La plateforme intégrée du RSSI d’une entreprise réglementée : vos postes, votre exposition, vos incidents, votre conformité sur 17 référentiels et vos tiers, dans une seule boucle. Chaque affirmation porte sa preuve et sa limite.
DossierEntreprise d’exemple
Données d’exemplePostes avec preuve signée et CVE sur vos actifs
Portée · Périodique, pas en temps réel
Exposition FAIR/ALE et feuille de route du RSSI virtuel
Fourchette d’incertitude simulée (non calibrée)
Feuille de route : 12 actions, dont 3 de priorité haute
Portée · Fourchette simulée, non calibrée
Incident classé en parallèle selon trois référentiels
Alerte précoce NIS2 : il reste 18 h
Portée · Brouillons téléchargeables ; c’est vous qui les présentez
Attestation du Trust Center et dossier du Conseil
Portée · Prouve l’intégrité et l’origine, pas la véracité
Retour à SENSE avec la preuve suivante
La sécurité, la conformité et les tiers vivent souvent dans des tableurs et des outils distincts, qui se périment entre deux audits. NIS2, DORA et l’ENS exigent une preuve à jour pour toute l’organisation et sa chaîne d’approvisionnement.
Le cycle SENSE → PREDICT → ACT → ATTEST est l’architecture du produit et l’index de ce dossier. En marge de chaque affirmation, vous trouvez où la vérifier et jusqu’où elle va.
Source de la preuve
Portée: ce que l’affirmation ne couvre pas
SENSE
recueillir la preuve
Un agent pour Windows, macOS et Linux exécute 172 contrôles et envoie des observations signées numériquement ; la console rejette celles qui ne se vérifient pas.1
Portée. C’est la télémétrie qui est signée, pas l’installeur. 143 contrôles sont des bases de référence ouvertes de niveau L1 qui n’alimentent pas encore le score de conformité.
Voir les preuves et la portéePREDICT
quantifier et simuler
Exposition FAIR/ALE en euros par fournisseur et pour le portefeuille : une estimation ponctuelle paramétrique avec sa fourchette d’incertitude simulée (non calibrée), reproductible.2
Portée. Utilise des paramètres sectoriels du modèle, pas des données de pertes de votre organisation.
Voir les preuves et la portéeACT
proposer avec approbation humaine
HodeiAI propose. Exécuter exige l’approbation explicite d’un utilisateur disposant d’un rôle d’écriture : à usage unique, valable 15 minutes et liée au hash de la proposition exacte.3
Portée. Aujourd’hui, la seule action exécutable est la création d’une entrée dans le registre des risques.
Voir les preuves et la portéeATTEST
le démontrer aux tiers
Chaque Trust Center publié émet des attestations signées avec ML-DSA-65 (FIPS 204), la signature étant séparée du document attesté. Elles attestent le niveau de maturité de chaque référentiel et le plus faible : jamais de scores, d’euros ni de détail sur les fournisseurs.4
Portée. C’est une autoévaluation signée par HodeiShield : elle prouve l’intégrité, l’origine et le moment, pas la véracité de ce qui est attesté. Elle ne remplace pas un audit.
Voir les preuves et la portéeSENSE alimente PREDICT ; PREDICT priorise ce que propose ACT ; ATTEST le démontre aux tiers.
Le même cycle ordonne les solutions. Chacune apparaît ici dans la phase où elle est en tête ; presque toutes participent aussi aux autres.
SENSE
recueillir la preuve
Agent avec 172 contrôles signés.
CVE de vos actifs, les exploitées (KEV) en premier.
SBOM des fournisseurs face aux CVE.
Analyses, questionnaires et dépendances.
PREDICT
quantifier et simuler
Posture par référentiel et feuille de route ordonnée par règles.
17 référentiels, preuve qui expire et correspondances.
ACT
proposer avec approbation humaine
Propose ; une personne approuve.
Classification DORA, NIS2 et RGPD, délais et brouillons.
Registre des systèmes d’IA.
ATTEST
le démontrer aux tiers
Attestation signée, vérifiable hors ligne.
Tableau de bord du Conseil et 18 modèles de rapport.
Aucune solution n’est un module isolé : chacune transmet son travail à la phase suivante.Voir la carte complète des onze solutions
HodeiShield rapproche votre preuve des contrôles canoniques de 17 référentiels. La couverture s’exprime sur ces contrôles, jamais comme un feu vert, et la correspondance entre référentiels réutilise la preuve d’un référentiel à l’autre.
Le moteur de preuves attribue un responsable, une validité et un état, et priorise ce qui manque. Être prêt pour un audit dépend de votre preuve, pas de l’outil.
ENS: 74 contrôles HodeiShield fondés sur l’annexe II de l’ENS (RD 311/2022), par niveau basique, moyen et élevé
Deux portes publiques. Aucune ne vous demande de compte ni de formulaire pour entrer.
verify-attestation.sh contrôle la signature ML-DSA-65, l’expiration et que le niveau global soit le plus faible des niveaux attestés. Il lui suffit de bash 4, d’OpenSSL 3.5 et de python3 (ou Docker ou Podman) : rien de HodeiShield.
curl -s https://app.hodeishield.com/api/public/attest/keys -o keys.json./verify-attestation.sh --attestation attestation.json --jwks keys.json --expect-slug SLUG --expect-issuer https://app.hodeishield.comhodeishield est le CLI officiel : lecture seule sur l’API publique /v1, version 0.3.1 (encore 0.x), signé avec Sigstore et avec provenance SLSA.
cargo install --locked --git https://github.com/Hodeitek/hodeishield-cli --tag v0.3.1 hodeishield-cliLes questions que nous posent les responsables de la sécurité avant de demander une démo, avec des réponses fondées sur ce que fait le produit aujourd’hui.
Non. Le score composite de 0 à 100, qui combine analyse externe, questionnaire et CVE connues, n’est que l’entrée. La valeur est dans la boucle complète et traçable : preuve signée, exposition en euros, actions qu’une personne approuve et attestations que chacun vérifie.
Dans l’UE : application, base de données et stockage gérés par OVH à Gravelines (France). Cloudflare, entreprise américaine, assure le DNS, le CDN et le TLS sur le chemin de la requête.
Parce que vous n’avez pas à nous croire sur parole : elle se vérifie hors ligne avec un vérificateur en code ouvert (Apache-2.0) et la clé publique. La signature est ML-DSA-65 (FIPS 204). Elle prouve l’intégrité, l’origine et le moment, pas la véracité de ce qui est attesté, et ne remplace pas un audit.
Non. La gestion du risque tiers est l’une des onze solutions. La même boucle mesure la posture de vos propres postes avec un agent, croise les CVE de vos actifs, enregistre et classe les incidents face à DORA, NIS2 et au RGPD, mesure 17 référentiels et prépare le tableau de bord du Conseil et les rapports.
Non. L’agent remonte ses informations par cycle, les analyses de fournisseurs sont périodiques selon leur criticité et la synchronisation des CVE est quotidienne. La preuve qui cesse d’arriver expire et cesse de compter.
Non. HodeiAI propose et une personne disposant d’un rôle d’écriture approuve chaque exécution, avec une approbation à usage unique, valable 15 minutes et liée au hash de la proposition. Aujourd’hui, la seule action exécutable est la création d’une entrée dans le registre des risques. L’exécution autonome est bloquée et le kill switch échoue en mode fermé.
Nous testons HodeiShield avec des partenaires MSSP et des organisations avant d’élargir l’accès. Places limitées, demandes jusqu’au 31 décembre 2026 et sans SLA.
Pendant la démo, nous parcourons la boucle avec votre combinaison de référentiels, vos postes et vos tiers, jusqu’à l’attestation.
Vous préférez commencer seul ? La documentation et le vérificateur sont publics.