CISO Assistant V4 : ce qui change, et pourquoi nous y versons nos preuves

Nous avons assisté, ce 17 septembre, à la présentation de la V4 de CISO Assistant, la plateforme de gouvernance, risques et conformité open source éditée par Intuitem. Quatre blocs nouveaux, des workflows, des formulaires rapides, une modélisation des menaces par techniques d’attaque et des postures techniques, et un renforcement de tout l’existant. Nous en parlons pour deux raisons : nous l’utilisons, et c’est dans cette plateforme que Humanix Académie dépose les preuves de la gestion du risque humain de nos clients.

Voici ce que nous avons retenu, recoupé avec le dépôt public du projet, puis ce que cela change concrètement pour une organisation qui veut tenir sa conformité sans y consacrer une personne à temps plein.

Repères, pour qui découvre l’outil

CISO Assistant se présente comme un guichet unique de GRC : gestion des risques, conformité et audit, tiers, analyses d’impact, protection des données et reporting, avec plus de 200 référentiels chargés et cartographiés entre eux, ISO 27001, NIS2, DORA, RGPD, CIS, NIST et bien d’autres. L’édition communautaire est sous licence AGPL v3, une édition Pro existe pour les fonctions d’entreprise. Le dépôt approche les 4 400 étoiles sur GitHub, avec deux à trois versions publiées par semaine, et un principe affiché depuis le début : un outil construit par des praticiens pour des praticiens, sur un socle commun qui favorise le réemploi plutôt que la duplication.

C’est un éditeur français, et une communauté francophone servie en premier : la présentation en français a exceptionnellement précédé la session anglaise.

Workflows : déléguer les tâches périodiques à faible valeur

C’est le bloc qui change le plus la nature de l’outil. Jusqu’ici, une plateforme GRC enregistrait. Elle peut désormais agir : envoyer un courriel hebdomadaire, récupérer le retard de remédiation, repérer les validations en attente, relancer, collecter des preuves, appeler une API ou réagir à un événement de la plateforme.

• Une bibliothèque de modèles, avec un aperçu du comportement avant instanciation dans un domaine. On explore sans rien créer.
• Un moteur en YAML. Les définitions sont lisibles, versionnables, et un assistant d’IA peut en générer une à partir des exemples et d’une description du besoin.
• De l’automatisation décisionnelle. Le moteur peut analyser les réponses d’un formulaire, soutenir une validation et déclencher des actions selon la décision.

La démonstration suivait une demande de dérogation : à l’acceptation, le workflow reprend la décision et les réponses, puis crée l’objet de dérogation sans nouvelle saisie. Le même principe peut monter la structure complète d’un projet. L’équipe attend aussi des workflows proposés par la communauté, avec un cycle de revue.

Formulaires rapides : un point d’entrée pour les demandes

Les objets existants couvraient mal la collecte initiale : une demande de dérogation, un nouveau projet, un fournisseur à évaluer. Les formulaires rapides ajoutent un éditeur proche d’un formulaire en ligne classique, avec champs obligatoires, logique conditionnelle, pièces jointes, et un portail interne ou externe qui n’expose aux collaborateurs que quelques tuiles, pas tous les menus de l’application.

Après soumission, la demande entre dans une file de gouvernance où les personnes autorisées prennent le ticket, échangent avec le demandeur et réclament des corrections. Formulaire, file et workflow forment un parcours continu. Les analyses d’impact sur la vie privée en étaient une motivation : un chantier PIA est annoncé avant la fin 2026, avec l’import du JSON produit par l’outil de la CNIL.

Modélisation des menaces : des scénarios qu’on ne redessine plus

La V4 introduit de véritables modèles de menaces dans l’analyse de risques, à partir des catalogues de techniques les plus demandés : ATT&CK, ATLAS, ATT&CK for ICS pour l’industriel et une variante mobile. L’affichage reprend l’esprit des vues MITRE, on construit un chemin d’attaque et on raconte ses phases.

La différence avec un simple dessin : chaque bloc se relie à des actifs, des mesures et d’autres objets de la plateforme, les modèles s’attachent aux scénarios de risque pour étayer leur probabilité, et un même modèle sert à plusieurs scénarios par pointeur, sans duplication. D3FEND est déjà pris en charge comme catalogue de mesures de remédiation. STRIDE et Threat Dragon sont à l’étude, l’objectif étant de laisser chacun travailler avec sa méthode.

Pour ceux qui ont lu notre compte-rendu sur la stratégie de détection autour de MITRE ATT&CK, c’est le chaînon manquant : le même langage de menaces, côté gouvernance cette fois.

Postures techniques : des contrôles réussite ou échec sur des scans

Les référentiels traditionnels couvrent surtout la conformité organisationnelle. Les postures techniques ajoutent des contrôles réussite/échec alimentés par des résultats de scans : les CIS Controls pour une posture globale, les CIS Benchmarks pour le durcissement. La plateforme accepte plusieurs scanners, des fichiers CSV et désormais le format OCSF, identifie les tests en échec, croise un contrôle avec plusieurs actifs, et conserve l’historique pour montrer la progression ou la régression.

Le point de conception qui compte : les postures techniques reposent sur le même socle que les autres référentiels. Un référentiel se décline en posture technique ou organisationnelle selon le besoin. On remplace le dépôt d’un gros fichier de scan par des données structurées et suivies dans le temps.

Et tout le reste, en plus court

• MCP. Une image Docker avec transport HTTP relie désormais la plateforme à ChatGPT et Copilot Studio, en plus des environnements locaux. La gestion du contexte a été compressée pour obtenir de bons résultats hors ligne avec des modèles de 8 milliards de paramètres, via une passerelle locale. Nous avions détaillé l’enjeu de ces petits modèles dans notre article sur les serveurs MCP : le voilà appliqué à la GRC.
• Reporting. Un moteur PDF unifié, fondé sur du texte, remplace le moteur HTML. Apparence cohérente, nouveaux documents dont une attestation imprimable pour les tiers, et un futur moteur de modèles sur la même syntaxe.
• Tiers et fonctions historiques. Campagnes, relances et expirations en moins d’étapes, engagements formels pris en charge, filtres pour repérer les exigences sans preuve, et une règle simple : quand une opération pouvait passer de quatre clics à deux, elle a été raccourcie.
• Performances. Certains clients conservent plusieurs millions d’enregistrements. L’équipe assume qu’une version mineure puisse perdre un peu de vitesse, et corrige le recul dans la suivante.
• Tableaux de bord. Métrologie native avec indicateurs personnalisés, tableaux par public, un connecteur Power BI natif publié cet été, et l’API pour ceux qui préfèrent calculer chez eux.
• Navigation. Un mode Focus par domaine en édition Pro, et des feature flags dans l’édition communautaire pour n’activer que les modules utiles. Le conseil de démarrage est le bon : fiabiliser un petit périmètre, migrer l’existant depuis Excel, puis ajouter au fil des cas d’usage.
• Gestion de crise. Un socle documentaire et une main courante d’incident existent déjà ; une extension plus large est en réflexion, et la communauté est invitée à dire ce qui manque.

Chantiers annoncés jusqu’à fin 2026 : extension des méthodes de modélisation, modèles PDF, PIA, performances, notifications, et un mode distribué pour les MSSP.

Ce que ça change pour Humanix Académie

Voici le lien avec notre travail. Humanix Académie est notre plateforme de sensibilisation continue : cinq minutes par semaine, des scénarios plutôt que du jargon, et un tableau de bord d’administration qui produit des preuves exportables de la couverture et de la progression des équipes. Elle est elle aussi open source, sous AGPL, et hébergée en France.

Or une preuve de sensibilisation n’a de valeur que là où l’auditeur la cherche : rattachée au contrôle qu’elle couvre, datée, et rejouable. C’est exactement ce que nous avons construit. Les passerelles sont en place pour verser dans CISO Assistant les preuves de la gestion du risque humain, taux de couverture, progression, résultats de campagnes, en face des exigences concernées, qu’il s’agisse du contrôle de sensibilisation de l’ISO 27001, des obligations de formation de NIS2 ou d’un référentiel interne.

Ce que la V4 apporte à ce dispositif est précisément son point fort : les workflows savent collecter des preuves de manière périodique et les rattacher sans saisie, les filtres sur les exigences sans preuve rendent visible tout trou de couverture, et l’historique permet de montrer une trajectoire plutôt qu’un instantané. Le risque humain devient un contrôle suivi comme les autres, avec ses preuves, ses échéances et ses relances, au lieu d’une attestation annuelle rangée dans un dossier.

Ce qu’on en retient chez Humanix

• La GRC cesse d’être un registre pour devenir un moteur. Workflows, formulaires et files de traitement transforment la conformité en processus outillé. C’est la condition pour qu’une PME la tienne sans recruter.
• La preuve est la monnaie de la conformité, et une preuve qui vit dans un tableur ou une boîte mail n’en est pas une. Rattacher, dater, historiser : c’est ce que nous faisons pour le risque humain, et c’est ce que la V4 rend plus simple.
• Commencez petit. L’éditeur lui-même le conseille : un périmètre fiable, une migration depuis Excel, puis des modules au fil des besoins. Les feature flags existent pour ça.
• Open source et français, avec une communauté active et une cadence de deux à trois versions par semaine. Pour une organisation attentive à la maîtrise de ses données de gouvernance, ce sont des critères qui pèsent.
• Et notre méthode ne change pas. Un outil ne remplace ni la compréhension des exigences ni la mise en situation. Il rend les décisions traçables et les preuves consultables, ce qui est déjà beaucoup. Notre accompagnement en gouvernance commence toujours par expliquer le pourquoi. La preuve avant le verdict.

Note et sources. Cet article s’appuie sur la présentation de version suivie par nos soins et sur le dépôt public du projet, où nous avons vérifié la licence, le nombre de référentiels et le rythme de publication. Précision utile : la version 4.0.0 publiée le 5 septembre 2026 portait d’abord la stabilisation de l’existant, les blocs décrits ici sont arrivés dans les versions 4.0.x qui l’ont suivie ; nous parlons donc de la V4 comme d’une génération. Humanix utilise CISO Assistant et y intègre Humanix Académie : nous le disons pour que vous lisiez cet article en connaissance de cause. Une démarche de conformité à outiller, ou des preuves de sensibilisation à rendre auditables ? Contactez-nous.