Gestion des preuves

Toute évaluation PCI DSS repose sur des preuves : configurations de pare-feu, documents de politique, captures d’écran de contrôle d’accès, rapports de scan et plus encore. Kliper fournit un pipeline structuré de gestion des preuves qui gère le téléversement des fichiers, l’analyse antimalware, le hachage d’intégrité, la validation propulsée par l’IA et l’étiquetage des documents dans un flux unique.

Téléverser des fichiers de preuve

Les preuves se trouvent dans l’onglet Preuves de l’éditeur d’évaluation. Ouvrez une évaluation, sélectionnez une section, puis choisissez Joindre un fichier dans le menu à engrenage à gauche de la barre d’outils de l’éditeur, ou Ouvrir la page complète dans l’onglet Preuves du panneau de droite. L’entrée Preuves du menu latéral de l’évaluation ouvre le même onglet. L’en-tête indique la section où vous vous trouvez et le nombre de fichiers de l’évaluation. Tous les fichiers ouvre la bibliothèque complète des fichiers de l’évaluation, et la bascule Fichiers / Couverture passe du tableau à la vue de couverture.

Types de fichiers acceptés

Les exécutables, scripts et autres types de fichiers potentiellement dangereux sont bloqués au téléversement. Voir Sécurité et confiance dans l’IA pour la liste complète des blocages.

PDF numérisés

Un PDF contient du texte de deux façons. La plupart sont textuels : les mots sont stockés sous forme de texte et peuvent être lus directement. Un PDF numérisé est la photographie d’une page ; pour un ordinateur, c’est une image, sans aucun texte à l’intérieur.

Kliper détecte de quel type il s’agit. Lorsqu’un PDF n’a pas de couche de texte, il le signale au lieu d’annoncer un téléversement réussi avec une analyse vide. Cela compte pour des preuves comme une politique signée qui a été imprimée, signée puis renumérisée : Cortex n’a réellement rien à lire, et le savoir est plus utile qu’un résumé vide à interpréter soi-même.

Si vous rencontrez ce cas, passez le fichier par un OCR (la plupart des scanners et outils PDF proposent « rendre consultable » ou « reconnaître le texte ») et téléversez le résultat. Kliper n’effectue pas d’OCR lui-même.

Le tableau des pièces jointes

Chaque fichier de la section apparaît comme une ligne. Cliquez sur une ligne pour ouvrir le volet du fichier ; cochez la case à sa gauche pour le sélectionner en vue d’une action groupée.

Au-dessus du tableau, les onglets Tous / En attente / Ouverte / Clôturées filtrent les lignes par groupe de statuts, chacun avec son compteur, et le champ de recherche les restreint par nom de fichier. La ligne sous le tableau indique combien de fichiers de la section sont affichés.

Qui l’a fourni. Une soumission du client via le portail indique Du client · 12.1.1, avec l’exigence pour laquelle elle a été demandée. Un téléversement de l’équipe indique Ajouté par suivi du prénom de la personne qui l’a téléversé et de la section pour laquelle il a été téléversé (Ajouté par Sara · Requirement 12, Ajouté par Sara · Contact Information), si bien qu’un fichier classé sous la mauvaise section se repère d’un coup d’œil. Un fichier téléversé sans lien de section n’affiche que la personne qui l’a téléversé jusqu’à ce qu’un membre de l’équipe le lie à une section ; le bouton Lier de Cortex ne change pas cette mention.

Statut de l’analyse antimalware

La puce Scan porte le verdict du pipeline de sécurité par lequel le fichier est passé :

Un fichier téléversé dans l’application est vérifié en parallèle par ClamAV (antivirus local) et une recherche de hachage VirusTotal (plus de 70 moteurs antivirus), après des contrôles statiques de son type, de son extension et de son contenu. Si un scanner est indisponible, le fichier reste Non scanné au lieu d’être validé. Un fichier que le client téléverse via le portail est analysé par ClamAV, et son verdict parvient à la copie du fichier dans l’évaluation : à l’acceptation, ou dès la fin de l’analyse si elle est encore en cours à ce moment-là.

Statut de validation de la preuve

Chaque fichier possède un statut de validation qui suit la revue du fichier par l’évaluateur. La liste déroulante se trouve dans la colonne Statut et en haut du volet ; un changement est enregistré immédiatement.

Les onglets En attente / Ouverte / Clôturées au-dessus du tableau regroupent les lignes selon ces statuts. Valider un fichier par rapport aux critères d’une exigence depuis le volet fixe son statut d’après le résultat : Acceptée lorsque chaque critère est rempli, Améliorations lorsque la moitié au moins le sont, Non fourni sinon ; voir Validation des critères.

Le volet du fichier

Cliquez sur une ligne et le volet du fichier glisse depuis la droite. Il réunit tout ce qui concerne un fichier :

Aperçu et Télécharger sont désactivés pour un fichier en quarantaine et pour un fichier absent du stockage, et absents pour un fichier analysé sans être stocké. Un fichier que Cortex n’a pas encore analysé propose Lancer l’analyse, ou un avis de limite une fois épuisé le quota mensuel d’analyses Cortex de votre offre.

Étiquettes de document (doctags)

Les doctags sont des codes de référence standardisés qui classent les fichiers de preuve selon leur rôle dans l’évaluation PCI DSS. Ils associent les fichiers à des exigences documentaires précises du modèle de ROC (par ex. DOCFW pour la documentation pare-feu, PENTEST pour les rapports de tests d’intrusion).

Comment les doctags sont attribués

Les doctags s’attribuent dans le volet du fichier, dans la section Étiquettes. Cliquez sur la ligne du fichier dans le tableau des pièces jointes pour l’ouvrir.

• Les étiquettes suggérées sont les puces en pointillés, chacune avec le code de l’étiquette et la confiance de Cortex (par exemple DOCFW 92%). Cliquez sur l’une d’elles pour l’attribuer.
• Les étiquettes attribuées sont les puces pleines avec une coche. Cliquez sur l’une d’elles pour la retirer.
• Survolez une puce pour afficher la définition de l’étiquette.

La colonne Étiquettes du tableau liste les étiquettes attribuées à chaque fichier et, lorsque Cortex a des suggestions sur lesquelles vous n’avez pas agi, +N suggéré(s). Les suggestions de Cortex proviennent de son analyse du fichier : la section Étiquettes apparaît donc dès que Cortex a suggéré une étiquette, ou dès qu’une étiquette a été attribuée.

Une étiquette que Cortex n’a pas suggérée s’attribue depuis la bibliothèque de fichiers (Tous les fichiers dans l’en-tête de l’onglet Preuves) : sur un grand écran, chaque ligne de fichier y dispose d’un sélecteur d’étiquettes.

Doctags courants

Plus de 100 doctags sont disponibles, couvrant chaque catégorie documentaire définie dans le modèle de ROC PCI DSS v4.0.1.

Synchronisation automatique de la section 6.4

La section 6.4 du ROC, Preuves documentaires, est l’endroit où le modèle de ROC PCI liste chaque document examiné par l’évaluateur, une ligne par document. Kliper maintient ce tableau en phase avec vos fichiers étiquetés : dès que vous attribuez un doctag à un fichier, celui-ci obtient sa propre ligne en section 6.4.

Un fichier portant plusieurs étiquettes obtient une ligne sous chacune. Retirer une étiquette du fichier supprime la ligne que la synchronisation a créée sous cette étiquette. Tout le reste du tableau vous appartient :

• Les lignes que vous avez saisies ne sont jamais supprimées. Si une ligne que vous avez saisie sous cette référence nomme déjà le fichier, la synchronisation considère le fichier comme listé et n’ajoute rien ; retirer l’étiquette ne fait alors qu’ôter le nom du fichier du Nom du document de cette ligne.
• Vos modifications d’une ligne synchronisée sont conservées. La synchronisation ne remplit Finalité du document que tant qu’elle est vide, et ne touche jamais aux autres colonnes d’une ligne existante.
• Supprimer un fichier ne supprime pas sa ligne. Supprimez la ligne à la main, ou retirez l’étiquette avant de supprimer le fichier.

Tout ce qui lit le tableau (l’export du ROC, la Couverture des preuves et les brouillons de constat de Cortex) le lit ligne par ligne, si bien que chaque document porte sa propre finalité jusque dans le rapport. Les lignes saisies à la main, y compris celles qui listent plusieurs documents, sont lues comme avant.

Synchroniser depuis Fichiers

Un fichier étiqueté avant l’existence de cette synchronisation peut ne pas avoir encore de ligne. Pour lister d’un coup chaque fichier étiqueté, ouvrez 6.4 Preuves documentaires dans l’éditeur du ROC et cliquez sur Synchroniser depuis Fichiers dans l’en-tête du tableau (sur un téléphone, dans la barre au-dessus de la liste). Kliper parcourt chaque fichier de l’évaluation, liste chaque fichier étiqueté sous chacune de ses étiquettes et indique le résultat dans un toast : Synchronisé depuis les fichiers: 3 nouvellement listé(s), 12 déjà listé(s). Les fichiers déjà présents sur une ligne restent tels quels.

La même action remet en ordre l’ancienne disposition, dans laquelle la synchronisation empilait plusieurs documents sur une même ligne sous leur référence : chacune de ces lignes est scindée en une ligne par document. Le premier document conserve la finalité et la date de révision de la ligne ; chacun des autres prend comme finalité le résumé Cortex de son propre fichier, lorsque le fichier en a un.

Sur un ordinateur portable

Dans le tableau de la section 6.4, les lignes regroupées sous une même référence n’affichent la référence qu’une fois, dessinée par-dessus les documents listés sous elle, et la cellule de référence partagée s’éclaire avec celle de ses lignes que vous survolez. Un fichier nouvellement étiqueté est placé juste après la dernière ligne qui porte sa référence : il rejoint ainsi ses documents au lieu d’atterrir en bas du tableau. Une référence laissée vide n’est jamais fusionnée.

Ajouter une ligne, sous le tableau, ajoute une ligne à vous. L’icône de corbeille au bout d’une ligne la supprime, et le bouton Annuler du toast la fait revenir pendant huit secondes.

Le champ Numéro de référence

La cellule Numéro de référence est un sélecteur autant qu’un champ de texte. Dès que vous tapez, une liste s’ouvre avec le catalogue des étiquettes, chaque code avec sa description courte, suivi des références que cette évaluation utilise déjà sans qu’elles figurent au catalogue, marquées Utilisée dans cette évaluation. L’en-tête de la liste indique combien de références elle contient et, à mesure que vous tapez, combien correspondent. Les codes qui commencent par ce que vous avez tapé viennent en premier, puis ceux qui le contiennent. Utilisez les flèches et Entrée, ou cliquez sur un code, pour remplir la cellule ; Échap ferme la liste.

Un code hors catalogue reste saisissable. À moins qu’une autre ligne de l’évaluation ne l’utilise déjà, Absent du catalogue s’affiche dessous dès que plus rien dans la liste ne correspond, ou dès que vous quittez le champ, si bien qu’une coquille est repérée avant d’atteindre le rapport. Kliper n’ajoute pas le code au catalogue.

Sur un téléphone

La section 6.4 replie ses documents sous leur référence : une ligne par référence avec le code, sa description du catalogue lorsqu’elle en a une, et le nombre de documents. Touchez la référence pour déplier ses documents, puis un document pour le modifier. Dans l’éditeur de ligne, Numéro de référence est le même sélecteur, Nom du document tient sur une seule ligne, Finalité du document est une zone de texte et Date de révision du document est un sélecteur de date. Synchroniser depuis Fichiers et Ajouter se trouvent dans la barre au-dessus de la liste.

Couverture des preuves

L’onglet Preuves d’une évaluation a deux vues : Fichiers (le tableau des pièces jointes) et Couverture, une lentille de traçabilité sur la chaîne contrôle → étiquette → artefact.

Fonctionnement de la chaîne

1. Dans une réponse de procédure de test, citez l’étiquette de preuve sur laquelle vous vous êtes appuyé (tapez / pour ouvrir le menu des étiquettes, par ex. DOCFW pour la documentation pare-feu).
2. La section 6.4 résout chaque étiquette vers les artefacts réellement fournis.
3. La Couverture croise les deux et vous indique où la chaîne tient et où elle se rompt.

Par contrôle

Chaque contrôle ayant une constatation est classé :

Les contrôles sont regroupés par exigence (repliés par défaut) avec des puces de synthèse pour filtrer ; Sans preuve et Orphelin sont les listes du jour de revue. Chaque ligne renvoie directement à l’éditeur d’exigence.

Par étiquette

La lentille inverse : chaque étiquette citée avec le nombre de contrôles qui la citent et le nombre d’artefacts de la section 6.4 qui l’appuient. Les étiquettes orphelines sont triées en premier. Une étiquette enregistrée mais jamais citée apparaît comme Inutilisée : une preuve que quelqu’un a collectée et sur laquelle aucune réponse ne s’appuie.

Matrice

Une grille de citations contrôles × étiquettes : les lignes sont les contrôles, les colonnes les étiquettes citées, les cellules indiquent si une citation est appuyée ou orpheline. Les en-têtes d’étiquettes affichent leur définition au survol, et un interrupteur Lignes citées uniquement masque les contrôles sans citation.

Analyse Cortex AI

Cortex lit chaque fichier téléversé dans l’onglet Preuves, ainsi que chaque fichier que vous acceptez depuis le portail, et inscrit ce qu’il a trouvé dans le volet du fichier ; pour un fichier ajouté autrement, cliquez sur Lancer l’analyse dans ce volet. Cliquez sur la ligne du fichier pour l’ouvrir. Pendant que Cortex lit un fichier que vous avez téléversé ici, la ligne indique Analyse… et le volet le signale ; les sections ci-dessous apparaissent lorsqu’il a terminé.

Rapprochement avec les exigences

La section Exigences du volet liste ce à quoi le fichier est lié et ce que Cortex suggère, avec le nombre de chacun dans son en-tête.

• Une ligne liée affiche le nom de la section ou de l’exigence avec une coche verte. Les liens faits depuis la page de section, la barre d’actions groupées ou le portail s’affichent ici ; un lien créé à partir d’une suggestion propose aussi Annuler.
• Une ligne suggérée affiche l’exigence (Exig. 12.1.1 et son titre), une jauge de confiance avec son pourcentage (vert à partir de 80 %, ambre à partir de 50 %, gris en dessous) et la raison donnée par Cortex en une phrase.

Cliquez sur Lier pour citer le fichier pour cette exigence. La citation est la même que celle du menu de la ligne et de la barre d’actions groupées : le fichier reste à sa place dans la bibliothèque, les liens antérieurs sont conservés, la colonne Exigences du tableau affiche le nouveau lien, et l’outil Rédiger à partir des preuves le voit. Cliquez sur le × pour ignorer une suggestion avec laquelle vous n’êtes pas d’accord ; une suggestion ignorée quitte la liste et le compteur +N suggéré(s), et rien d’autre ne change.

Validation des critères

Kliper tient une liste de contrôle de ce que le modèle de ROC attend d’un document pour une exigence. La section Validation selon les critères du volet propose Valider N critères pour chaque exigence à laquelle renvoient les doctags attribués au fichier : attribuez donc d’abord l’étiquette.

Le résultat s’ouvre sous l’exigence : Tous les critères remplis en vert, ou N sur M remplis en ambre, puis une ligne par critère :

• Une coche : critère trouvé, avec un court extrait du document
• Une croix : critère non trouvé, avec une note sur ce qui manque

Le statut de validation du fichier suit le résultat : Acceptée lorsque chaque critère est rempli, Améliorations lorsque la moitié au moins le sont, Non fourni sinon. Revalider relance la vérification.

Ce que Cortex a lu

La section Ce que Cortex a lu contient la lecture du fichier par Cortex : un résumé de son contenu, pourquoi c’est important ici pour l’évaluation, et les constats clés numérotés. Son en-tête indique le modèle et la date de l’analyse ; Régénérer relance l’analyse.

Analyser sans conserver

Certains clients n’acceptent pas que leurs documents résident sur une plateforme tierce ; c’est une condition fréquente lorsque les preuves contiennent des schémas réseau, des procédures de gestion des clés ou des données personnelles. Pour ces engagements, Kliper peut lire un fichier une seule fois pour l’analyse et ne jamais le stocker.

Le paramètre est défini par client, si bien que les documents d’un client peuvent être traités ainsi tandis que le reste de votre portefeuille fonctionne normalement.

Ce qui change

Dans le tableau des pièces jointes, les fichiers traités ainsi portent la mention Analysé, non stocké, et l’action de téléchargement est indisponible.

Chaque téléversement analysé-non-stocké est consigné dans la piste d’audit, si bien que le dossier d’engagement montre ce qui a été examiné même si le document lui-même n’a pas été conservé.

Vérification de l’intégrité des fichiers

Chaque fichier est haché en SHA-256 au moment du téléversement. À tout moment après, vous pouvez vérifier que le fichier n’a pas été altéré dans le stockage.

Aperçu des métadonnées des fichiers

Kliper extrait les métadonnées de chaque fichier téléversé, si bien qu’un évaluateur dispose de contexte sans avoir à le télécharger :

La ligne de faits du volet, sous le nom du fichier, en est tirée : le type, le nombre de pages, de mots ou de lignes, la taille, et la date à laquelle le fichier a été ajouté par l’équipe (Ajouté) ou reçu du client (Reçu le).

Modes d’affichage et filtrage

L’onglet Preuves affiche les preuves de la section ouverte. Trois commandes restreignent ou élargissent la liste :

L’explorateur de dossiers par exigence des versions précédentes ne fait plus partie de cet onglet.

Opérations groupées

Cochez la case d’une ou plusieurs lignes (la case de l’en-tête sélectionne toutes les lignes visibles) et une barre apparaît en bas de l’écran :

• Définir le statut : applique un même statut de validation à chaque fichier sélectionné
• Lier à la section : cite chaque fichier sélectionné pour une section choisie dans la structure de l’évaluation
• Télécharger : télécharge chaque fichier sélectionné
• Effacer : vide la sélection

La sélection se réinitialise lorsque vous changez de section, d’onglet ou de recherche. Sur un téléphone, Sélectionner au-dessus de la liste transforme les lignes en cases à cocher, et la barre du bord inférieur propose le statut, le lien de section et Supprimer pour les fichiers sélectionnés.

Demandes de preuves par évaluation

Lorsque vous travaillez sur plusieurs évaluations, le panneau Demandes de preuves regroupe les demandes en sections repliables, une par évaluation. Vous pouvez ainsi vous concentrer sur un engagement à la fois sans perdre les autres de vue.

Chaque en-tête de section affiche :

• Nom de l’évaluation
• Nombre total de demandes : toutes les demandes de cette évaluation
• Badge Acceptées : nombre de demandes au statut accepté
• Badge Ouvertes : nombre de demandes encore en attente ou en cours

Cliquez sur l’en-tête de section pour la replier ou la déplier. Toutes les sections sont dépliées par défaut. Les compteurs des badges se mettent à jour immédiatement lorsque le statut d’une demande change.

Relire les preuves soumises

Lorsqu’un client téléverse une preuve en réponse à une demande, vous la relisez et enregistrez une décision. Ouvrez la demande et choisissez l’une des trois actions ; chacune affiche la conséquence avant confirmation, écrit dans le journal d’audit et (le cas échéant) notifie le client :

La ligne de demande dépliée affiche un pied de page selon le statut : par ex. Relire la preuve lorsqu’un élément attend une revue, Relire à nouveau sur une demande déjà acceptée ou dispensée, et Relancer le client tant qu’une demande est encore ouverte.

Relancer un client

Tant qu’une demande est encore ouverte (rien de soumis), cliquez sur Relancer le client pour envoyer un rappel par e-mail (titre de la demande, échéance et lien de connexion au portail) à chaque client invité (non révoqué) de l’évaluation.

Modèles de demandes de preuves

Kliper inclut 56 modèles prédéfinis de demandes de preuves PCI DSS couvrant les 12 exigences principales. Les modèles permettent aux évaluateurs de créer des demandes de preuves en quelques secondes au lieu de remplir des formulaires à partir de zéro.

Utiliser les modèles

Couverture des modèles

Télécharger et supprimer des fichiers

Télécharger

Ouvrez le menu Actions du fichier de la ligne (les trois points à sa droite) et choisissez Télécharger, ou cliquez sur Télécharger dans l’en-tête du volet. Pour en télécharger plusieurs, cochez leurs lignes et cliquez sur Télécharger dans la barre d’actions groupées.

Le volet désactive Télécharger pour un fichier en quarantaine et pour un fichier absent du stockage. Un fichier analysé sans être stocké ne peut pas être téléchargé du tout.

Supprimer

Ouvrez le menu Actions du fichier de la ligne, choisissez Supprimer et confirmez. Le fichier est retiré de l’évaluation immédiatement. Sur un téléphone, Sélectionner puis l’action Supprimer du bord inférieur retirent plusieurs fichiers à la fois, après une seule confirmation.