Sachez à quels fournisseurs vous êtes exposé, et qui tombe avec eux.

Chaque fournisseur avec son score de 0 à 100, ses dépendances dans un graphe et les concentrations qu’aucun fournisseur ne montre isolément. Questionnaires, CVE (vulnérabilités publiées) et décisions restent dans le même registre.

Pour: Responsables des fournisseurs et du TPRM, et le RSSI qui répond de la chaîne d’approvisionnement devant la direction et le régulateur.

Demander une démo Lire les concepts dans la documentation

Les dépendances, c’est vous qui les déclarez ; la propagation va jusqu’à 3 sauts
Analyses périodiques avec des sources externes, pas en temps réel

Carte des dépendancesPortefeuille

Données d’exemple

Concentration (HHI): 3 420 / 10 000
Rayon d’impact: 3 fournisseurs à 3 sauts

Fournisseur C

Score composite71 / 100Élevé

Analyse externe2 constats ouverts
QuestionnaireValidé par un analyste
CVE connues1 dans KEV

Données d’exemple : les fournisseurs, les scores et les chiffres sont fictifs.

Où il s’insère dans le cycle

Cette solution parcourt les quatre phases, avec le fournisseur pour unité de travail.

SENSE · recueillir la preuve
Analyse externe du fournisseur, questionnaires par portail et synchronisation quotidienne des CVE.
PREDICT · quantifier et simuler
Score de 0 à 100, exposition FAIR/ALE en euros avec sa fourchette d’incertitude simulée (non calibrée), simulateur de scénarios et concentration HHI.
ACT · proposer et approuver
HodeiAI propose une entrée dans le registre des risques et une personne disposant d’un rôle d’écriture l’approuve. Les alertes sont acheminées vers vos systèmes.
ATTEST · démontrer aux tiers
Le Trust Center résume votre maturité par référentiel ; il n’expose jamais de scores, de montants ni de détail sur les fournisseurs.

De l’enregistrement à la décision : la vie d’un fournisseur

Le même parcours pour le fournisseur numéro 5 et pour le 500. Chaque étape laisse sa trace dans le registre.

Vous enregistrez le fournisseur et sa criticité
Chaque fournisseur vit dans un registre isolé par organisation. Sa criticité (critique, élevée, moyenne, faible) multiplie son score et décide de la fréquence des nouvelles analyses.
Vous déclarez de qui il dépend
Les dépendances (critique, opérationnelle, de support, sous-traitant ultérieur, revendeur), c’est vous qui les déclarez. HodeiShield propage le risque par pondération, détecte les points uniques de défaillance et calcule la concentration (HHI) et le rayon d’impact.
Portée. La découverte des n-ièmes parties à partir des SBOM existe, mais elle n’est pas planifiée : ce n’est pas une cartographie automatique.
Il est noté avec des signaux distincts
Le score composite combine l’analyse externe, le questionnaire et les CVE connues, et s’ajuste selon le niveau d’accès, la propagation et la concentration. Chaque constat renvoie à sa preuve.
Portée. Les données d’analyse viennent de Shodan et Have I Been Pwned orchestrés avec n8n : périodiques, pas en temps réel.
Le fournisseur répond via un portail
Il reçoit un lien à usage unique, répond sans créer de compte et téléverse sa preuve. Il y a des rappels automatiques, et un analyste valide ou conteste chaque réponse.
Portée. Tant qu’un analyste ne l’a pas validée, la réponse est une autoévaluation du fournisseur.
Une nouvelle CVE apparaît chez le fournisseur
La synchronisation des CVE est quotidienne (NVD, CISA KEV et EPSS, la probabilité d’exploitation). Les CVE activement exploitées pèsent davantage dans le score et génèrent une alerte si vous avez une règle d’acheminement.
Portée. L’avertissement au fournisseur par e-mail se déclenche manuellement.
Vous décidez et c’est consigné
Enregistrement, renouvellement, revue après incident, revue périodique ou sortie : chaque décision passe par des états définis, avec qui l’a prise et quelle preuve l’appuyait.
Portée. C’est un registre auditable ; il ne remplace pas votre processus d’achats et n’est pas une signature juridique.

Ce qu’il fait, avec sa preuve et sa portée

Chaque affirmation indique en marge où la vérifier et jusqu’où elle va. Les phases sont celles du cycle ; ici, vues depuis le fournisseur.

Source de la preuve

Documentation publique
Code ouvert
Dans la démo

Portée: ce que l’affirmation ne couvre pas

SENSE · recueillir la preuve

Des signaux sur le fournisseur issus de trois origines : ce que l’on voit de l’extérieur, ce qu’il répond lui-même et les vulnérabilités qui l’affectent.

Analyse externe de chaque fournisseur sur les ports exposés, les CVE et les violations de données connues, avec les données de Shodan et Have I Been Pwned.1
Docs · Moteur de risque (s’ouvre dans un nouvel onglet)
Portée. Nouvelle analyse périodique selon la criticité du fournisseur. Ce n’est ni un scanner propre ni une surveillance continue.
Portail de questionnaires par lien à usage unique : le fournisseur répond sans compte, téléverse sa preuve et un analyste valide chaque réponse.2
Docs · Guide du fournisseur (s’ouvre dans un nouvel onglet)
Portée. Un questionnaire non validé est une autoévaluation du fournisseur.
Synchronisation quotidienne des CVE (NVD, CISA KEV et EPSS, la probabilité d’exploitation) face aux actifs déclarés de chaque fournisseur.3
Dans la démo · fiche du fournisseur
Portée. Repère les CVE activement exploitées ; n’avertit pas le fournisseur par e-mail sans que vous le déclenchiez.

S’applique dansChaîne d’approvisionnement et SBOM Sécurité des endpoints

PREDICT · quantifier et simuler

Transforme les signaux en risque comparable d’un fournisseur à l’autre, en points et en euros, sur votre graphe de dépendances.

Score composite de 0 à 100 par fournisseur, avec sa bande de gravité et les constats qui l’expliquent, chacun relié à sa preuve.4
Docs · Concepts de base (s’ouvre dans un nouvel onglet)
Exposition FAIR/ALE en euros par fournisseur et pour le portefeuille : estimation ponctuelle paramétrique avec une fourchette d’incertitude simulée (non calibrée).5
Docs · Moteur de risque (s’ouvre dans un nouvel onglet)
Portée. Utilise des paramètres sectoriels du modèle, pas vos données de pertes. Le portefeuille additionne des espérances ; il n’y a pas de percentiles de portefeuille.
Simulateur déterministe à 7 types de scénario : il propage l’impact dans le graphe et renvoie les fournisseurs touchés, les variations de score et les chemins.6
Docs · Simulateur (s’ouvre dans un nouvel onglet)
Portée. Renvoie des variations de score, pas des euros. N’utilise pas d’IA : le scénario en langage naturel est un comparateur de mots-clés.
Concentration HHI et rayon d’impact à 3 sauts sur les dépendances que vous déclarez, avec détection des points uniques de défaillance.7
Dans la démo · vue de concentration
Portée. Ne voit que les dépendances déclarées ; ne découvre pas seul votre chaîne complète.

S’applique dansConformité multi-référentiel DORA : concentration et fournisseurs TIC

ACT · proposer et approuver

Transforme la décision en fait consigné, avec une personne responsable de chaque étape.

HodeiAI propose une entrée dans le registre des risques ; seule une personne disposant d’un rôle d’écriture la crée, avec une approbation à usage unique, de 15 minutes et liée au hash de la proposition.8
Dans la démo · proposition et approbation
Portée. C’est la seule action exécutable aujourd’hui. Elle n’isole pas de postes, ne contacte pas de fournisseurs et n’ouvre pas de tickets.
Les alertes sont acheminées vers ServiceNow, Jira, Slack, Teams, e-mail, webhook signé, SIEM, PagerDuty et Opsgenie selon vos règles.9
Docs · Connecteurs (s’ouvre dans un nouvel onglet)
Portée. Elles notifient ou créent le ticket dans votre système ; elles ne remédient pas.
Registre des décisions sur les fournisseurs avec des types (enregistrement, renouvellement, revue, sortie), des états définis et la preuve qui les a appuyées.10
Docs · Registre des décisions (s’ouvre dans un nouvel onglet)
Portée. Ne remplace pas votre processus d’achats et n’est pas une signature juridique.

S’applique dansHodeiAI

ATTEST · démontrer aux tiers

Ce que vous pouvez montrer à l’extérieur sans montrer votre portefeuille de fournisseurs.

Le Trust Center émet à la demande une attestation signée avec ML-DSA-65 de votre maturité par référentiel, que chacun vérifie hors ligne.11
Code ouvert · Vérificateur ATTEST (s’ouvre dans un nouvel onglet)
Portée. Uniquement des niveaux par référentiel : jamais de scores, de montants en euros ni de détail sur les fournisseurs. Elle prouve l’intégrité, l’origine et le moment, pas la véracité, et ne remplace pas un audit.

S’applique dansTrust Center et ATTEST

SENSE alimente PREDICT ; PREDICT priorise ce que propose ACT ; ATTEST le démontre aux tiers.

Ce qu’il ne fait pas

Pour que vous décidiez avec la portée exacte sous les yeux.

Ce n’est pas un scanner propre et il ne surveille pas en temps réel : les données des fournisseurs viennent de sources externes avec une nouvelle analyse périodique.
Il ne dessine pas seul votre chaîne complète : les dépendances sont celles que vous déclarez, et la découverte par SBOM n’est pas planifiée.
La fourchette d’incertitude FAIR est simulée et non calibrée ; ce n’est pas une probabilité de violation.
Il ne remplace pas le questionnaire : il l’exécute et le relie au score et au registre des décisions.
Il ne contacte pas vos fournisseurs de lui-même et n’exécute aucune remédiation.

Comment il se connecte aux autres solutions

Le fournisseur est le point de croisement : c’est d’ici que partent et ici qu’arrivent les autres solutions.

Questions de qui gère les fournisseurs

Les objections habituelles, avec la réponse telle quelle.

Remplace-t-il mon questionnaire fournisseurs ?

Non. Il l’exécute (envoi par lien, rappels, preuve et validation par un analyste) et le relie au score du fournisseur et au registre des décisions. Vous pouvez continuer à utiliser vos propres questions.

Analyse-t-il mes fournisseurs en temps réel ?

Non. L’analyse externe utilise des sources comme Shodan et Have I Been Pwned orchestrées avec n8n, avec une nouvelle analyse périodique selon la criticité du fournisseur. La synchronisation des CVE est quotidienne. HodeiShield n’a pas de scanner propre.

Découvre-t-il seul les fournisseurs de mes fournisseurs ?

Pas de façon automatique. La concentration et le rayon d’impact sont calculés sur les dépendances que vous déclarez. La découverte des n-ièmes parties à partir des SBOM existe, mais elle n’est pas encore planifiée, nous ne la présentons donc pas comme une cartographie complète.

Comment l’exposition en euros est-elle calculée ?

Avec FAIR/ALE : une estimation ponctuelle paramétrique en euros de la perte annuelle attendue, plus une fourchette d’incertitude simulée (non calibrée) et reproductible. Elle utilise des paramètres sectoriels du modèle, pas vos données de pertes. La fourchette sert à comparer les fournisseurs et à prioriser, pas à prédire une compromission.

Que peut faire HodeiAI avec un fournisseur ?

Proposer une entrée dans le registre des risques. Une personne disposant d’un rôle d’écriture l’approuve (approbation à usage unique, de 15 minutes et liée au hash de la proposition) et c’est seulement alors qu’elle est créée. Aujourd’hui, il ne fait aucune autre action.

Cela m’aide-t-il pour DORA et NIS2 ?

Oui, sur le volet des tiers : registre des fournisseurs, concentration, preuve et décisions. Être prêt pour un audit dépend de votre preuve, pas de l’outil. Consultez le cas d’usage de chaque norme pour le détail.

Voyez vos fournisseurs sur la carte

Pendant la démo, nous parcourons le graphe, le score et le registre des décisions sur un fournisseur de votre portefeuille.

Les concepts, le moteur de risque et le simulateur figurent dans la documentation publique.

Demander une démo Lire la documentation