Preuves de contrôle

Sécurité › Rapports › Preuves de contrôle (/<org>/_admin/security/reports/control-evidence) montre ce qui s’est passé dans votre organisation sur une période, rapproché des contrôles des Common Criteria de SOC 2 et de l’annexe A d’ISO 27001. La page lit le même journal d’audit chaîné par hachage ; c’en est une vue, pas un enregistrement distinct.

Pour les documents concernant fremforge en tant que fournisseur (sous-traitants, certifications héritées), voir Attestation fournisseur.

Ce qu’elle montre

• La dernière ancre de votre chaîne de hachage d’audit, et jusqu’où la chaîne a été archivée.
• Pour chaque référentiel, chaque contrôle concerné avec le nombre d’événements sur la période, ainsi que le premier et le dernier.
• Un détail par contrôle, qui liste ses événements.

La période par défaut correspond aux 90 derniers jours.

Lot signé

Générer le lot signé télécharge un zip pour la période : un manifeste JSON avec les décomptes par contrôle et les lignes d’audit sous-jacentes, et un PDF. Le même lot est disponible via GET /_app/api/v1/orgs/{org}/compliance-evidence?from=YYYY-MM-DD&to=YYYY-MM-DD (portée audit:read), pour une période d’un an au maximum.

Le manifeste est signé en HMAC-SHA-256, avec une clé que détient fremforge. Un HMAC est une signature à clé partagée : il montre que le lot n’a pas été modifié après sa création par fremforge, à quelqu’un qui peut le vérifier avec fremforge, mais votre auditeur ne peut pas le vérifier seul. Pour une intégrité que votre auditeur peut contrôler de manière indépendante, utilisez la chaîne d’audit.