Un contrôle qui se prouve — appareil par appareil.
Le régulateur et l'audit interne ne demandent pas si vous maîtrisez vos postes, mais avec quoi vous le prouvez. octoja tient l'accès, la modification, la validation et l'état des correctifs comme un justificatif continu.
- Chaque accès privilégié est documenté — justification comprise
- Les droits s'arrêtent là où s'arrête la tâche
- Des rapports à date d'arrêté au lieu de réponses reconstituées
droits attribuables individuellement
actions sur appareil autorisées séparément
contrôles de sécurité
des interventions administratives journalisées
Cela vous parle ?
Tant que personne ne pose la question, cela ne se voit pas. La question arrive quand même — le plus souvent avec un délai.
Les autorisations se sont accumulées au fil des ans — plus personne ne sait les expliquer.
Qui a accédé à quel poste et quand par maintenance à distance ne se prouve pas proprement.
Le chiffrement est obligatoire, et pourtant la preuve manque.
Des prestataires externes interviennent, mais en dehors de vos journaux.
Chaque question d'audit se transforme en analyse spéciale.
L'audit interne examine les accès privilégiés. La question : quelle personne a accédé au dernier trimestre aux postes des opérations de paiement, avec quel droit — et la personne concernée en a-t-elle été informée ?
La vue d'ensemble des accès montre pour chaque appareil quels groupes y ont accès et par quelle règle cet accès existe. Le journal de l'appareil liste chaque session avec la personne, l'horodatage et l'action. Là où le consentement a été contourné, la justification enregistrée figure à côté — sans un droit dédié, cela n'aurait même pas été possible.
Le rapport de conformité des correctifs atteste l'état à la date d'arrêté, le journal d'audit les modifications apportées aux politiques et aux groupes. Rien à rassembler.
La preuve comme principe de conception
Pas une journalisation ajoutée après coup, mais un modèle que l'on ne peut pas contourner.
Un journal sans porte dérobée
Les entrées naissent comme effet de bord du traitement ; l'utilisateur et l'heure sont posés par le socle applicatif — pas par le code au cas par cas.
Qui voit quoi — et pourquoi
Un accès en deux niveaux : d'abord le client, puis l'appareil, affiné par 17 droits d'action. La chaîne de justification est déroulable à tout moment.
Accès à distance avec consentement
Imposable de façon centrale. Le contourner exige un droit dédié et une justification journalisée. À la fin de la session, l'écran se verrouille automatiquement.
Authentification forte
Double authentification par TOTP, imposable également dans le parcours SSO. OpenID Connect avec PKCE, mots de passe hachés en BCrypt, secrets jamais lisibles via l'API.
Contrôle d'intégrité
Des références pour les droits de répertoires, les fichiers et le registre signalent les écarts. Les partages SMB ouverts deviennent visibles avec leurs droits.
Des validations avec décideur
Les cycles de correctifs portent le type de validation, le décideur, l'horodatage et une note — manuelle, automatique, transmise ou d'urgence.
Et ce n'est pas tout
- Instance dédiée au lieu d'une base de données multiclient partagée
- Rapport d'audit des utilisateurs et rapport SLA en PDF
- Webhooks signés avec HMAC
- Contrôle des comptes administrateur par défaut
- Expiration des certificats signalée à l'avance
- Audit des comptes sous Windows, Linux et macOS
Le modèle de droits et de preuve se laisse mal décrire par écrit. Sur votre structure, oui.
Obtenir un accès d'essaiL'alerte arrive là où votre équipe travaille déjà.
Une alerte n'a de valeur que si elle atteint la bonne personne au bon moment — et se referme d'elle-même quand le problème a disparu.
Systèmes de tickets et PSA
Les alertes créent un ticket là où votre équipe travaille déjà — et le referment au retour à la normale. Les bases clients peuvent être importées.
- DocBee
- TANSS
- TOPdesk
- c-entron Service-Board
- HaloPSA
- Autotask
- Jira Service Management
- Freshservice
- Inserve
- Odoo Helpdesk
- Codemeta
Alertes
Des plages de service propres à chaque canal. La journée vers le système de tickets, la nuit par appel à l'astreinte — les alertes hors plage sont mises en attente, pas jetées.
- Microsoft Teams
- Signierte Webhooks
- SMS
- Sprachanruf
- App-Push
- Internes Ticket
Documentation et ITAM
Le parc d'appareils est répliqué dans votre documentation existante, au lieu de créer un second référentiel.
- Hudu
- IT Glue
- woasi
- Jira Assets
Antivirus, EDR et vulnérabilités
L'état de la protection et les vulnérabilités convergent dans la même vue que le reste du parc — quel que soit le logiciel de protection en place chez le client.
- Microsoft Defender
- Bitdefender GravityZone
- SentinelOne
- CrowdStrike Falcon
- Sophos
- ESET
- G DATA
- Securepoint Antivirus Pro
- ThreatDown (Malwarebytes)
- Lywand Schwachstellenaudit
Sauvegarde — supervisée tous éditeurs confondus
Pare-feu et appliances
Matériel, stockage et réseau sans agent
Charges de travail serveur
Exigences et justificatifs correspondants
octoja ne porte aucune certification et ne remplace aucun audit. La plateforme fournit les preuves techniques sur lesquelles ces exigences s'appuient.
DORA
Maîtrise des risques TIC et des prestataires tiers
Profils d'accès distincts pour les prestataires externes, journal de toutes les interventions, rapport de disponibilité et rapport d'incidents.
BAIT / VAIT
Gestion des autorisations et traçabilité
Modèle d'accès à deux niveaux avec chaîne de justification, 26 types d'objets journalisés, rapport d'audit des utilisateurs.
NIS2
Traitement des vulnérabilités et processus de correctifs
Cycles de correctifs documentés avec validation, listes d'exclusion et taux de réussite par anneau.
RGPD art. 32
Preuve des mesures techniques
État du chiffrement par disque, audit des comptes, contrôle de la politique de mots de passe, journaux d'accès.
Autre chose vous correspond mieux ?
Posez-nous votre question d'audit
Nous montrons lors du rendez-vous quel rapport et quel journal y répondent — sur des données réelles issues d'une instance d'essai.