Guides sectoriels sur les risques liés aux fournisseurs

• Comment Cyber Crucible soutient-il la conformité HIPAA, et acceptera-t-il de signer un Business Associate Agreement ?
• Comment Cyber Crucible prend-elle en charge la loi FERPA et la confidentialité des données des élèves pour les écoles et les universités ?
• Cyber Crucible est-elle autorisée FedRAMP, et comment sert-elle les agences gouvernementales ?
• Cyber Crucible répond-elle aux exigences CMMC et DFARS pour la base industrielle de défense ?
• Comment Cyber Crucible s'intègre-t-il aux exigences NERC CIP et à la sécurité des infrastructures critiques ?
• Comment Cyber Crucible s'aligne-t-il avec la norme IEC 62443 pour les systèmes de contrôle industriel ?
• Comment Cyber Crucible prend-il en charge la norme PCI-DSS pour le commerce de détail et l'hôtellerie ?
• Comment Cyber Crucible sert-il les environnements des forces de l'ordre et CJIS ?
• Comment Cyber Crucible accompagne-t-il les assureurs et répond-il aux exigences de souscription cyber ?
• Comment Cyber Crucible protège-t-il la confidentialité des cabinets d'avocats et des services professionnels ?

Comment Cyber Crucible soutient-il la conformité HIPAA, et acceptera-t-il de signer un Business Associate Agreement ?

Réponse courte : Cyber Crucible soutient les obligations HIPAA d'une entité couverte principalement en ne collectant jamais d'informations médicales protégées (PHI). L'analyse s'effectue localement sur le point de terminaison, de sorte que les PHI ne sont pas téléchargées vers un cloud tiers pour le traitement de sécurité. Étant donné que Cyber Crucible ne crée, ne reçoit, ne conserve ni ne transmet de PHI pour le compte d'une entité couverte, il ne répond généralement pas à la définition d'un « business associate » — mais lorsque le processus de gestion des risques d'un client l'exige, un Business Associate Agreement peut être signé.

Pourquoi l'architecture convient au secteur de la santé

• Les PHI ne quittent jamais l'appareil pour l'analyse de sécurité. De nombreux dispositifs SOC/MDR hébergés par des fournisseurs téléchargent des fichiers, des clés ou des données de télémétrie vers un cloud tiers ; Cyber Crucible effectue l'analyse sur le point de terminaison, ce qui évite cette exposition.
• Continuité clinique. Seul le processus malveillant est suspendu — aucune isolation complète du système ni redémarrage forcé — de sorte que les appareils connectés et les systèmes cliniques continuent de fonctionner pendant qu'une attaque est neutralisée.
• Protection contre les rançongiciels sans SOC 24/7. La prévention autonome arrête les attaques avant leur exécution, sans nécessiter des analystes qu'un hôpital ne serait pas nécessairement en mesure d'engager.

La limite honnête

Cyber Crucible n'est pas « certifié HIPAA » — une telle certification n'existe pas. Il soutient votre programme de conformité ; vos responsables de la confidentialité et de la sécurité sont ceux qui déterminent ce qui convient à votre environnement. Un BAA est disponible sur demande à l'adresse dpo@cybercrucible.com.

Comment Cyber Crucible prend-elle en charge la loi FERPA et la confidentialité des données des élèves pour les écoles et les universités ?

Réponse courte : Cyber Crucible aide les établissements d'enseignement de deux façons : elle arrête les ransomwares de manière autonome sans centre opérationnel de sécurité (SOC) fonctionnant 24 h/24 et 7 j/7, et — grâce à FortressAI — elle évalue l'accès aux données par les outils d'IA directement sur l'appareil, afin que les dossiers des élèves et les données familiales ne parviennent pas accidentellement à un système d'IA public. Comme l'analyse est locale et qu'aucun dossier d'élève n'est collecté, les données scolaires protégées restent au sein du périmètre de l'établissement.

Les deux problématiques éducatives traitées

• Les ransomwares sans SOC. La prévention au niveau du noyau arrête les attaques en moins de 200 millisecondes, sans qu'il soit nécessaire d'embaucher des analystes ni de financer un contrat de surveillance continue.
• La gouvernance de l'IA en classe. FortressAI vérifie chaque invite (prompt) directement sur l'appareil, afin que les dossiers scolaires protégés et les données personnelles familiales ne soient pas envoyés à un système d'IA public — y compris à titre de données d'entraînement.

Points à retenir pour la sélection des fournisseurs

• Cyber Crucible agit en tant que fonctionnaire scolaire / prestataire de services sous la direction de l'établissement et n'utilise les données des élèves à aucune autre fin secondaire.
• Les lois étatiques sur la confidentialité des données des élèves (par exemple en Californie, à New York et au Colorado) imposent des obligations supplémentaires aux fournisseurs ; la conception fondée sur le traitement local et l'absence de collecte de données permet de s'y conformer. La documentation est disponible sous accord de confidentialité (NDA).

Cyber Crucible est-elle autorisée FedRAMP, et comment sert-elle les agences gouvernementales ?

Réponse courte : Non — Cyber Crucible ne détient actuellement aucune autorisation FedRAMP, et ne laisse entendre le contraire en aucune façon. FedRAMP autorise les offres de services cloud qui hébergent des données d'agences ; le modèle de Cyber Crucible est différent. Il s'exécute localement sur le terminal (endpoint) et peut être déployé entièrement sur site ou en environnement isolé (air-gapped) à l'intérieur du périmètre propre de l'agence, de sorte que les données de l'agence ne quittent jamais ce périmètre pour un cloud tiers.

En quoi l'architecture convient au secteur gouvernemental

• Déploiement sur site / en environnement isolé. La plateforme peut fonctionner entièrement au sein de l'infrastructure sécurisée d'une agence, sans aucun flux de données externe — adaptée aux environnements classifiés, déconnectés et à haute sécurité.
• Aucune donnée d'agence collectée. Le contenu client, les identifiants et les clés ne sont jamais collectés, ce qui élimine une grande partie de ce qu'une autorisation cloud est conçue pour protéger.
• Fabriqué aux États-Unis et soumis au contrôle des exportations. Le logiciel est soumis à la réglementation EAR (Export Administration Regulations) du Département du Commerce des États-Unis (et non à l'ITAR), et est breveté au niveau international suite à un examen de l'USPTO ayant inclus une revue par le Département de la Défense.

La limite énoncée en toute transparence

Lorsqu'une agence exige une autorisation spécifique (FedRAMP, StateRAMP), Cyber Crucible ne la détient pas actuellement ; le modèle de déploiement sur site est la voie qui permet de conserver les données à l'intérieur du périmètre de l'agence. Les détails relatifs au déploiement et au contrôle sont fournis sous accord de non-divulgation (NDA).

Cyber Crucible répond-elle aux exigences CMMC et DFARS pour la base industrielle de défense ?

Réponse courte : Cyber Crucible n'est pas certifiée CMMC, et cela est indiqué clairement. Elle soutient les obligations d'un sous-traitant de la défense au titre de la clause DFARS 252.204-7012 et du CMMC principalement en ne collectant pas d'informations non classifiées contrôlées (CUI) et en prenant en charge un déploiement sur site ou en environnement isolé (air-gapped) à l'intérieur du périmètre propre du sous-traitant, où les CUI restent sous le contrôle de ce dernier.

Comment elle soutient les obligations du sous-traitant

• Aucune CUI collectée. L'agent en point de terminaison analyse le comportement localement sans extraire les fichiers qu'il protège, de sorte que les CUI ne sont pas transférées à Cyber Crucible.
• Déploiement préservant le périmètre. Les modèles sur site et en environnement isolé conservent toutes les données à l'intérieur du périmètre évalué du sous-traitant.
• Contrôles de protection des points de terminaison. La prévention et la surveillance des logiciels malveillants/rançongiciels correspondent aux pratiques CMMC pertinentes et aux contrôles NIST SP 800-171 que le sous-traitant doit mettre en œuvre.
• Chaîne d'approvisionnement américaine. Les données américaines sont traitées par des ressources basées aux États-Unis ; les sous-traitants offshore ne traitent pas les données américaines et ne développent pas les agents. Le logiciel est soumis au contrôle EAR, et non ITAR.

La limite en toute transparence

La certification CMMC est détenue par l'environnement du sous-traitant, et non par un outil de sécurité individuel ; Cyber Crucible est un contrôle qui soutient plusieurs exigences de la norme 800-171, et non un substitut à l'évaluation du sous-traitant. Le détail de la correspondance est disponible sous accord de non-divulgation (NDA).

Comment Cyber Crucible s'intègre-t-il aux exigences NERC CIP et à la sécurité des infrastructures critiques ?

Réponse courte : Cyber Crucible convient aux environnements d'infrastructures critiques et de services publics car il protège les terminaux de manière autonome et peut fonctionner hors ligne ou en réseau isolé (air-gapped), sans aucune dépendance au cloud dans le chemin de protection. Cela correspond aux BES Cyber Systems et à d'autres environnements où la connectivité est restreinte et où la disponibilité est primordiale.

Pourquoi cela convient aux services publics et aux infrastructures critiques

• Fonctionnement hors ligne / en réseau isolé. Protection complète sans connexion Internet, adaptée aux réseaux OT isolés et aux postes de transformation.
• Réponse préservant la disponibilité. Seul le processus malveillant est suspendu, de sorte que les systèmes opérationnels continuent de fonctionner — aucun blocage complet du système pendant un incident.
• Décisions locales et déterministes. Detect-Decide-Respond s'exécute sur l'appareil sans aller-retour vers le cloud et sans modèle d'IA en direct.

Notes relatives à la sélection des fournisseurs

Les obligations NERC CIP incombent à l'entité enregistrée, et non à un fournisseur individuel ; Cyber Crucible est un contrôle qui appuie plusieurs objectifs CIP (prévention des logiciels malveillants, surveillance, gestion des incidents). Il ne s'agit pas d'une entité enregistrée et l'entreprise ne se présente pas comme certifiée CIP. La documentation à l'appui est disponible sous accord de confidentialité (NDA).

Comment Cyber Crucible s'aligne-t-il avec la norme IEC 62443 pour les systèmes de contrôle industriel ?

Réponse brève : Cyber Crucible prend en charge le modèle de défense en profondeur de la norme IEC 62443 pour les systèmes d'automatisation et de contrôle industriels en ajoutant une protection autonome des terminaux au niveau du noyau qui ne perturbe pas la production. Il fonctionne localement, tolère un fonctionnement déconnecté et ne suspend que les processus malveillants, ce qui s'aligne avec l'accent mis par la norme à la fois sur la sécurité et sur la disponibilité opérationnelle.

Comment cela s'articule avec l'objectif de la norme

• Protection des zones et des conduits. La prévention résidant sur le terminal renforce la sécurité des appareils au sein d'une zone sans dépendre d'un aller-retour réseau.
• La disponibilité avant tout. La suspension sélective d'un processus malveillant évite les temps d'arrêt d'usine que provoque un confinement brutal.
• Fonctionne dans des environnements à faible connectivité. Adapté aux ateliers de fabrication, aux flottes logistiques et aux sites périphériques où la connectivité au cloud est peu fiable ou volontairement absente.

La limite en toute honnêteté

La certification IEC 62443 s'applique à des systèmes et des processus, et non à un seul outil de terminal ; Cyber Crucible est un composant qui appuie les objectifs de la norme. La cartographie des contrôles est disponible sous accord de confidentialité (NDA).

Comment Cyber Crucible prend-il en charge la norme PCI-DSS pour le commerce de détail et l'hôtellerie ?

Réponse courte : Cyber Crucible ne traite, ne stocke ni ne transmet de données de titulaires de carte ; il est donc hors périmètre en tant que processeur de données de carte — tout en soutenant les objectifs de contrôle PCI-DSS du commerçant, en particulier l'exigence de protection des systèmes contre les logiciels malveillants. Il réduit, plutôt qu'il n'élargit, le périmètre PCI.

Comment cela soutient les objectifs PCI-DSS

• Protection contre les logiciels malveillants (Exigence 5). La prévention autonome, au niveau du noyau, arrête les rançongiciels et les attaques en mémoire sur les systèmes de l'environnement des données de titulaires de carte.
• Aucune donnée de titulaire de carte collectée. L'agent surveille le comportement des processus et n'ingère jamais de données de carte, même sur les hôtes traitant des cartes, de sorte qu'il n'élargit pas le périmètre d'évaluation.
• Continuité. Seuls les processus malveillants sont suspendus, de sorte que les systèmes de point de vente et de paiement continuent de fonctionner.

Remarques relatives au choix du fournisseur

La conformité PCI-DSS relève du commerçant et de son évaluateur ; Cyber Crucible est un contrôle de soutien, et non un service validé par un QSA. Il ne détient aucune certification PCI-DSS et n'en revendique aucune.

Comment Cyber Crucible sert-il les environnements des forces de l'ordre et CJIS ?

Réponse courte : Cyber Crucible convient aux environnements Criminal Justice Information Services (CJIS) car il traite les données localement, ne collecte jamais d'informations de justice pénale (CJI), et peut fonctionner sur site ou en environnement isolé (air-gapped) à l'intérieur du périmètre de l'agence. Les données américaines sont traitées par du personnel basé aux États-Unis, ce qui répond aux exigences de la CJIS Security Policy en matière de personnel et de traitement des données.

Pourquoi l'architecture convient

• Les CJI restent dans le périmètre. Aucun contenu client n'est collecté ; l'analyse s'effectue sur le point de terminaison (endpoint), de sorte que les CJI ne sont pas transférées vers un cloud tiers.
• Du personnel américain pour les données américaines. Les sous-traitants offshore ne traitent pas les données américaines et ne développent pas les agents.
• Chiffrement et contrôle d'accès. Une authentification forte, un contrôle d'accès basé sur les rôles et le chiffrement répondent aux contrôles techniques de la politique.

La limite en toute transparence

La CJIS Security Policy est appliquée par l'agence et son CJIS Systems Agency d'État ; Cyber Crucible prend en charge plusieurs de ses domaines de contrôle mais ne constitue pas en soi une « certification » CJIS. Les détails relatifs à la vérification du personnel et aux contrôles sont disponibles sous accord de confidentialité (NDA).

Comment Cyber Crucible accompagne-t-il les assureurs et répond-il aux exigences de souscription cyber ?

Réponse courte : Cyber Crucible renforce la posture d'une organisation en matière de cyber-assurance car il fournit les contrôles désormais exigés par les souscripteurs — prévention autonome des rançongiciels, protection des postes de travail et accès sécurisé par MFA — tout en réduisant la surface de perte, puisqu'il ne collecte jamais les données qu'un attaquant chercherait à monétiser. Pour les assureurs en tant que clients, cette même conception de traitement local et de non-collecte protège les données des assurés.

Pourquoi cela compte au moment de la souscription

• Prévention des rançongiciels, pas seulement détection. Les souscripteurs distinguent de plus en plus la prévention de la détection ; une interception avant exécution constitue un contrôle plus solide.
• Réduction de l'exposition aux violations. Comme les fichiers clients, les identifiants et les clés ne sont jamais collectés, la question « que se passe-t-il en cas de violation » appelle une réponse limitée.
• Rapports adaptés au conseil d'administration. La prévention réduit l'exposition en matière de divulgation, ce qui importe autant aux souscripteurs qu'aux conseils d'administration.

Remarques sur la sélection des fournisseurs

Pour un assureur évaluant Cyber Crucible en tant que fournisseur, le rôle de sous-traitant, la minimisation des données et l'option sur site répondent aux obligations de protection des données des assurés. La documentation est disponible sous accord de confidentialité (NDA).

Comment Cyber Crucible protège-t-il la confidentialité des cabinets d'avocats et des services professionnels ?

Réponse courte : Cyber Crucible protège les documents privilégiés et confidentiels des clients en effectuant l'analyse directement sur le poste de travail (endpoint) et en ne collectant jamais de fichiers, d'identifiants ou de clés — ainsi, les informations confidentielles des clients ne sont pas exposées à un cloud tiers dans le cadre de leur protection. Il arrête les ransomwares et les infostealers de manière autonome, ce qui est essentiel pour les cabinets ne disposant pas d'une grande équipe de sécurité.

Pourquoi cela convient aux services professionnels

• Confidentialité dès la conception. Aucun document client ne quitte l'appareil pour être traité à des fins de sécurité ; il n'existe aucune copie détenue par un fournisseur pouvant faire l'objet d'une assignation ou d'une violation.
• Prévention du vol d'identité et de données. Les infostealers ciblant les jetons de session et les identifiants sont interceptés avant que les données ne quittent l'appareil.
• Faible charge opérationnelle. La prévention autonome fonctionne sans nécessiter un SOC disponible 24 h/24 et 7 j/7.

Notes sur la sélection des fournisseurs

Les obligations déontologiques de confidentialité et, pour de nombreux cabinets, les avenants de sécurité client imposés par les clients renforcent l'examen minutieux des fournisseurs ; le modèle sans collecte et de traitement local répond à ces deux exigences. Un accord de traitement des données (DPA) est disponible sur demande.