Listes de contrôle de preuves

Pourquoi c’est important

La plupart des contrôles d’appareils se vérifient tout seuls. Votre MDM signale le chiffrement du disque, votre fournisseur d’identité signale la MFA, et la plateforme de conformité récupère les deux à intervalle régulier. Puis l’auditeur pose la question des quatre prestataires, du designer sur un ordinateur portable personnel et du conseiller qui n’est jamais entré dans le périmètre de l’agent — et l’automatisation n’a rien à répondre.

Ce trou est généralement comblé avec un tableur et un dossier de captures d’écran dans un espace partagé. Cela fonctionne jusqu’au jour où quelqu’un demande qui a confirmé tel contrôle, quand la capture a été prise et si elle était encore valable pendant la fenêtre d’audit. À ce moment-là, la réponse est enterrée dans un fil de discussion.

Une liste de contrôle de preuves est un programme de formation dont le contenu est un ensemble de réglages d’appareil plutôt que des diapositives. Le participant reçoit des instructions pas à pas pour son propre système d’exploitation, modifie le réglage, envoie une preuve et signe la même attestation à la formulation juridique que vos autres formations. Ce qui en ressort est un enregistrement de réussite qu’un auditeur accepte.

Listes de contrôle ou cours

Ce sont dans les deux cas des programmes de formation, et chacun se termine par une attestation signée. La différence tient à ce qui se passe entre les deux.

	Cours	Liste de contrôle
Contenu	Des diapositives, puis un contrôle des connaissances	Des points de contrôle, chacun avec des instructions par plateforme
Prouve	Que la personne a compris le contenu	Que sa machine est configurée d’une certaine façon
Réussite	Toutes les diapositives consultées, quiz réussi, attestation signée	Tous les points de contrôle confirmés, attestation signée
Preuves	L’enregistrement de réussite	L’enregistrement de réussite plus les captures d’écran envoyées

Un programme est l’un ou l’autre, selon le modèle dont vous le générez. Tout le reste — invitations, échéances, rappels, registre des réussites, export Vanta — fonctionne à l’identique pour les deux.

Les deux présentations de liste de contrôle

Durcissement des postes de travail (Endpoint Hardening)

Les sept réglages d’appareil qu’un auditeur demande à un prestataire de prouver :

Point de contrôle	Preuve
Chiffrement complet du disque — FileVault, BitLocker ou LUKS	Capture d’écran
Verrouillage de l’écran avec mot de passe à la sortie de veille	Capture d’écran
Mises à jour automatiques du système activées	Capture d’écran
Protection contre les logiciels malveillants active	Capture d’écran
Gestionnaire de mots de passe utilisé	Capture d’écran
Pare-feu activé	Capture d’écran
Mot de passe de l’appareil conforme à la politique	Attestation seule

Le mot de passe de l’appareil est volontairement en simple attestation : aucun panneau de réglages n’affiche la longueur de votre mot de passe, une capture d’écran ne prouverait donc rien.

La protection contre les logiciels malveillants est le seul point de contrôle qui ne revendique pas d’équivalence entre plateformes. Sous Linux, l’instruction dit franchement qu’un poste sans analyse à l’accès est une réponse normale, et demande de capturer les mesures qui en tiennent lieu — les mises à jour automatiques et un pare-feu hôte qui rejette tout trafic entrant non sollicité — puis de l’indiquer dans la note. Une équivalence de façade dégraderait la preuve au lieu de la renforcer.

Deux valeurs sont posées comme questions du modèle plutôt que figées dans le contenu, parce que les trois grandes plateformes de conformité ne sont pas d’accord entre elles et que c’est votre propre politique qui fait foi :

• Le délai de verrouillage de l’écran, 15 minutes par défaut. Vanta accepte jusqu’à 60, Drata exige un mot de passe 60 secondes après un verrouillage à 15 minutes, Secureframe vérifie 900 secondes ou moins.
• La longueur minimale du mot de passe, 8 par défaut.

Prise de connaissance des politiques (Policy Acknowledgment)

Les 22 politiques SOC 2 sous forme de points de contrôle en simple attestation, regroupées pour se lire en séquences cohérentes plutôt qu’en une seule liste à plat : conduite, sécurité de l’information, données, résilience et gouvernance. Chaque point de contrôle renvoie vers vos politiques, où qu’elles soient hébergées, et l’attestation signée énumère chaque politique par son nom — une signature générique « j’ai lu les politiques » ne résiste pas à la question de savoir lesquelles.

Créer une liste de contrôle

1. Générez-la. Depuis le tableau de bord Formation, cliquez sur Créer à partir d’un modèle et choisissez Endpoint Hardening ou Policy Acknowledgment. Répondez aux questions du modèle intelligent : le nom de votre entreprise, votre gestionnaire de mots de passe, votre délai de verrouillage de l’écran.
2. Relisez les points de contrôle. Chacun comporte un titre, une note « pourquoi c’est important » lue par le participant, des règles de preuve et des instructions par système d’exploitation. Modifiez-les, ajoutez les vôtres ou changez leur ordre.
3. Ajoutez des instructions pour les plateformes dont vous avez besoin. Les présentations fournies couvrent macOS, Windows 11 et Linux. Les étapes Linux sont volontairement écrites autrement : plutôt qu’un chemin de clics dans un environnement de bureau que nous ne connaissons pas, elles nomment la mesure et donnent une commande indépendante de la distribution dont la sortie fait office de capture — lsblk montrant le périphérique crypt LUKS, systemctl list-timers montrant la minuterie de mise à jour, ufw status verbose montrant le rejet par défaut. Une capture de terminal constitue de toute façon une meilleure preuve qu’un panneau de réglages. Un participant dont la plateforme n’a pas d’instructions propres reprend toujours les premières rédigées au lieu de voir une carte vide, et le module indique explicitement de quelle plateforme viennent les étapes affichées.
4. Publiez et invitez. Exactement comme pour un cours. Une liste de contrôle ne peut pas être publiée sans au moins un point de contrôle et une attestation.

Ce que voit le participant

Une seule page, une seule carte ouverte à la fois. Kit devine le système d’exploitation à partir du navigateur et affiche les instructions correspondantes ; le participant peut en changer, et son choix est conservé.

Chaque carte présente les étapes numérotées, la raison pour laquelle le contrôle compte et les règles de preuve. Le participant fait une capture d’écran, la dépose ou la colle sur la carte, nomme l’appareil et date la capture. La confirmation replie la carte et ouvre la suivante.

L’attribution de la capture est saisie, pas photographiée. Plutôt que d’exiger que le nom de la machine figure dans la capture d’écran, Kit demande le nom de l’appareil et la date de capture sous forme de champs. Ces valeurs sont chiffrées, elles restent consultables et elles subsistent après la suppression de l’image elle-même.

Les textes d’accompagnement rappellent de couper les notifications avant la capture et d’envoyer une capture d’écran du panneau de réglages plutôt qu’une photo de l’écran prise avec un téléphone : ce sont les deux premières causes de rejet des preuves par un auditeur.

Vérification des preuves

Envoyer sa preuve termine le point de contrôle. La vérification est un tri qui vient ensuite, pas une barrière — un prestataire n’est pas laissé en attente devant la boîte de réception de quelqu’un.

La file liste les envois confirmés mais non encore examinés, avec l’attribution qui rend une capture d’écran auditable : plateforme, nom de l’appareil, date de capture et nombre de jours écoulés entre la capture et la confirmation. Une preuve antidatée est signalée noir sur blanc, car c’est précisément ce qu’un évaluateur recherche.

Accepter retire l’élément de la file. Rejeter exige une note, rouvre le point de contrôle et envoie au participant un e-mail avec votre motif. Le rejet ne révoque pas l’enregistrement de réussite : la formation a bien été terminée, et réécrire ce fait reviendrait à falsifier l’historique plutôt qu’à demander une meilleure capture d’écran.

Rouvrir un point de contrôle donne un accès réel, pas seulement un statut : la page de la liste de contrôle reste accessible à quelqu’un qui a déjà terminé, et votre note s’affiche sur la seule carte dont la capture doit être refaite. La nouvelle capture d’écran renvoie le point de contrôle dans la file de vérification, comme un nouvel envoi. La preuve envoyée avant votre vérification reste jointe et ne peut pas être supprimée — c’est justement ce dont un auditeur veut la trace — elle s’affiche donc à côté de son remplacement, marquée comme remplacée.

Une preuve rejetée change en revanche le registre : la personne cesse de compter comme au vert et passe à l’étape Preuve refusée, classée au-dessus de tout le reste. Le nombre de personnes ayant terminé est ce que vous remettez à un auditeur ; il exclut donc quiconque a une preuve en souffrance.

Accès et conservation

Seuls les administrateurs de formation du compte peuvent voir les preuves, et chaque téléchargement est consigné : qui a ouvert quel fichier, et quand. Les fichiers sont servis par des liens à courte durée de vie générés à chaque clic plutôt que par des URL intégrées à la page ; l’accès cesse donc dès que celui de la personne cesse.

Les preuves sont supprimées selon un calendrier. Chaque programme a une fenêtre de conservation, 395 jours par défaut — un an plus la marge qu’exige une fenêtre d’audit de type II. Un balayage nocturne supprime les fichiers dès qu’un envoi la dépasse. Définissez une fenêtre différente par programme avec evidence_retention_days dans training_create_program.

L’enregistrement de réussite survit à la suppression, tout comme le nom et l’empreinte de contenu de chaque fichier. Une fois les captures d’écran disparues, vous pouvez encore prouver ce qui a été envoyé, quand, par qui — et que rien n’a été remplacé par autre chose.

Exports

L’export CSV Vanta gagne des colonnes de preuves pour les programmes en liste de contrôle : état de la vérification, points de contrôle confirmés, nombre total de points de contrôle, nombre de fichiers, nom de l’appareil et fenêtre de capture. Les exports des cours restent inchangés, à l’octet près — Vanta s’appuie sur l’ordre et l’intitulé exacts des colonnes.

Le registre PDF ajoute, sous le tableau principal, un tableau distinct pour les preuves des points de contrôle.

Une personne, un fichier

Les exports du registre couvrent tout le monde d’un coup. Quand un auditeur s’intéresse à une seule personne, utilisez plutôt Dossier de preuves sur sa ligne. L’archive est préparée en arrière-plan et le téléchargement démarre dès qu’elle est prête.

Elle contient tout ce qui est enregistré pour cette personne, renommé pour que le dossier se lise sans vous :

training-evidence-jane-doe-endpoint-hardening-20260114.zip
└── jane-doe-endpoint-hardening-20260114/
    ├── jane-doe-00-manifest.csv
    ├── jane-doe-01-certificate.pdf
    ├── jane-doe-checkpoint-01-full-disk-encryption-01.png
    ├── jane-doe-checkpoint-02-screen-lock-01.png
    └── jane-doe-checkpoint-02-screen-lock-02-superseded.png

L’inventaire est la pièce que l’auditeur lit vraiment : une ligne par fichier, avec la plateforme, le nom de l’appareil, la date de capture, la date de confirmation, le verdict du relecteur et sa note, plus le nom d’origine du fichier et son empreinte. Sans lui, un dossier de captures d’écran ne dit rien à qui n’était pas là.

Deux états sont signalés plutôt que masqués. Les preuves déposées avant le verdict d’un relecteur sont incluses avec -superseded dans le nom : les omettre efface la trace, les inclure sans mention laisse croire qu’elles ont été acceptées. Les fichiers déjà supprimés par la politique de conservation apparaissent sous forme d’une courte note .purged.txt, exactement là où la capture aurait dû se trouver, avec le nom de fichier et l’empreinte conservés — une archive qui les passerait sous silence donnerait une image fausse du dossier.

Les participants à un cours n’ont pas de captures d’écran : leur archive se limite au certificat et à l’inventaire, et le bouton indique Dossier du certificat.

Les archives expirent au bout de sept jours, et chaque téléchargement est consigné — qui a pris l’archive et quand, plus une entrée par fichier dans le même journal des preuves qu’alimente un téléchargement unitaire. « Qui a déjà vu les captures d’écran de cette personne ? » garde ainsi une seule réponse complète.

Rappels

Les listes de contrôle utilisent la même séquence que les cours : une relance après l’invitation, un dernier rappel à l’approche de l’échéance, une relance de signature pour quiconque a terminé le contenu sans jamais signer, et un rappel de retard plafonné à trois envois espacés d’une semaine.