Accepter une exception
Un schéma doit parfois garder un écart : une vieille base jusqu’à la migration de l’an prochain, un appel direct que la plateforme ne sait pas encore porter. Une exception consigne cet écart avec sa portée, ses raisons, les contrôles qui le compensent et une échéance, pour que le constat soit couvert au lieu d’être caché.
Sur cette page
Avant de commencer
- Éditeur ou propriétaire de l’espace pour accorder une exception. Quiconque peut en demander une peut la remplir ; elle attend, demandée, qu’un éditeur ou un propriétaire l’accorde.
- Le constat ou le standard visé par l’exception : pour l’exemple, le constat STD-01 sur la base Claims, qui tourne sous PostgreSQL 12.
Demander une exception
- Partir du constat
Dans la revue, sur le constat, choisissez Demander une exception… Le formulaire est lié à la règle et aux éléments du constat. Vous pouvez aussi partir du menu Gouvernance avec Demander une exception…
- Dire ce qu’elle couvre
Donnez-lui un titre (La base Claims reste en PostgreSQL 12 jusqu’à la migration du T3) et sa portée : des éléments de ce schéma, une règle, ou une technologie du radar.
- Dire pourquoi, et ce qui compense
Écrivez la justification. Sous Contrôles compensatoires, choisissez Ajouter un identifiant de contrôle pour chaque contrôle, écrit comme identifiant de référentiel, par exemple PR.PS-02 du NIST CSF 2.0.
- Fixer les dates et enregistrer
Renseignez Expire le, obligatoire, et une Date de revue avant. Ajoutez le lien Ticket de la migration si vous en avez un. Enregistrez.
L’exception a une clé comme EX-0001, et le constat affiche Exception demandée · jusqu’à ce qu’elle soit accordée.
L’accorder
Un éditeur ou un propriétaire ouvre l’exception dans le Registre de gouvernance et la passe à Accordé. Le constat indique alors Couvert par EX-0001 et ne compte plus comme ouvert. Une décision peut aussi accorder une exception : le registre indique alors Accordée par la décision.
La vie d’une exception
| État | Ce qu’il signifie | Qui le change |
|---|---|---|
| Demandé | Rédigée, en attente de décision | un éditeur ou un propriétaire l’accorde ou la révoque |
| Accordé | Couvre ses constats jusqu’à son échéance | elle expire à sa date, ou elle est révoquée |
| Expiré | Échue : ne couvre plus rien | un éditeur ou un propriétaire peut l’accorder de nouveau avec une nouvelle date |
| Révoqué | Retirée avant sa date |
Deux contrôles gardent les exceptions honnêtes :
- GOV-02 Exception à revoir : moyenne une fois la date de revue passée, faible quand l’exception expire sous 30 jours.
- GOV-01 Exception expirée : élevée. L’écart qu’elle couvrait n’est de nouveau plus géré.
Pour voir ce qui demande votre attention, filtrez le registre de gouvernance sur Expirées, à revoir ou expirant sous 30 jours.
Exception, risque accepté ou constat ignoré
- Exception : un écart à un standard, accepté jusqu’à une date, avec des contrôles. À utiliser quand l’écart sera corrigé plus tard.
- Accepter le risque, sur un constat : une raison et une date de revue facultative, pour un seul constat. Voir Lancer les contrôles et traiter les constats.
- Ignorer : le constat ne s’applique pas (voulu, faux positif). Rien à suivre.
Si ça ne marche pas
Le constat reste ouvert après l’exception
L’exception est encore Demandé, ou sa portée n’inclut pas les éléments ou la règle du constat. Demandez à un éditeur ou à un propriétaire de l’accorder, ou élargissez la portée.
Un identifiant de contrôle est refusé
Il ne correspond à aucun référentiel de l’espace. Écrivez-le comme le référentiel, par exemple PR.AA-03 pour le NIST CSF 2.0.
« Votre rôle ne permet pas de modifier cet enregistrement »
Seuls les éditeurs et les propriétaires accordent, révoquent ou renouvellent une exception. Demandez à l’un d’eux, ou demandez le rôle : voir Rôles et permissions.
Plus : Standards.
Cette page vous a-t-elle aidé ?Réponse anonyme, comptée seulement si vous avez accepté la mesure.
Qu’est-ce qui n’a pas marché ?
N’écrivez pas de données personnelles.