Comprendre les intégrations

Réponse courte

CRA Manager propose des intégrations configurables pour GitHub et GitLab. Les imports Excel ou SBOM et les sources OSV/NVD suivent des parcours distincts.

Disponibilité produit : GitHub et GitLab disponibles ; hub de connecteurs génériques en cours.

Définition

Une intégration relie une organisation CRA Manager à un fournisseur externe afin de sélectionner un dépôt et de lancer un scan connecté. Un import charge un fichier fourni par l’utilisateur. Une source externe de sécurité alimente des références à vérifier.

Pourquoi c’est important

Confondre ces mécanismes peut conduire à attendre une synchronisation automatique d’un simple import, ou à traiter une référence CVE comme une vulnérabilité CRA formelle déjà qualifiée.

Comment CRA Manager le modélise

Les configurations GitHub et GitLab appartiennent à une organisation. Les parcours disponibles permettent de configurer l’intégration, lister les dépôts autorisés et rattacher un scan à un dépôt sélectionné.

Les imports manuels, Excel et SBOM complètent l’inventaire selon leur écran. Les données OSV/NVD/CVE restent des signaux externes, alertes externes ou points de sécurité à vérifier. Une qualification humaine est nécessaire avant de créer une vulnérabilité CRA formelle.

Exemple concret

Un Admin organisation configure GitLab et limite l’accès aux dépôts prévus. Un Contributeur lance ensuite un scan connecté sur un dépôt autorisé. Les références détectées alimentent les points de sécurité à vérifier, sans déclaration formelle automatique.

Limites / points d’attention

La présence d’une page de connecteurs ne garantit pas qu’un fournisseur soit opérationnel. Vérifiez la disponibilité affichée. Ne placez jamais un secret fournisseur dans une URL, une capture ou un ticket et révoquez immédiatement tout secret exposé.

Contexte métier approfondi

Comprendre les intégrations s’inscrit dans une chaîne de pilotage : définir le périmètre, collecter des informations vérifiables, prendre une décision, affecter un responsable puis conserver une trace. Une donnée isolée est rarement suffisante. Elle doit être rattachée au bon produit, à une version ou une période et à la personne qui l’a confirmée.

Dans Administration et sécurité, CRA Manager sert de support de coordination. L’outil rend les informations comparables et facilite les revues, mais la qualité du résultat dépend des données saisies et de la validation des équipes compétentes. Une estimation, un statut ou un export ne constitue donc ni une certification, ni un avis juridique, ni une évaluation de conformité officielle.

Exemple de mise en situation

Une équipe prépare la revue d’un produit exposé sur Internet. Elle vérifie d’abord que la fiche décrit la version réellement distribuée, puis rapproche inventaire, signaux, risques, actions et preuves. Les désaccords sont consignés au lieu d’être masqués. Le responsable peut alors expliquer ce qui est confirmé, ce qui reste à vérifier et quelle décision est attendue.

Questions à poser pendant une revue

• Le périmètre et la version concernés sont-ils explicites ?
• La source de l’information est-elle identifiable et suffisamment récente ?
• Une hypothèse a-t-elle été présentée comme un fait ?
• La décision est-elle confirmée par la fonction compétente ?
• Les limites et éléments encore inconnus sont-ils visibles ?

Bonnes pratiques complémentaires

Privilégiez des informations courtes mais vérifiables. Nommez les responsables par fonction lorsque l’organisation change souvent. Reliez les preuves à l’objet qu’elles étayent et conservez l’historique des décisions importantes. En revue, commencez par les données les moins fiables ou les enjeux les plus élevés plutôt que par les éléments déjà complets.

Erreurs fréquentes à éviter

• Copier une conclusion d’un autre produit sans vérifier son applicabilité.
• Confondre une donnée importée avec une qualification humaine.
• Utiliser une valeur par défaut pour faire disparaître un champ incomplet.
• Clôturer un travail sans résultat attendu ni preuve exploitable.
• Présenter un indicateur CRA Manager comme une décision réglementaire.

Limites et précautions

Le contenu doit être adapté au rôle de l’organisation, au produit et à sa mise à disposition. En cas de doute sur le champ du règlement (UE) 2024/2847, la procédure d’évaluation ou une obligation de notification, sollicitez les fonctions juridiques, cybersécurité ou conformité compétentes. CRA Manager aide à préparer et tracer leur analyse ; il ne s’y substitue pas.

Exemple concret de revue

Lors d’une revue trimestrielle consacrée à « Comprendre les intégrations », le pilote présente le produit et la version concernés, puis sépare les informations confirmées des hypothèses. Il montre la source, la date de collecte, les décisions prises et les travaux encore ouverts. Une autre personne vérifie que les éléments appartiennent bien au bon périmètre et que les preuves permettent de comprendre le résultat sans connaissance implicite du projet.

Si une donnée importée contredit une information déclarée, l’équipe ne choisit pas arbitrairement la valeur la plus favorable. Elle recherche la cause, documente l’écart et affecte la vérification à un responsable. Le compte rendu précise enfin la prochaine échéance et les conditions nécessaires à la clôture. Cette discipline rend la décision explicable dans le temps et évite qu’un indicateur synthétique masque une information fragile.

Point de vigilance supplémentaire

Avant toute diffusion externe, relisez les termes réglementaires, retirez les données inutiles et vérifiez que les limites sont visibles. Une capture, un export ou un statut isolé ne doit pas être présenté comme une validation officielle.

À retenir

CRA Manager propose des intégrations configurables pour GitHub et GitLab. Les imports de fichiers et les sources OSV/NVD sont des mécanismes distincts.

Articles liés

• Lancer un scan manuel
• Lire une alerte externe

Bloc IA support

Intention principale

Distinguer intégrations, imports et sources externes.

Questions utilisateur couvertes

• Puis-je connecter GitHub ou GitLab ?
• Une référence CVE importée est-elle une vulnérabilité CRA formelle ?

Réponse courte recommandée

GitHub et GitLab peuvent être configurés par organisation. Les imports et OSV/NVD/CVE sont séparés et produisent des éléments à qualifier.

Réponse détaillée recommandée

Expliquer la sélection du dépôt, le scan connecté, l’isolation par organisation et la validation humaine.

Ne pas répondre automatiquement si

• Un secret ou jeton est exposé.
• Un dépôt d’une autre organisation apparaît.

Articles à proposer ensuite

• lancer-scan-manuel
• lire-alerte-externe

Article issu de la base de connaissance CRA Manager.