Un seul socle, huit modules, une même vérité.

Que se passe-t-il, et depuis quand ?

Les journaux, alertes et flux arrivent depuis vos systèmes, sont normalisés dans un format commun et horodatés en temps universel. Une source qui se tait est signalée comme telle : le silence d’un capteur est une information, pas un vide.

• Format commun : la même question donne la même réponse, quelle que soit la source.
• Santé et retard de chaque source, visibles en permanence.
• Aucune donnée n’est envoyée hors de votre organisation.

Qu’est-ce qui mérite qu’on s’y arrête ?

Des règles versionnées, testées et rejouées transforment le bruit en signaux. Une corrélation déterministe rassemble les signaux qui parlent du même événement, avec un score et une explication du score.

• Chaque règle passe par un mode observation avant d’être active.
• Le score de corrélation est calculé, et son explication est affichée à côté.
• Aucun modèle de langage n’intervient dans la détection.

Que savons-nous vraiment ?

Les signaux corrélés forment un incident : des faits datés, chacun rattaché à une preuve adressée par son empreinte, des hypothèses clairement identifiées comme telles, et des inconnues écrites noir sur blanc.

• Un fait sans preuve n’est pas un fait.
• Les hypothèses sont séparées des faits, et le disent.
• Chaque inconnue indique pourquoi elle compte et comment la lever.

Que faisons-nous, et comment revenir en arrière ?

Une action est d’abord une proposition. Elle est confrontée au mandat et à une politique déterministe, simulée à blanc, approuvée par une personne qui n’en est pas l’auteur, exécutée avec une durée de vie, vérifiée, puis annulable.

• Cinq niveaux d’action : lecture, scan non destructif, réversible avec durée de vie, approbation humaine, interdit.
• Le moteur d’exécution n’accepte que des adaptateurs typés : ni interpréteur libre, ni commande générée.
• Le retour arrière est décrit avant l’exécution, pas après.

Qui a le droit, et qu’en reste-t-il comme trace ?

Les mandats définissent le périmètre autorisé, les rôles définissent qui peut quoi, et le journal d’audit chaîné garde la trace de chaque écriture. Le contrôle est appliqué côté serveur, jamais seulement dans l’interface.

• Un mandat signé, daté, avec ses exclusions et sa fenêtre d’intervention.
• Séparation des tâches : l’auteur d’une proposition ne l’approuve pas.
• Chaque écriture produit une ligne d’audit reliée à celle qui précède.