Une preuve utile doit répondre à trois questions :
quel produit, quelle version, quelle décision ?
Un rapport isolé peut devenir obsolète très vite. Pour rester utile, il doit pouvoir être replacé dans le contexte qui l'a produit : l'Asset concerné, sa version, les vulnérabilités ou risques examinés, les décisions prises et la date à laquelle cet état était valable. VAST génère des vues et rapports à partir des informations structurées dans la plateforme et conserve le lien avec leur contexte.
Une vue du produit pour ceux qui ont besoin de comprendre son état, pas toute son histoire interne.
Un Product Cybersecurity Status peut rassembler l'identité et la version de l'Asset, les principaux éléments de composition, les vulnérabilités ouvertes, les décisions importantes, les risques majeurs et les actions en cours.
Cette vue sert de point d'entrée pour une revue produit, une décision de livraison ou une discussion avec le management. Elle ne remplace pas le détail disponible dans VAST : elle permet de comprendre rapidement la situation, puis de revenir aux éléments qui l'expliquent.
à intégrer
Expliquer pourquoi une vulnérabilité est importante — ou pourquoi elle ne l'est pas pour ce produit.
Un rapport de vulnérabilité ne devrait pas se limiter à une liste de CVE. VAST permet de restituer les vulnérabilités liées à un Asset, leur statut d'investigation, les décisions VEX, les traitements et les justifications associées.
Cette approche est particulièrement utile lorsqu'un client demande pourquoi un produit n'est pas affecté, lorsqu'un audit cherche la trace d'une décision ou lorsqu'une nouvelle version impose de réexaminer une conclusion précédente.
à intégrer
Le niveau de risque est une conclusion. Le rapport doit montrer le raisonnement qui permet de la défendre.
VAST peut produire une vue de l'analyse de risque qui rassemble le contexte, les événements redoutés, les scénarios étudiés, les évaluations, les décisions, les plans de traitement et le risque résiduel. L'historique permet également de comprendre comment l'analyse a évolué entre deux versions ou deux revues.
Ce type de rapport sert autant à l'équipe d'analyse qu'au management : l'une retrouve les détails nécessaires pour poursuivre le travail, l'autre comprend pourquoi une priorité ou une décision a été retenue.
à intégrer
Consolider sans perdre la capacité d'expliquer.
À l'échelle d'un portefeuille, VAST peut présenter les risques les plus élevés, les vulnérabilités qui nécessitent une action, les traitements en retard, les analyses à revoir ou les produits qui demandent une attention particulière.
La valeur vient du drill-down : un indicateur de synthèse peut être relié aux Assets et aux décisions qui le composent. Le management obtient une vue globale, mais l'équipe conserve la possibilité de justifier chaque élément lorsque la discussion devient plus précise.
à intégrer
Donner la visibilité nécessaire, sans ouvrir toute votre architecture interne.
Un client, un intégrateur ou un auditeur peut avoir besoin de comprendre la posture cyber d'un produit sans recevoir l'ensemble du Threat Model, de l'architecture ou des données internes. VAST permet de préparer une vue adaptée au besoin, avec le niveau de détail approprié.
Share the ingredients, not the recipe. Ce principe doit rester visible : la confiance se construit avec des informations utiles, cohérentes et traçables, pas avec une exposition indiscriminée de la propriété intellectuelle.
à intégrer
Vos preuves, toujours prêtes.
Une preuve est beaucoup plus facile à produire lorsque l'information a été maintenue pendant tout le cycle de vie.