du portefeuille.
La même plateforme doit répondre à des questions très différentes. Un Asset Manager veut savoir si la connaissance technique d'un équipement est complète. Une équipe Product Security veut voir les vulnérabilités ouvertes ou les composants partagés. Un responsable veut identifier les sujets qui traversent plusieurs projets. Un analyste souhaite ouvrir immédiatement les éléments qui demandent une revue.
Les dashboards VAST permettent de naviguer de la vue consolidée vers le Project, l'Asset et l'information source. L'objectif n'est pas de produire un score décoratif, mais de rendre l'état visible et de permettre le drill-down jusqu'au contexte qui explique l'indicateur.
à intégrer
Conformité CRA & preuve
Le CRA renforce une réalité déjà opérationnelle : le fabricant doit continuer à connaître et suivre ses produits après leur mise sur le marché.
La conformité ne commence pas par un rapport final. Elle dépend d'abord de la capacité à savoir quels produits et versions existent, de quoi ils sont composés, quelles vulnérabilités les concernent, quelles décisions ont été prises et quelles preuves peuvent être retrouvées dans le temps.
VAST a été conçu autour de cette continuité. L'Asset Inventory, le versioning, la recherche portefeuille, la gestion des vulnérabilités, l'analyse de menace, le Risk Assessment et l'Evidence Management travaillent sur la même connaissance produit. La plateforme aide ainsi les équipes à structurer et maintenir les informations nécessaires à leur démarche CRA sans réduire la conformité à une simple checklist.
Voir comment VAST accompagne le CRA
à intégrer
Reporting & evidence
Une preuve est beaucoup plus facile à produire lorsque l'information a été maintenue pendant tout le cycle de vie.
Lorsque les Projects, Assets, versions, analyses et décisions vivent dans le même environnement, le reporting ne commence plus par une collecte manuelle. VAST peut produire des vues et des rapports à partir de l'état connu du produit et conserver le lien avec les informations qui les justifient.
Le partage reste contrôlé. Un client, un intégrateur ou un auditeur peut avoir besoin de comprendre une décision sans recevoir toute l'architecture interne du produit.
Share the ingredients, not the recipe.
à intégrer
Intégration à vos outils
Vos outils d'ingénierie restent vos outils d'ingénierie.
VAST n'a pas vocation à remplacer l'ALM, le PLM, les outils de développement, les pipelines ou les sources SBOM. Ces systèmes continuent à produire les informations qui décrivent le produit. VAST rassemble les informations pertinentes pour la cybersécurité, les enrichit avec le contexte nécessaire et les relie aux activités qui doivent les exploiter.
La plateforme devient ainsi un point de continuité cyber entre des données qui existaient déjà, sans demander aux équipes de refaire leur ingénierie dans un outil de sécurité.
à intégrer
Montrez-nous un de vos produits. Commencez par voir ce que VAST peut en comprendre.
À partir d'un Project et d'un Asset, VAST construit le contexte qui permet ensuite de rechercher, suivre les versions, retrouver les dépendances, traiter les vulnérabilités, analyser les menaces et les risques, puis conserver la preuve.
Découvrez VAST en 2 minutes
Voyez comment VAST génère un SBOM, corrèle les CVE et produit un VEX.