De vos Projects à vos décisions cyber,
VAST garde le produit au centre.
VAST commence par structurer ce que l'organisation doit sécuriser : ses Projects, ses produits et ses équipements. Chaque produit est représenté par un Asset vivant dont la connaissance technique se construit et se maintient dans le temps.
Organiser la cybersécurité comme votre portefeuille produit.
Les Projects fournissent le cadre de travail. Ils regroupent les Assets et permettent aux équipes de conserver une organisation lisible lorsque le nombre de produits, de variantes et de versions augmente. Depuis une vue portefeuille, l'utilisateur peut descendre vers un Project puis vers l'Asset qui l'intéresse.
Cette organisation est importante pour les fabricants qui ne gèrent pas un produit isolé mais plusieurs lignes, plusieurs générations ou plusieurs clients. Elle permet de conserver une vision globale tout en travaillant avec précision sur un équipement donné.
à intégrer
Construire une connaissance technique exploitable du produit.
L'Asset Manager permet de maintenir l'identité et l'état du produit, tandis que l'Asset Inventory décrit ce qui le compose réellement. Cette connaissance ne se limite pas au logiciel : elle couvre le Hardware, le Software et la SBOM, les Accounts, les Data, les Business Apps, les Interconnections, les Tools et les mécanismes d'Update.
Les informations peuvent être enrichies progressivement. Une SBOM peut fournir une partie de la composition logicielle, puis l'équipe complète le contexte nécessaire pour comprendre les usages, les relations et la place des éléments dans le produit.
L'objectif est d'obtenir une base technique suffisamment riche pour être utilisée ailleurs dans VAST, pas simplement un catalogue de composants.
à intégrer
Comprendre comment les éléments du produit dépendent les uns des autres.
Un produit n'est pas une collection de listes indépendantes. Le logiciel s'exécute sur du matériel, les Business Apps utilisent des composants logiciels et des comptes, les données sont manipulées et stockées, et les Interconnections décrivent comment les fonctions communiquent avec leur environnement.
VAST conserve les relations utiles entre ces éléments. Cette structure aide à explorer le produit, à retrouver les dépendances et à replacer une information dans son contexte technique. Lorsqu'un composant devient un sujet, l'équipe peut comprendre plus rapidement où il intervient et quelles parties du produit méritent une attention particulière.
à intégrer
Conserver la différence entre ce qui était vrai hier et ce qui est vrai aujourd'hui.
Les produits évoluent par versions et révisions. La sécurité doit donc pouvoir retrouver l'état technique qui correspond à une décision donnée. VAST permet de maintenir cette continuité plutôt que d'écraser l'ancienne connaissance à chaque release.
L'équipe peut comparer l'évolution du produit, identifier les changements utiles et garder les analyses ou décisions rattachées au bon contexte. Le versioning devient ainsi une fonction cyber à part entière, parce qu'une décision sans version de référence finit rapidement par devenir ambiguë.
à intégrer
Rechercher une information dans un Asset. Comprendre son impact dans tout le portefeuille.
Lorsque la connaissance produit est structurée, elle devient interrogeable. Une équipe peut rechercher une bibliothèque, un composant, une CVE, une technologie, un fournisseur ou une autre caractéristique et retrouver les Assets et versions concernés.
Cette recherche multi-Project et multi-Asset est particulièrement utile lorsqu'un sujet arrive de l'extérieur : zero-day, composant compromis, fin de support, licence à remplacer ou problème fournisseur. Au lieu de demander à chaque équipe de vérifier manuellement son produit, VAST fournit un point de départ commun pour mesurer l'étendue du problème.
à intégrer
Passer d'une vulnérabilité connue à une décision comprise dans le contexte du produit.
VAST rattache les vulnérabilités aux composants, Assets et versions concernés. L'équipe peut ensuite analyser leur pertinence dans le contexte réel du produit, documenter l'exploitabilité, suivre les actions et conserver la décision dans le temps.
Le VEX devient la conséquence documentée d'un travail de contexte, pas seulement un statut importé ou saisi isolément. L'historique aide également à comprendre pourquoi une conclusion a été prise et si elle doit être revue lorsque le produit ou les informations disponibles évoluent.
à intégrer
Mettre la connaissance de menace au service du produit.
VAST Threat Engine aide à identifier les menaces pertinentes en s'appuyant sur le contexte du produit. La plateforme peut exploiter la connaissance VAST, des référentiels reconnus comme MITRE ATT&CK et des catalogues spécifiques à l'organisation.
L'utilisateur bénéficie du résultat sans avoir à gérer la complexité interne du moteur. Le message public reste volontairement à ce niveau : VAST rapproche connaissance de menace et connaissance produit pour soutenir l'analyse.
à intégrer
Évaluer le risque avec un produit déjà compris, puis garder l'analyse reliée à son contexte.
Le Risk Assessment VAST exploite les informations disponibles dans l'Asset et les analyses associées au lieu de demander à l'analyste de recréer une nouvelle photographie du produit. Les actifs à protéger, les événements redoutés, les menaces, les scénarios, les impacts, les mesures et les décisions peuvent ainsi rester reliés au bon produit et à la bonne version.
Lorsqu'une information importante change, VAST aide à identifier ce qui peut mériter une nouvelle revue. L'automatisation sert à détecter et à préparer ; la décision de risque reste traçable et sous responsabilité humaine.
à intégrer
Une plateforme commune, plusieurs niveaux de lecture.
Les vues VAST permettent de passer du portefeuille au Project, du Project à l'Asset, puis de l'Asset à l'information détaillée. Un manager peut voir les sujets prioritaires, une équipe Product Security peut suivre les vulnérabilités et dépendances partagées, et un Asset Manager peut contrôler la connaissance technique de son produit.
Les indicateurs doivent toujours pouvoir conduire vers leur source. VAST privilégie donc la visibilité et le drill-down plutôt qu'un score global impossible à expliquer.
à intégrer
Produire des preuves à partir de la connaissance déjà maintenue.
Les rapports VAST s'appuient sur les Assets, versions, analyses, vulnérabilités, décisions et traitements déjà présents dans la plateforme. L'équipe ne doit pas réassembler manuellement une histoire du produit à chaque demande client, audit ou jalon réglementaire.
Les rapports peuvent rester reliés à leur contexte de génération afin de savoir sur quel produit et quelle version ils reposent.
à intégrer
Partager ce qui est nécessaire sans exposer toute la connaissance interne.
Les informations cyber produit sont sensibles. VAST permet de préparer des vues ou documents adaptés au destinataire afin de transmettre ce qui est utile à un client, un intégrateur, un partenaire ou un auditeur sans ouvrir automatiquement tout le détail de l'Asset.
Share the ingredients, not the recipe.
à intégrer
SaaS lorsque la simplicité prime. On-Premises lorsque la maîtrise de l'environnement l'exige.
Les architectures produit, SBOM, informations de vulnérabilité et analyses de risque peuvent être très sensibles. VAST peut être utilisé en SaaS ou déployé On-Premises selon les contraintes de sécurité, de confidentialité, de souveraineté et d'intégration de l'organisation.
à intégrer