Proof & Trust
Proof&Trust · Autres
Proof&Trust évalue et classe les fournisseurs de la chaîne d'approvisionnement NIS2 à partir de leurs propres preuves, et remplace les questionnaires statiques par des rapports prêts pour l'audit en moins de 30 minutes.
À propos de Proof & Trust
About
Qu'est-ce que Proof&Trust
Proof&Trust est une plateforme web dédiée au risque de la chaîne d'approvisionnement NIS2. Elle mène une évaluation du risque fournisseurs pour chaque partenaire, range les résultats par niveau et tient une piste de preuves qui reflète ce que demandent les auditeurs. L'idée tient en une phrase : arrêter de courir après des questionnaires statiques et commencer à noter les certificats, rapports et attestations que le fournisseur possède déjà. C'est une gestion des risques tiers conçue pour une seule norme, où l'on remplace le questionnaire de sécurité fournisseurs par la notation de documents.
Le produit naît de la directive NIS2 de l'Union européenne, applicable depuis le 17 octobre 2024. L'article 21(2)(d) place la sécurité des fournisseurs directs sous la responsabilité de l'entreprise acheteuse, si bien qu'un tableur de réponses périmées ne fait plus office de diligence raisonnable de la chaîne d'approvisionnement. Proof&Trust lit les documents d'origine, vérifie leur validité et rattache chaque contrôle à la clause exacte qu'il couvre. Voilà ce qu'est la notation fondée sur les preuves : pas une enquête qui se contente de recopier ce que le fournisseur affirme.
Les limites comptent autant que la promesse. Proof&Trust est un outil de conformité et de risque, pas un pare-feu ni un scanner, et il vise les équipes régulées de l'UE dans la banque, l'énergie, la santé, les télécoms et le secteur public. L'hébergement est européen par défaut, et les périmètres plus larges passent par le service commercial, pas par un paiement en libre-service. Les abonnements annuels démarrent à 1 999 euros.
Pour commencer
- Demandez une démonstration ou l'échantillon de 30 minutes, qui renvoie un portefeuille noté sans intégration et sans carte bancaire.
- Chargez un lot de preuves fournisseur : certificats ISO 27001, rapports SOC 2, SBOM, attestations de test d'intrusion et politiques écrites. Raccordez les contrats et les fiches fournisseurs si vous les avez.
- Laissez le moteur analyser, valider et noter chaque pièce, puis regrouper les notes dans un indice de risque fournisseur unique.
- Invitez les fournisseurs par un lien pour qu'ils répondent aux questionnaires intégrés au bon niveau de risque et déposent des preuves à jour.
- Passez en revue le portefeuille par niveau dans la console, puis exportez le dossier d'audit pour vos relecteurs.
Informations sur le produit
Aperçu des tarifs, des plateformes compatibles et des performances de Proof & Trust.
Idéal pour
Les utilisateurs, tâches et cas d'usage où cet outil convient le mieux.
Utilisateurs
- Équipes conformité et GRC des entités essentielles de l'UE
- RSSI et responsables sécurité de la banque, de l'énergie, de la santé, des télécoms ou du secteur public
- Petites équipes qui montent leur premier programme
Tâches
- Remplacer un tableur de questionnaires
- Classer un stock de fournisseurs en retard
- Préparer un audit NIS2
- Rédiger une notification d'incident au titre de l'article 23
Cas d'usage
- Un régulateur réclame des preuves fournisseurs
- Un fournisseur signale une violation ou une nouvelle CVE tombe
- Un conseil examine le risque cyber
Fonctionnalités clés
Notation des fournisseurs fondée sur les preuves
Chaque pièce qu'envoie un fournisseur, qu'il s'agisse d'un certificat ISO, d'un rapport SOC 2 ou d'une attestation de test d'intrusion, est analysée, confrontée à son émetteur et notée sur la complétude, la fraîcheur, le périmètre et la couverture des contrôles. Ces notes se fondent ensuite dans un indice de risque unique. L'intérêt est simple : vous notez des documents défendables, pas des réponses tapées dans un formulaire.
Classement automatique par niveaux
Le classement des fournisseurs NIS2 repose sur trois signaux. Le premier est le caractère essentiel du fournisseur pour votre service, le deuxième la concentration de votre exposition, le troisième la solidité des preuves. Le modèle est déterministe et explicable, donc chaque changement de niveau renvoie à l'événement de preuve qui l'a déclenché.
Reclassement continu
Les niveaux ne sont pas figés une fois pour toutes. Ils se recalculent à l'arrivée de nouvelles preuves ou quand un signal faiblit, et les contrôles événementiels captent les CVE, les sanctions et les violations publiées. Un fournisseur jugé sûr le trimestre dernier peut monter d'un niveau dès que son exposition franchit le seuil.
Correspondance avec l'article 21(2) de NIS2
La plateforme couvre les dix mesures de l'article 21(2), de l'analyse des risques et de la sécurité de la chaîne d'approvisionnement jusqu'au MFA et aux communications sécurisées. Chaque note se rattache à une clause précise, et cette correspondance est souvent la première chose qu'un auditeur cherche.
Rédaction des incidents de l'article 23
Quand vous enregistrez un incident qualifié, Proof&Trust préremplit les notifications de l'article 23. Cela couvre l'alerte précoce de 24 heures, la notification d'incident de 72 heures et le rapport final d'un mois, avec des faits horodatés, les fournisseurs touchés et des estimations d'impact prêtes pour votre CSIRT.
Export des preuves pour l'auditeur
L'espace d'audit exporte un dossier portable en PDF et en JSON lisible par machine. Il reflète ce que voient les relecteurs dans la console en direct, donc vous remettez un seul fichier au lieu d'assembler captures et tableurs.
Déploiement souple
Proof&Trust existe en service multi-locataires hébergé dans l'UE, en environnement locataire unique ou en déploiement privé dans votre propre VPC sur AWS, Azure, GCP ou OVH. Chaque option partage le même modèle de preuves et le même moteur de notation, et les données restent dans l'UE par défaut.
Avantages et inconvénients
Avantages
- Il note des preuves concrètes plutôt que des réponses à un questionnaire, ce que les auditeurs et les régulateurs inspectent en premier.
- Les niveaux se recalculent seuls, donc une nouvelle CVE ou une violation déclarée n'attend pas le cycle de revue suivant.
- Le tarif démarre à 1 999 euros par an pour 20 évaluations, peu cher pour un programme de chaîne d'approvisionnement.
- Chaque note cite la pièce source et l'article de NIS2 respecté, donc le portefeuille tient devant une revue.
- L'hébergement est européen par défaut, avec des options locataire unique et VPC privé pour les exigences de résidence des données.
Inconvénients
- Il est bâti autour de NIS2 et des entreprises de l'UE, donc les équipes hors UE ou hors du champ de la directive en tirent peu de chose.
- Il n'y a ni offre gratuite ni inscription en libre-service, donc vous commencez par une démonstration ou une offre payante, pas par un essai.
- L'export par API n'arrive qu'avec l'offre Enterprise, ce qui oblige les offres inférieures à passer par des exports CSV.
- Il suit la paperasse des fournisseurs, pas vos propres systèmes, donc il ne remplace ni un scanner de vulnérabilités ni un test d'intrusion.
Questions fréquentes
C'est un logiciel de conformité NIS2 qui note et classe les fournisseurs de votre chaîne d'approvisionnement, et qui transforme certificats, rapports et attestations en un indice de risque unique et un portefeuille prêt pour l'audit.
Contenus associés
Découvrez des outils, des compétences et des articles liés à Proof & Trust.
Alternatives à Proof & Trust
Odyssey 3
Odyssey · AutresOdyssey-3 est le modèle du monde fondationnel d'Odyssey. Il simule la physique en temps réel, transforme une consigne en environnement interactif et s'adapte aux robots, voitures et jeux.
JarvisCore
Prescott Data · Programmation · Productivité · AutresJarvisCore est un runtime Python open source où les agents IA travaillent en pairs sur un maillage, prennent les tâches dans un registre partagé et joignent les services externes via un broker zero trust.
Clef
Cloudflare · Entreprise · AutresClef est le modèle de décision open source de Cloudflare pour Workers AI. Il renvoie des probabilités calibrées pour des questions typées au lieu de texte, ce qui permet à un agent de classer, router et agir vite.