Skill GRC · module hérité à vérifier01
ISO 27001
didou92i/audit-gouvernance-ia · iso-27001
SMSI & risques
Structurer une analyse d’écart ISO 27001.
Aide à inventorier le périmètre, les risques, politiques, contrôles de l’annexe A et éléments attendus dans une déclaration d’applicabilité.
- Préparer une analyse d’écart et un registre de preuves.
- Relier risques, contrôles, responsables et actions.
Exemple territorialCadrer le SMSI d’un service mutualisé avant accompagnement par un auditeur qualifié.
Pour l’utiliserImporter le module ISO 27001 avec ses références et modèles dans un environnement compatible avec les skills.
Voir un exemple de demande+
Prépare une analyse d’écart ISO 27001 de ce périmètre fictif. Sépare preuves présentes, absentes et à confirmer.
Module hérité à vérifier. Il ne certifie pas le SMSI ; contrôlez l’édition de la norme, les preuves et l’analyse avec un professionnel compétent.
Voir le dépôt sur GitHub↗
Skill GRC · module hérité à vérifier02
SOC 2
didou92i/audit-gouvernance-ia · soc-2
Contrôles & assurance
Préparer les contrôles et preuves SOC 2.
Organise les critères de confiance, les contrôles, les preuves d’audit et les risques fournisseurs utiles à une préparation SOC 2.
- Cartographier contrôles et éléments probants.
- Préparer les questions liées aux prestataires.
Exemple territorialExaminer le dossier d’un éditeur américain qui présente un rapport SOC 2.
Pour l’utiliserImporter le module SOC 2 et fournir périmètre, services, contrôles et preuves autorisées.
Voir un exemple de demande+
Construis une matrice critères-contrôles-preuves pour ce service fictif et signale les lacunes.
Module hérité à vérifier. Il ne produit aucun rapport d’assurance et ne remplace pas l’auditeur indépendant ni les règles AICPA applicables.
Voir le dépôt sur GitHub↗
Skill GRC · module hérité à vérifier03
FedRAMP
didou92i/audit-gouvernance-ia · fedramp
Cloud public américain
Préparer un dossier FedRAMP.
Guide la préparation du SSP, du POA&M, des contrôles NIST SP 800-53 et du suivi continu pour un service cloud visant le marché fédéral américain.
- Évaluer la préparation documentaire.
- Suivre contrôles, écarts et remédiations.
Exemple d’usageAnalyser les preuves annoncées par un fournisseur cloud travaillant avec des agences américaines.
Pour l’utiliserImporter le module FedRAMP et préciser le niveau, le périmètre cloud et l’autorité visée.
Voir un exemple de demande+
Dresse la liste des livrables FedRAMP attendus pour ce service fictif et marque les inconnues.
Module hérité à vérifier. Référentiel américain spécialisé : confirmez le processus, les baselines et l’autorité compétente sur les sources officielles.
Voir le dépôt sur GitHub↗
Skill GRC · module hérité à vérifier04
NIST CSF
didou92i/audit-gouvernance-ia · nist-csf
Posture cyber
Construire profils et feuille de route cyber.
Aide à décrire profils actuel et cible, niveaux de maturité, écarts et actions à partir du Cybersecurity Framework du NIST.
- Évaluer une posture par fonctions et catégories.
- Prioriser une feuille de route justifiée.
Exemple territorialPréparer un diagnostic cyber initial d’une petite collectivité et ses priorités.
Pour l’utiliserImporter le module NIST CSF et fournir actifs, risques, pratiques et preuves disponibles.
Voir un exemple de demande+
Établis un profil actuel et cible NIST CSF pour ce cas fictif, avec écarts, preuves et priorités.
Module hérité à vérifier. Ce diagnostic indicatif ne démontre ni sécurité effective ni conformité ; validez version, périmètre et preuves.
Voir le dépôt sur GitHub↗
Skill GRC · module hérité à vérifier05
CMMC 2.0
didou92i/audit-gouvernance-ia · cmmc-2
Défense américaine
Préparer une évaluation CMMC 2.0.
Structure niveaux, protection des informations CUI, SSP, POA&M, score SPRS et préparation à une évaluation C3PAO.
- Qualifier le niveau et les pratiques attendues.
- Organiser preuves et plan de remédiation.
Exemple d’usageExaminer le dossier d’un sous-traitant intervenant dans une chaîne de défense américaine.
Pour l’utiliserImporter le module CMMC 2.0 et préciser contrats, flux CUI et environnement concerné.
Voir un exemple de demande+
À partir de ce cas fictif, qualifie le niveau CMMC potentiel et liste les preuves manquantes.
Module hérité à vérifier. Il ne remplace ni l’interprétation contractuelle ni une évaluation C3PAO ; vérifiez les règles américaines en vigueur.
Voir le dépôt sur GitHub↗
Skill GRC · module hérité à vérifier06
SWIFT CSP
didou92i/audit-gouvernance-ia · swift-csp
Paiements & contrôles
Préparer la revue des contrôles SWIFT.
Aide à examiner architecture, contrôles CSCF, attestation, MFA, journalisation et réponse aux incidents d’un environnement SWIFT.
- Cartographier architecture et contrôles obligatoires.
- Préparer preuves et écarts d’attestation.
Exemple d’usageAnalyser les garanties d’un prestataire financier utilisant le réseau SWIFT.
Pour l’utiliserImporter le module SWIFT CSP et fournir architecture, rôle, version CSCF et preuves autorisées.
Voir un exemple de demande+
Prépare une matrice des contrôles SWIFT CSP applicables à ce périmètre fictif.
Module hérité à vérifier. Le cadre change régulièrement et l’attestation obéit à des règles propres ; contrôlez la version officielle et les preuves.
Voir le dépôt sur GitHub↗
Skill GRC · module hérité à vérifier07
ISM Australie
didou92i/audit-gouvernance-ia · ism-australia
Administration australienne
Préparer une revue selon l’ISM.
Organise les contrôles de l’Information Security Manual australien, l’autorisation, les preuves et les éléments liés à une évaluation IRAP.
- Associer contrôles, systèmes et propriétaires.
- Préparer la documentation d’autorisation.
Exemple d’usageExaminer un service proposé à une administration australienne.
Pour l’utiliserImporter le module ISM et préciser la juridiction, la classification et le périmètre système.
Voir un exemple de demande+
Classe les contrôles ISM à examiner pour ce système fictif et liste les preuves attendues.
Module hérité à vérifier. Référentiel australien évolutif ; l’analyse ne vaut ni autorisation ni rapport IRAP.
Voir le dépôt sur GitHub↗
Skill GRC · module hérité à vérifier08
CIS Controls v8
didou92i/audit-gouvernance-ia · cis-controls-v8
Hygiène cyber
Prioriser les safeguards CIS.
Aide à choisir un groupe d’implémentation, examiner les safeguards et organiser les chantiers d’inventaire, configuration, accès, vulnérabilités et logs.
- Établir une base de contrôles priorisés.
- Suivre preuves, responsables et échéances.
Exemple territorialConstruire une feuille de route d’hygiène cyber adaptée à une commune de taille moyenne.
Pour l’utiliserImporter le module CIS Controls v8 et fournir l’inventaire, les risques et les pratiques actuelles.
Voir un exemple de demande+
Propose un ordre de revue des safeguards CIS pour ce contexte fictif et justifie les priorités.
Module hérité à vérifier. Une checklist ne prouve pas l’efficacité technique ; validez version, périmètre, tests et risques résiduels.
Voir le dépôt sur GitHub↗
Skill GRC · module hérité à vérifier09
NIST SP 800-53
didou92i/audit-gouvernance-ia · nist-800-53
Catalogue de contrôles
Adapter une baseline de contrôles NIST.
Structure familles, baselines, tailoring, SSP, POA&M, cycle RMF et formats OSCAL pour préparer une analyse de contrôles.
- Sélectionner et justifier une baseline.
- Relier contrôles, implémentation et preuves.
Exemple d’usageComparer les contrôles annoncés par un prestataire soumis à des exigences américaines.
Pour l’utiliserImporter le module NIST SP 800-53 et préciser baseline, système, menaces et exigences.
Voir un exemple de demande+
Prépare une matrice de tailoring NIST 800-53 pour ce système fictif avec chaque justification.
Module hérité à vérifier. Il ne réalise pas l’autorisation du système ; contrôlez révision, overlays, paramètres et exigences contractuelles.
Voir le dépôt sur GitHub↗
Skill GRC · module hérité à vérifier10
NZISM
didou92i/audit-gouvernance-ia · nzism
Administration néo-zélandaise
Préparer une revue de sécurité NZISM.
Aide à organiser les contrôles, l’accréditation, les risques et preuves attendus pour des systèmes gouvernementaux néo-zélandais.
- Identifier les contrôles pertinents.
- Préparer écarts et dossier d’accréditation.
Exemple d’usageExaminer un service numérique destiné à une agence néo-zélandaise.
Pour l’utiliserImporter le module NZISM et préciser classification, organisme, système et version du manuel.
Voir un exemple de demande+
Dresse les contrôles NZISM à confirmer pour ce cas fictif et les preuves associées.
Module hérité à vérifier. L’analyse ne vaut pas accréditation ; vérifiez le manuel courant et les exigences de l’autorité concernée.
Voir le dépôt sur GitHub↗
Skill GRC · module hérité à vérifier11
TISAX
didou92i/audit-gouvernance-ia · tisax
Automobile & fournisseurs
Préparer l’évaluation TISAX.
Organise VDA ISA, niveaux d’évaluation, labels, maturité, périmètre ENX et correspondances ISO 27001 pour la chaîne automobile.
- Qualifier périmètre et objectifs d’évaluation.
- Préparer preuves et plan de progrès.
Exemple d’usageExaminer la préparation d’un fournisseur numérique du secteur automobile.
Pour l’utiliserImporter le module TISAX et préciser sites, partenaires, labels visés et version VDA ISA.
Voir un exemple de demande+
Prépare une grille de maturité TISAX pour ce fournisseur fictif et liste les preuves manquantes.
Module hérité à vérifier. Seuls les acteurs et évaluateurs habilités déterminent le résultat ; vérifiez règles ENX, portée et version.
Voir le dépôt sur GitHub↗