> For the complete documentation index, see [llms.txt](https://docs.dispel.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.dispel.com/documentation/documentation-fr/securiser-et-gouverner/overview/compliance-and-audit-readiness.md).
# Premiers pas
Préparation automatisée aux audits avec Dispel pour les contrôles NERC CIP, NIST 800-53 et NIS2.
## Premiers pas
Produire un package de conformité Dispel est un flux de travail en quatre étapes :
1. [**Sélectionnez**](#step-1-select-a-framework) les référentiels auxquels votre organisation se déclare conforme.
2. [**Évaluer**](#step-2-assess-dispels-coverage) la couverture de Dispel par rapport à la configuration actuelle de votre locataire.
3. [**Examiner**](#step-3-review-coverage-and-close-gaps) quels contrôles Dispel couvre, identifier les éventuelles lacunes de couverture et utiliser le simulateur pour planifier les changements de configuration qui les comblent.
4. [**Exporter**](#step-4-export-the-inheritance-package) la définition de composant OSCAL et le rapport PDF, puis les remettre à votre équipe GRC ou à votre auditeur.
***
#### Étape 1 : sélectionner un référentiel
La sélection d’un référentiel indique à Dispel quel vocabulaire de contrôle utiliser pour exprimer sa couverture. La plupart des organisations sélectionnent le référentiel utilisé par leur auditeur ou leur autorité compétente. Vous pouvez avoir plusieurs référentiels actifs en même temps — utile lorsque le même déploiement Dispel est audité selon plusieurs régimes réglementaires.
1. Dans la barre latérale gauche, accédez à **Paramètres**.
2. Ouvrez le **Conformité** onglet.
3. Cliquez sur **Ajouter un cadre**.
4. Sélectionnez un **catalogue** (par ex., *NIST SP 800-53 Rév. 5*).
5. Sélectionnez un **profil** ou **référence** (par ex., *Modéré*). Les profils réduisent un catalogue à l’ensemble des contrôles requis à un niveau d’impact donné.
6. Cliquez sur **Ajouter**.
Le référentiel apparaît immédiatement dans votre liste de référentiels actifs. Dispel commence à évaluer sa couverture en arrière-plan et le tableau de bord se remplit au fur et à mesure que les évaluations se terminent.
{% hint style="info" %}
L’ajout de plusieurs référentiels ne **pas** double le travail. Dispel produit un ensemble unique de preuves sur sa propre mise en œuvre et le réexprime à travers chaque référentiel actif. L’ajout de NIST CSF en plus de NIST 800-53 réutilise les mêmes preuves sous-jacentes.
{% endhint %}
**Supprimer un référentiel**
Pour supprimer un référentiel actif, cliquez sur l’icône de corbeille à côté dans la liste des référentiels actifs. La suppression d’un référentiel efface sa carte de score mais n’affecte aucun autre référentiel actif ni l’enregistrement de preuves sous-jacent. **Vous pouvez facilement rajouter des référentiels supprimés sans perdre votre historique.**
***
#### Étape 2 : évaluer la couverture de Dispel
**Évaluation automatisée**
Dispel est fourni avec une bibliothèque d’ **évaluateurs de contrôles** qui vérifient si Dispel — compte tenu de la configuration actuelle de votre locataire — met en œuvre chacun des contrôles du périmètre. Par exemple : `le MFA est-il imposé sur ce locataire`, `l’enregistrement des sessions est-il activé`, `la politique de mot de passe respecte-t-elle le seuil du référentiel`, et `des attestations fournisseurs sont-elles disponibles`. Chaque évaluateur est associé à un ou plusieurs contrôles dans chaque référentiel actif.
Pour lancer une évaluation :
1. Accédez à **Paramètres** > **Conformité**.
2. Ouvrez le référentiel que vous souhaitez évaluer.
3. Cliquez sur **Lancer l’évaluation**.
Les résultats de l’évaluation sont enregistrés avec un horodatage. Chaque contrôle reçoit l’un des statuts suivants, qui décrit la mise en œuvre de ce contrôle par Dispel sur votre locataire :
| Statut | Signification |
| ------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| **Mis en œuvre** | Dispel met entièrement en œuvre ce contrôle sur votre locataire. Vous pouvez l’hériter. |
| **Échec** | Dispel ne **pas** met actuellement en œuvre ce contrôle sur votre locataire — généralement parce qu’un paramètre Dispel doit être modifié. Vous ne pouvez pas l’hériter tel qu’il est configuré. |
| **Non évalué** | Aucun évaluateur automatisé n’a été exécuté pour ce contrôle, ou les évaluateurs ne sont pas encore terminés. |
| **Non applicable** | Le contrôle est hors du périmètre de Dispel (par ex., la sécurité physique de vos locaux) et l’héritage depuis Dispel ne s’applique pas. |
{% hint style="info" %}
Les évaluations sont non destructives et en lecture seule. Elles observent la configuration de Dispel ; elles ne modifient jamais votre locataire.
{% endhint %}
***
#### Étape 3 : examiner la couverture et combler les écarts
Le tableau de bord Conformité est votre espace de travail quotidien pour comprendre ce que Dispel couvre sur votre locataire et où la couverture peut être améliorée.
**Carte de score**
Chaque référentiel actif dispose d’une carte de score indiquant le pourcentage de contrôles du périmètre que Dispel met actuellement en œuvre sur votre locataire. Un crédit partiel est accordé lorsque seuls certains sous-contrôles ou certaines améliorations sont mis en œuvre. Survolez n’importe quel nombre pour voir la répartition sous-jacente.
**Diagramme en soleil**
La visualisation hiérarchique en soleil montre la couverture de Dispel en un coup d’œil : référentiel → famille de contrôles → contrôle individuel. Les contrôles mis en œuvre (héritables) s’affichent en vert ; les contrôles échoués (non héritables pour le moment) en rouge ; les contrôles non évalués en gris. Cliquez sur n’importe quel segment pour accéder à la page de détail du contrôle.
**Page de détail du contrôle**
La sélection d’un contrôle affiche :
* **Statut** — la mise en œuvre actuelle et historique de ce contrôle par Dispel sur ce locataire
* **Preuves** — les évaluateurs spécifiques qui ont contribué au statut, avec les horodatages et les valeurs sous-jacentes qu’ils ont observées
* **Narratif** — la déclaration de mise en œuvre de Dispel pour ce contrôle
* **Lignage** — tous les autres référentiels dont les contrôles correspondent à cette même preuve (ainsi une seule revendication d’héritage peut être exprimée dans plusieurs langages de référentiel)
* **Conseils de remédiation** — pour les contrôles échoués, une description du paramètre ou du changement de configuration Dispel qui rétablirait l’héritage
**Simulation de l’impact de la configuration**
Avant de modifier un paramètre Dispel sur votre locataire, utilisez le simulateur pour prévoir l’évolution de la couverture :
1. Depuis le tableau de bord, consultez **Impact estimé** sous **Recommandations**.
2. Repérez un ou plusieurs paramètres Dispel dans le panneau superposé (par ex., *Activer le MFA pour tous les utilisateurs*).
3. Comparez la carte de score projetée à votre carte de score actuelle.
Le simulateur ne modifie aucun paramètre réel. C’est uniquement un outil de planification pour ordonner les changements qui renforcent l’héritage Dispel.
{% hint style="info" %}
Utilisez le simulateur pour séquencer les changements de configuration dans l’ordre qui rétablit d’abord le plus de contrôles héritables.
{% endhint %}
***
#### Étape 4 : exporter le package d’héritage
**Définition de composant OSCAL**
La définition de composant OSCAL est l’artefact standardisé qui documente la contribution d’un composant unique au plan de sécurité système d’un client. Pour Dispel, ce composant est votre déploiement Dispel, et la définition de composant constitue l’enregistrement faisant autorité de ce que votre auditeur peut vous créditer au titre de l’héritage.
1. Ouvrez la page de détail du référentiel.
2. Cliquez sur **Exporter** > **Définition de composant OSCAL**.
3. Un fichier JSON est téléchargé, conforme à OSCAL 1.1.2.
L’export inclut :
* Le catalogue et le profil dans lesquels la revendication d’héritage est exprimée
* Le statut d’implémentation de chaque contrôle du périmètre du côté de Dispel (`mis en œuvre`, `partiel`, `non mis en œuvre`, `non applicable`)
* Le narratif de mise en œuvre de Dispel pour chaque contrôle
* Des liens vers les enregistrements de preuves sous-jacents
Ce fichier peut être importé dans les soumissions eMASS, Xacta, RegScale, FedRAMP et GovRAMP, ou dans tout outil qui accepte OSCAL — où il cohabite avec les définitions de composant de vos autres fournisseurs et le contenu de votre SSP interne.
**Rapport PDF exécutif**
Pour les parties prenantes internes et les lettres d’accompagnement d’audit :
1. Ouvrez la page de détail du référentiel.
2. Cliquez sur **Exporter** > **Rapport PDF**.
Le rapport contient :
* Un résumé exécutif indiquant quel pourcentage des contrôles du périmètre vous pouvez hériter de Dispel aujourd’hui
* Un tableau de score du référentiel
* Chaque contrôle que Dispel n’implémente pas actuellement sur votre locataire, avec le changement de configuration qui rétablirait l’héritage
* La liste des sources de preuve contribuant à l’évaluation
* L’horodatage de génération et l’identité de l’évaluateur
***
### Preuves continues et piste d’audit
Chaque exécution d’un évaluateur produit un **instantané de preuve** qui est stocké avec un horodatage. L’instantané enregistre ce que Dispel a observé au sujet de sa propre couverture à ce moment-là.
Les auditeurs qui doivent vérifier un moment précis peuvent :
1. Localiser l’enregistrement d’évaluation pour la date en question.
2. Approfondir l’instantané de preuve pour n’importe quel contrôle individuel.
3. Voir les valeurs exactes observées par l’évaluateur et l’horodatage de l’observation.
***
### Ce que Dispel couvre (et ne couvre pas)
Dispel couvre les contrôles de sécurité mis en œuvre à l’intérieur même de la plateforme Dispel — principalement les couches d’accès à distance, d’identité, de surveillance des sessions, de segmentation réseau et de connectivité OT. Les contrôles qui dépendent de la posture propre de Dispel en tant qu’entreprise (gestion des fournisseurs, chaîne d’approvisionnement, SDLC, contrôle du personnel) sont également couverts via les narratifs de mise en œuvre publiés par Dispel.
Dispel ne **pas** ne couvre pas les contrôles hors de son périmètre : sécurité physique dans vos installations, durcissement des terminaux sur les équipements que Dispel ne gère pas, développement applicatif dans vos systèmes métier, pratiques RH dans votre organisation, etc. Ces contrôles restent entièrement dans votre outil GRC d’entreprise.
Le tableau suivant résume les catégories de preuves produites par Dispel et les familles de contrôles des référentiels qu’elles soutiennent généralement. Ceci est indicatif ; la correspondance faisant autorité pour votre référentiel actif est affichée sur la page de détail de chaque contrôle.
| Catégorie de preuve | Familles représentatives du NIST 800-53 | Exigences représentatives du NERC CIP | Mesures représentatives de la NIS2 (règlement d’exécution 2024/2690) |
| ----------------------------------------------------------------- | --------------------------------------- | ------------------------------------- | -------------------------------------------------------------------- |
| Identité, MFA, cycle de vie des sessions | AC, IA | CIP-004, CIP-005, CIP-007 | Identité et contrôle d’accès ; authentification |
| Accès distant et segmentation | AC, SC | CIP-005, CIP-007 | Sécurité réseau ; politiques de contrôle d’accès |
| Enregistrement des sessions et analyses forensiques | AU | CIP-007, CIP-008 | Gestion des incidents ; journalisation et supervision |
| Configuration et historiques des changements | CM | CIP-010 | Gestion des actifs ; gestion des changements |
| Attestations des fournisseurs et de la chaîne d’approvisionnement | SR, PS | CIP-013 | Sécurité de la chaîne d’approvisionnement |
| Attestation et intégrité de la plateforme | SI, SC | CIP-007, CIP-010 | Gestion et divulgation des vulnérabilités ; cryptographie |
***
### Questions fréquentes
Le lancement d’une évaluation modifie-t-il quelque chose sur mon locataire ?
Non. Les évaluations sont en lecture seule. Elles observent l’état actuel de votre configuration Dispel et produisent des instantanés de preuve sur la couverture de Dispel. Elles ne modifient jamais les paramètres, les utilisateurs, les appareils ni les politiques.
À quelle fréquence dois-je lancer une évaluation ?
Pour la plupart des organisations, lancer une évaluation après tout changement de configuration significatif suffit. Certains auditeurs exigent des preuves d’évaluation périodique (par ex., mensuelle ou trimestrielle) — planifiez les évaluations selon le rythme exigé par votre programme d’audit. L’export OSCAL et le rapport PDF conservent l’horodatage de l’évaluation.
Puis-je utiliser Dispel comme mon système GRC complet ?
Non. Dispel est uniquement le système de référence pour les contrôles que Dispel met lui-même en œuvre — la couche d’héritage sous votre audit. Pour les contrôles hors du périmètre de Dispel (sécurité physique, processus RH, pratiques de développement logiciel, terminaux que Dispel ne gère pas, etc.), les preuves résident dans votre plateforme GRC d’entreprise. La définition de composant OSCAL de Dispel est conçue pour être ingérée dans cette plateforme comme un composant parmi d’autres.
Que signifie « Non évalué » pour un contrôle ?
Un contrôle s’affiche *Non évalué* lorsqu’aucun évaluateur automatisé ne l’a encore exécuté, ou lorsque les évaluateurs ne sont pas encore terminés. Cela se distingue de *Non applicable*, ce qui signifie que le contrôle est hors du périmètre de Dispel et ne fait pas partie de ce que vous pouvez hériter de Dispel.
Puis-je démontrer la conformité NIS2 avec Dispel ?
Pour la partie de la NIS2 couverte par Dispel, nous pensons que oui. Sélectionnez **NIS2** comme référentiel actif et Dispel produit une définition de composant exprimée par rapport aux mesures du règlement d’exécution de l’UE NIS2 (2024/2690), mise en correspondance avec NIST 800-53 selon le guide technique de mise en œuvre d’ENISA. Remettez-la à votre autorité compétente avec le reste de votre documentation NIS2 comme couche d’héritage pour vos contrôles d’accès à distance, d’identité, de surveillance des sessions et de connectivité OT.
ENISA n’a pas publié de catalogue OSCAL officiel pour NIS2. Le catalogue Dispel est rédigé directement à partir du texte juridique du règlement d’exécution. Si ENISA publie un catalogue officiel à l’avenir, Dispel l’adoptera.
Pourquoi certains contrôles affichent-ils « Non applicable » ?
Un contrôle est marqué *Non applicable* lorsqu’il est hors du périmètre de Dispel et n’est donc pas quelque chose que vous pouvez hériter de Dispel — par exemple, les contrôles régissant l’accès physique à vos locaux, les pratiques de recrutement dans votre organisation ou le développement logiciel sur vos applications internes. La décision N/A est enregistrée dans l’export OSCAL afin que votre auditeur puisse voir exactement quels contrôles ont été exclus de la revendication d’héritage Dispel et les vérifier par d’autres moyens.
Que deviennent mes données si je supprime un référentiel ?
Rien, c’est totalement sûr. Supprimer un référentiel efface sa carte de score et le retire du tableau de bord. Les instantanés de preuve sous-jacents et les narratifs de contrôle sont conservés et redeviennent disponibles si vous rajoutez le référentiel. Aucun historique d’évaluation n’est détruit.
L’export OSCAL inclut-il la configuration sensible du locataire ?
Non. La définition de composant contient le statut de mise en œuvre de Dispel, les narratifs et les pointeurs vers les preuves — pas les valeurs brutes de configuration, les identifiants, les adresses IP ni les données utilisateur de votre locataire. Elle peut être partagée sans risque avec des auditeurs et importée dans des plateformes GRC compatibles OSCAL.
La même preuve Dispel peut-elle prendre en charge plusieurs référentiels ?
Oui. C’est l’avantage central de l’architecture basée sur OSCAL. Une seule preuve Dispel (par ex., « le MFA est imposé sur ce locataire ») contribue simultanément à NIST 800-53 IA-2(1), NIST CSF PR.AA-03, NERC CIP-005-7 R2 et à tout autre contrôle qui se rattache au même évaluateur. La même revendication d’héritage peut être exprimée dans le langage de référentiel requis par chacun de vos audits.
Comment prouver une couverture Dispel continue pendant une fenêtre d’audit ?
Lancez une évaluation au début de votre période d’audit et une autre à la fin, et appuyez-vous sur les instantanés de preuve sous-jacents entre les deux. Chaque instantané est horodaté, ce qui vous permet de montrer que votre revendication d’héritage de Dispel était valable chaque jour de la période d’audit — et pas seulement le jour où l’évaluation a été générée.
Puis-je ajouter mon propre cadre de contrôle interne ?
L’ingestion de catalogues personnalisés est prévue sur la feuille de route. Aujourd’hui, les cadres internes sont généralement représentés en sélectionnant le niveau de référence publié le plus proche (par ex., NIST 800-53 Modéré) — Dispel produira ses preuves d’héritage dans ce vocabulaire, que votre équipe GRC pourra ensuite remapper vers le cadre interne dans votre plateforme GRC d’entreprise.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.dispel.com/documentation/documentation-fr/securiser-et-gouverner/overview/compliance-and-audit-readiness.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.