Question 1

Comment mon score de conformité est-il calculé ?

Accepted Answer

Contrôle par contrôle. Pour chacun, nous retenons la maturité la plus faible entre ce que vous avez conçu et ce que vous avez réellement mis en œuvre : une politique parfaite appliquée à moitié vaut la moitié. Puis, si un constat technique dément une déclaration, le contrôle est plafonné à 40 sur 100.

Question 2

Pourquoi vois-je quatre scores différents ?

Accepted Answer

Parce qu'ils ne mesurent pas la même chose. Ce que vous déclarez, ce que la surveillance interne constate, ce qu'un observateur voit depuis Internet, et le score de conformité qui confronte les trois. Ils ne s'additionnent pas et ne se soustraient pas : chacun porte sur un ensemble de contrôles différent, et chacun s'affiche avec la phrase qui dit ce qu'il mesure.

Question 3

Est-ce que déclarer un niveau bas va me pénaliser ?

Accepted Answer

Non. Ce que nous regardons est l'écart entre ce que vous déclarez et ce que la vérification confirme, pas le niveau absolu. Une déclaration honnête et modeste vaut mieux qu'une déclaration flatteuse qu'un constat technique viendra démentir : celle-ci plafonne le contrôle à 40. Et un contrôle laissé sans réponse ne compte pas pour zéro : il est inconnu, et apparaît comme tel en couverture.

Question 4

Qui, dans mon équipe, peut faire quoi ?

Accepted Answer

Quatre rôles : lecteur, membre, administrateur, propriétaire. Le détail exact est publié dans le manuel, et il est généré depuis la table que le contrôle d'accès applique à chaque requête, donc il est toujours exact. Nous ne le recopions pas ici pour cette raison.

Question 5

Puis-je donner accès à mon prestataire informatique ?

Accepted Answer

Oui, par un mandat. Il garde son propre compte, ce qu'il fait chez vous porte son nom dans le journal, et le mandat porte une échéance à laquelle l'accès cesse, pas quand quelqu'un pense à le retirer. Il voit l'administratif et votre score, mais pas le détail de votre conformité : ni vos réponses, ni vos preuves, ni vos écarts.

Question 6

Un prestataire peut-il résilier mon abonnement ?

Accepted Answer

Non, jamais. Souscrire, modifier ou résilier est le seul droit réservé au propriétaire du compte. Un mandataire, même administrateur, ne peut pas y toucher : c'est précisément ce qui protège votre abonnement d'une relation qui se termine mal.

Question 7

Pourquoi dois-je prouver que je possède mon domaine avant de le faire analyser ?

Accepted Answer

Parce que le rapport entre dans votre posture. Si vous pouviez faire analyser le domaine d'un tiers, son exposition compterait comme la vôtre : votre score serait faux, et le sien aussi. La preuve se fait par un enregistrement DNS, en quelques minutes, et couvre aussi vos sous-domaines.

Question 8

Quelle différence entre Sentinel OSINT et Sentinel Monitoring ?

Accepted Answer

Sentinel OSINT observe votre exposition depuis Internet : c'est public, gratuit, sans installation ni compte. Sentinel Monitoring observe votre réseau depuis l'intérieur, par une sonde installée chez vous ; c'est un service payant. Le premier voit ce qu'un attaquant voit de dehors, le second ce qui se passe dedans.

Question 9

La sonde peut-elle casser quelque chose sur mon réseau ?

Accepted Answer

Non. Elle observe : quels appareils sont présents, quels services ils exposent, ce qui apparaît et ce qui disparaît. Elle n'attaque rien et ne modifie rien. Un appareil signalé comme inconnu n'est pas une alerte de sécurité : c'est un appareil que vous n'avez pas encore nommé.

Question 10

Que se passe-t-il si je débranche la sonde ?

Accepted Answer

Votre couverture baisse, et votre score ne monte pas. Les constats ont une date de péremption : passé un certain délai, ils cessent de compter plutôt que de maintenir votre score sur une observation périmée. Ne rien voir n'est pas la même chose que ne rien trouver, et nous refusons de faire passer l'un pour l'autre.

Question 11

Est-ce que vous consultez mes données ?

Accepted Answer

Cela peut arriver, pour vous assister. Vous n'avez pas à l'autoriser au cas par cas, mais chaque consultation laisse une trace nominative que vous voyez : qui, quoi, quand. C'est la contrepartie d'un accès de droit, et l'écran « Accès à vos données » vous la restitue sans que vous ayez à la demander.

Question 12

Combien de temps conservez-vous mes journaux ?

Accepted Answer

Cinq ans pour la traçabilité, comme NIS2 l'exige. Mais votre adresse IP et votre navigateur y sont anonymisés au bout de trente jours : on sait toujours qui a fait quoi et quand, on ne sait plus depuis quelle machine. Les deux obligations se concilient ainsi, plutôt que de sacrifier l'une à l'autre.

Question 13

La double authentification est-elle obligatoire ?

Accepted Answer

Dès qu'un abonnement payant est actif, et pour tout administrateur. Vous serez alors dirigé vers l'écran d'enrôlement à la connexion suivante, sans possibilité de passer outre. Un compte administrateur compromis donne accès à la conformité de toute l'organisation : ce n'est pas une contrainte de forme.

Question 14

Varden Auditor remplace-t-il un audit de certification ?

Accepted Answer

Non. Le Dashboard client Varden ne se substitue pas au travail d'un organisme certificateur agréé. Il prépare l'organisation à l'audit : auto-évaluation structurée, preuves classées, écarts documentés et datés. C'est le temps de préparation qu'il réduit, pas l'audit lui-même.

Ce qu'on nous demande.
Et ce que nous répondons vraiment.

Votre question n'y est pas ?

Ce qu'on nous demande.
Et ce que nous répondons vraiment.

Votre question n'y est pas ?

Ce qu'on nous demande.Et ce que nous répondons vraiment.

Votre question n'y est pas ?

Ce qu'on nous demande.Et ce que nous répondons vraiment.

Votre question n'y est pas ?

Ce qu'on nous demande.
Et ce que nous répondons vraiment.

Ce qu'on nous demande.
Et ce que nous répondons vraiment.