Réponse courte
Un risque décrit une situation dans le contexte d’un produit. L’évaluation doit rester explicable, reliée à sa source, aux actions de traitement et aux preuves.
Disponibilité produit : Disponible en édition complète, avec accès contributif au produit pour modifier les données.
Du signal à la situation de risque
Une référence CVE est une information à examiner. Un risque décrit une cause, un événement et un impact sur une version ou un usage du produit. Le CVSS externe ne constitue pas directement la criticité interne du produit.
Exemple : une bibliothèque exposée à une entrée non fiable peut permettre une interruption du service utilisé par les clients. La version, l’exposition réelle, les mesures compensatoires et l’importance de la fonction déterminent l’analyse.
Préparer les informations
Identifiez le produit, le composant éventuel, le point de sécurité à vérifier ou la vulnérabilité CRA formelle à l’origine de la situation. Conservez les faits connus, les inconnues, la source et la personne qui peut les vérifier. Les droits du produit et de son entité juridique s’appliquent à la lecture et à la contribution.
Créer et qualifier
Depuis Risques ou l’onglet produit, utilisez Ajouter un risque. Saisissez un titre décrivant la situation, une description, la catégorie et les informations d’évaluation disponibles. Reliez les objets sources pertinents et désignez un responsable.
Une confiance faible indique que l’évaluation manque d’appuis ; elle ne rend pas le risque faible. Un score de complétude élevé indique de la matière documentaire, pas la correction du produit. Maintenez ces métriques distinctes lors des revues.
Ajuster une évaluation
Le produit permet une évaluation ajustée manuellement sur les sources prises en charge. La modification conserve une justification, l’auteur et le contexte. Elle ne doit pas servir à faire baisser un indicateur sans expliquer le changement.
Avant de choisir une valeur, décrivez ce qui diffère de la proposition : version non affectée, exposition moindre démontrée, impact plus élevé ou mesure compensatoire testée. Vérifiez les valeurs sauvegardées et l’explication lors de la revue suivante. Les commandes exactes du panneau d’ajustement restent à confirmer dans la recette documentaire.
Le retour à l’évaluation calculée est distinct d’une clôture du risque. Il retire l’ajustement dans le périmètre prévu ; il ne supprime pas les faits sources ou les preuves. L’action reste autorisée et auditée.
Choisir et suivre le traitement
Le statut exprime la situation : À qualifier, Ouvert, Réduit, Accepté ou Clôturé dans les vues correspondantes. Une acceptation doit avoir un responsable et une raison revue périodiquement. La fin d’une action ne clôt pas automatiquement toutes les situations de risque qu’elle pourrait influencer.
Reliez une action précise au risque : objectif, responsable, priorité, échéance et preuve attendue. Après correction, relisez le résultat technique et le risque résiduel. Une preuve de ticket fermé ne suffit pas toujours à établir la correction du produit distribué.
Composition et droits
Un risque hérité depuis un produit intégré se consulte en lecture seule. Son évaluation et ses éventuels ajustements appartiennent à la source. Ouvrez Produit source pour vérifier son contexte ; ne créez pas une copie uniquement pour obtenir un bouton d’édition.
La composition ne calcule pas automatiquement un risque agrégé ou une décision de conformité pour l’intégrateur. L’équipe doit analyser l’effet réel de la source dans chacun des produits.
Revue pratique et limites
Lors d’une revue, présentez les risques ouverts, les changements d’évaluation, les actions échues, les inconnues et les preuves de réduction. Documentez la décision et les vérifications attendues pour la prochaine revue.
Si un ajustement ne s’enregistre pas, vérifiez le rôle, l’édition, la source et les champs demandés. Si la source disparaît après un changement d’inventaire, examinez sa traçabilité avant de créer un remplacement. Un risque critique ou un incident doit suivre la procédure sécurité sans attendre un correctif d’affichage.
CRA Manager fournit un risque CRA estimé, pas une certification. Les décisions sur l’acceptabilité du risque et les obligations applicables relèvent de l’organisation et des personnes compétentes.
Articles liés
Article issu de la base de connaissance CRA Manager.
Cet article a-t-il été utile ?
C'est super !
Merci pour votre commentaire
Désolé ! Nous n'avons pas pu vous être utile
Merci pour votre commentaire
Commentaires envoyés
Nous apprécions vos efforts et nous allons corriger l'article