Listes de contrôle de preuves

Pourquoi c’est important

La plupart des contrôles d’appareils se vérifient tout seuls. Votre MDM signale le chiffrement du disque, votre fournisseur d’identité signale la MFA, et la plateforme de conformité récupère les deux à intervalle régulier. Puis l’auditeur pose la question des quatre prestataires, du designer sur un ordinateur portable personnel et du conseiller qui n’est jamais entré dans le périmètre de l’agent, et l’automatisation n’a rien à répondre.

Ce trou est généralement comblé avec un tableur et un dossier de captures d’écran dans un espace partagé. Cela fonctionne jusqu’au jour où quelqu’un demande qui a confirmé tel contrôle, quand la capture a été prise et si elle était encore valable pendant la fenêtre d’audit. À ce moment-là, la réponse est enterrée dans un fil de discussion.

Une liste de contrôle de preuves est un programme de formation dont le contenu est un ensemble de réglages d’appareil plutôt que des diapositives. Le participant reçoit des instructions pas à pas pour son propre système d’exploitation, modifie le réglage, envoie une preuve et signe la même attestation à la formulation juridique que vos autres formations. Kit enregistre les confirmations et l’achèvement du programme. Que cela suffise comme preuve d’audit dépend du périmètre de l’audit et de l’appréciation de l’auditeur.

Listes de contrôle ou cours

Ce sont dans les deux cas des programmes de formation, et chacun se termine par une attestation signée. La différence tient à ce qui se passe entre les deux.

	Cours	Liste de contrôle
Contenu	Des diapositives, puis un contrôle des connaissances	Des points de contrôle, chacun avec des instructions par plateforme
Enregistre	Les consultations du contenu et les résultats du quiz	Les déclarations du participant et les preuves de réglages d’appareil envoyées
Réussite	Toutes les diapositives consultées, quiz réussi, attestation signée	Tous les points de contrôle confirmés, attestation signée
Preuves	L’enregistrement de réussite	L’enregistrement de réussite plus les captures d’écran envoyées

Un programme est l’un ou l’autre, selon le modèle dont vous le générez. Tout le reste (invitations, échéances, rappels, registre des réussites, export Vanta) fonctionne à l’identique pour les deux.

Les deux présentations de liste de contrôle

Durcissement des postes de travail (Endpoint Hardening)

La liste de contrôle couvre sept réglages d’appareil :

Point de contrôle	Preuve
Chiffrement complet du disque (FileVault, BitLocker ou LUKS)	Capture d’écran
Verrouillage de l’écran avec mot de passe à la sortie de veille	Capture d’écran
Mises à jour automatiques du système activées	Capture d’écran
Protection contre les logiciels malveillants active	Capture d’écran
Gestionnaire de mots de passe utilisé	Capture d’écran
Pare-feu activé	Capture d’écran
Mot de passe de l’appareil conforme à la politique	Attestation seule

Le mot de passe de l’appareil est volontairement en simple attestation : aucun panneau de réglages n’affiche la longueur de votre mot de passe, une capture d’écran ne prouverait donc rien.

La protection contre les logiciels malveillants est le seul point de contrôle qui ne revendique pas d’équivalence entre plateformes. Sous Linux, l’instruction dit franchement qu’un poste sans analyse à l’accès est une réponse normale, et demande de capturer les mesures qui en tiennent lieu (les mises à jour automatiques et un pare-feu hôte qui rejette tout trafic entrant non sollicité), puis de l’indiquer dans la note. Une équivalence de façade dégraderait la preuve au lieu de la renforcer.

Deux valeurs sont posées comme questions du modèle plutôt que figées dans le contenu, pour que vous puissiez les aligner sur la politique de votre entreprise :

• Le délai de verrouillage de l’écran, 15 minutes par défaut.
• La longueur minimale du mot de passe, 8 par défaut.

Prise de connaissance des politiques (Policy Acknowledgment)

Le modèle comprend 22 politiques sous forme de points de contrôle en simple attestation, regroupées en conduite, sécurité de l’information, données, résilience et gouvernance. Chaque point de contrôle renvoie vers vos documents de politique, et l’attestation signée énumère chaque politique par son nom.

Créer une liste de contrôle

1. Générez-la. Depuis le tableau de bord Formation, cliquez sur Créer à partir d’un modèle et choisissez Endpoint Hardening ou Policy Acknowledgment. Répondez aux questions du modèle intelligent : le nom de votre entreprise, votre gestionnaire de mots de passe, votre délai de verrouillage de l’écran.
2. Relisez les points de contrôle. Chacun comporte un titre, une note « pourquoi c’est important » lue par le participant, des règles de preuve et des instructions par système d’exploitation. Modifiez-les, ajoutez les vôtres ou changez leur ordre.
3. Ajoutez des instructions pour les plateformes dont vous avez besoin. Les présentations fournies couvrent macOS, Windows 11 et Linux. Les étapes Linux sont volontairement écrites autrement : plutôt qu’un chemin de clics dans un environnement de bureau que nous ne connaissons pas, elles nomment la mesure et donnent une commande indépendante de la distribution dont la sortie fait office de capture (lsblk montrant le périphérique crypt LUKS, systemctl list-timers montrant la minuterie de mise à jour, ufw status verbose montrant le rejet par défaut). Une capture de terminal constitue de toute façon une meilleure preuve qu’un panneau de réglages. Un participant dont la plateforme n’a pas d’instructions propres reprend toujours les premières rédigées au lieu de voir une carte vide, et le module indique explicitement de quelle plateforme viennent les étapes affichées.
4. Publiez et invitez. Exactement comme pour un cours. Une liste de contrôle ne peut pas être publiée sans au moins un point de contrôle et une attestation.

Ce que voit le participant

Une seule page, une seule carte ouverte à la fois. Kit devine le système d’exploitation à partir du navigateur et affiche les instructions correspondantes ; le participant peut en changer, et son choix est conservé.

Chaque carte présente les étapes numérotées, la raison pour laquelle le contrôle compte et les règles de preuve. Le participant fait une capture d’écran, la dépose ou la colle sur la carte, nomme l’appareil et date la capture. La confirmation replie la carte et ouvre la suivante.

L’attribution de la capture est saisie, pas photographiée. Plutôt que d’exiger que le nom de la machine figure dans la capture d’écran, Kit demande le nom de l’appareil et la date de capture sous forme de champs. Ces valeurs sont chiffrées, elles restent consultables et elles subsistent après la suppression de l’image elle-même.

Les textes d’accompagnement rappellent de couper les notifications avant la capture et d’envoyer une capture d’écran du panneau de réglages plutôt qu’une photo de l’écran prise avec un téléphone. Cela aide à garder des captures lisibles et limite les informations personnelles incidentes.

Vérification des preuves

Envoyer sa preuve termine le point de contrôle. La vérification est un tri qui vient ensuite, pas une barrière : un prestataire n’est pas laissé en attente devant la boîte de réception de quelqu’un.

La file liste les envois confirmés mais non encore examinés, avec l’attribution qui rend une capture d’écran auditable : plateforme, nom de l’appareil, date de capture et nombre de jours écoulés entre la capture et la confirmation. Une preuve antidatée est signalée noir sur blanc, car c’est précisément ce qu’un évaluateur recherche.

Accepter retire l’élément de la file. Rejeter exige une note, rouvre le point de contrôle et envoie au participant un e-mail avec votre motif. Le rejet ne révoque pas l’enregistrement de réussite : la formation a bien été terminée, et réécrire ce fait reviendrait à falsifier l’historique plutôt qu’à demander une meilleure capture d’écran.

Rouvrir un point de contrôle donne un accès réel, pas seulement un statut : la page de la liste de contrôle reste accessible à quelqu’un qui a déjà terminé, et votre note s’affiche sur la seule carte dont la capture doit être refaite. La nouvelle capture d’écran renvoie le point de contrôle dans la file de vérification, comme un nouvel envoi. La preuve envoyée avant votre vérification reste jointe et ne peut pas être supprimée (c’est ce dont un auditeur veut la trace) ; elle s’affiche donc à côté de son remplacement, marquée comme remplacée.

Une preuve rejetée change en revanche le registre : la personne cesse de compter comme au vert et passe à l’étape Preuve refusée, classée au-dessus de tout le reste. Le nombre de personnes ayant terminé est ce que vous remettez à un auditeur ; il exclut donc quiconque a une preuve en souffrance.

Accès et conservation

Les administrateurs du module Formation peuvent accéder aux preuves dans le panneau d’administration du compte. Kit y consigne chaque demande de téléchargement, avec la personne, l’heure et le fichier. Un clic génère un lien valable 90 secondes. Révoquer les permissions empêche la création de nouveaux liens, mais un lien existant peut rester valable jusqu’à son expiration, et les copies téléchargées restent chez leurs destinataires.

Les preuves sont supprimées selon un calendrier. Chaque programme a une fenêtre de conservation, 395 jours par défaut. Un balayage nocturne supprime les fichiers dès qu’un envoi la dépasse. Définissez une fenêtre différente par programme avec evidence_retention_days dans training_create_program.

L’enregistrement de réussite survit à la suppression, tout comme le nom et l’empreinte de contenu de chaque fichier. Après la suppression, les métadonnées de l’envoi subsistent. L’empreinte permet de vérifier une copie conservée ailleurs par rapport au fichier enregistré ; elle ne peut ni reconstituer l’image ni établir que son contenu était exact.

Exports

L’export CSV Vanta gagne des colonnes de preuves pour les programmes en liste de contrôle : état de la vérification, points de contrôle confirmés, nombre total de points de contrôle, nombre de fichiers, nom de l’appareil et fenêtre de capture. Les exports des cours restent inchangés, à l’octet près, car Vanta s’appuie sur l’ordre et l’intitulé exacts des colonnes.

Le registre PDF ajoute, sous le tableau principal, un tableau distinct pour les preuves des points de contrôle.

Une personne, un fichier

Les exports du registre couvrent tout le monde d’un coup. Quand un auditeur s’intéresse à une seule personne, utilisez plutôt Dossier de preuves sur sa ligne. L’archive est préparée en arrière-plan et le téléchargement démarre dès qu’elle est prête.

Elle contient tout ce qui est enregistré pour cette personne, renommé pour que le dossier se lise sans vous :

training-evidence-jane-doe-endpoint-hardening-20260114.zip
└── jane-doe-endpoint-hardening-20260114/
    ├── jane-doe-00-manifest.csv
    ├── jane-doe-01-certificate.pdf
    ├── jane-doe-checkpoint-01-full-disk-encryption-01.png
    ├── jane-doe-checkpoint-02-screen-lock-01.png
    └── jane-doe-checkpoint-02-screen-lock-02-superseded.png

L’inventaire est la pièce que l’auditeur lit : une ligne par fichier, avec la plateforme, le nom de l’appareil, la date de capture, la date de confirmation, le verdict du relecteur et sa note, plus le nom d’origine du fichier et son empreinte. Sans lui, un dossier de captures d’écran ne dit rien à qui n’était pas là.

Deux états sont signalés plutôt que masqués. Les preuves déposées avant le verdict d’un relecteur sont incluses avec -superseded dans le nom : les omettre efface la trace, les inclure sans mention laisse croire qu’elles ont été acceptées. Les fichiers déjà supprimés par la politique de conservation apparaissent sous forme d’une courte note .purged.txt, exactement là où la capture aurait dû se trouver, avec le nom de fichier et l’empreinte conservés : une archive qui les passerait sous silence donnerait une image fausse du dossier.

Les participants à un cours n’ont pas de captures d’écran : leur archive se limite au certificat et à l’inventaire, et le bouton indique Dossier du certificat.

Les archives expirent au bout de sept jours. Kit consigne qui a demandé chaque téléchargement d’archive et quand, avec une entrée pour chaque fichier inclus. Cela couvre les téléchargements effectués via Kit, pas le partage ultérieur des copies téléchargées.

Rappels

Les listes de contrôle utilisent la même séquence que les cours : une relance après l’invitation, un dernier rappel à l’approche de l’échéance, une relance de signature pour quiconque a terminé le contenu sans jamais signer, et un rappel de retard plafonné à trois envois espacés d’une semaine.