ISMS Builder

Système de management de la sécurité de l'information auto-hébergé — open source, sans cloud

📖 Wiki — Utilisation de l'image Docker & variables d'environnement, architecture & modules, FAQ, contribution (DE/EN)

---

⚠️ Avertissement de sécurité : faux dépôts et copies diffusant des logiciels malveillants

ISMS Builder n'a aucune « release » packagée, aucun installateur, aucun fichier ZIP téléchargeable — la seule source légitime est ce dépôt, cloné ou téléchargé directement depuis GitHub sous forme de code source brut. Nous avons connaissance d'au moins un dépôt malveillant usurpant l'identité de ce projet (faux README, faux bouton « Download » pointant vers un ZIP déguisé en capture d'écran, contenant un chargeur de logiciel malveillant Windows — chaîne de charge utile .cmd → .exe → DLL Lua). Ne téléchargez et n'exécutez aucun ZIP/installateur/exe « isms_builder » provenant d'ailleurs que de ce dépôt. Si vous trouvez un dépôt ou un site suspect usurpant l'identité de ce projet, veuillez ouvrir une issue ou une discussion afin que nous puissions le signaler.

---

Statut : développement actif — pas encore un produit fini. Les modules principaux sont fonctionnels et utilisés, mais certaines fonctionnalités sont incomplètes et la plateforme est encore en évolution. Les contributions, retours et tests en conditions réelles sont les bienvenus — c'est précisément la raison pour laquelle ce projet a été open-sourcé.

---

🛡️ Projet associé : NIS2 Quick-Check — un auto-contrôle NIS2 gratuit et autonome (10 domaines × 5 questions, les 27 États membres de l'UE, les 24 langues officielles de l'UE). Fonctionne entièrement dans le navigateur, sans backend, sans installation. Ne fait pas partie d'ISMS Builder et n'est pas requis pour l'utiliser — juste un outil complémentaire pour une première orientation rapide.

---

Qu'est-ce qu'ISMS Builder ?

ISMS Builder est une plateforme web auto-hébergée pour la gestion d'un Système de Management de la Sécurité de l'Information (SMSI). Elle couvre l'ensemble du cycle de conformité — de la rédaction des politiques aux preuves d'audit — pour ISO 27001:2022, NIS2, RGPD/DSGVO, BSI IT-Grundschutz et d'autres référentiels.

Pas de cloud. Pas de frais SaaS. Vos données restent sur votre serveur.

Conçu pour les PME, les équipes IT et les consultants qui ont besoin d'un véritable outil SMSI sans contrat fournisseur à cinq chiffres.

---

Usage prévu et périmètre

Ce projet a débuté comme un outil de travail pour un seul praticien SMSI et s'est développé à partir de là. Il est open source parce que le travail peut être utile à d'autres — pas parce qu'il s'agit d'un produit commercial déguisé. Être explicite à ce sujet vous aide à décider s'il correspond à votre situation.

Pour quoi il est conçu. Une petite équipe SMSI — souvent une seule personne, parfois une poignée — qui rédige et maintient la documentation d'un système de management : politiques, risques, actifs, mesures, preuves. Le nombre de personnes qui ont besoin d'un compte devrait rester faible. Atteindre un large public fonctionne sans comptes : les accusés de réception des politiques sont envoyés sous forme de liens à base de jetons, de sorte que les destinataires lisent et confirment un document sans jamais se connecter, et sans apparaître dans une quelconque liste d'utilisateurs.

Ce qu'il attend de vous. ISMS Builder est auto-hébergé, et tout ce qui en découle vous incombe : déploiement, TLS, durcissement, sauvegardes, mises à jour, contrôle d'accès et obligations de protection des données pour tout ce que vous y stockez. Le projet fournit une configuration par défaut raisonnable, pas un service managé.

Ce qu'il n'est pas. Il n'existe aucune offre SaaS hébergée, aucun contrat de support commercial et aucun accord de niveau de service. Ce n'est pas un produit d'hébergement multi-tenant. Il ne vous certifie contre aucune norme et ne constitue pas un avis juridique — il vous aide à organiser et à prouver le travail, mais l'évaluation reste la vôtre et celle de votre auditeur.

Qui le maintient. Une personne, en parallèle d'un emploi à temps plein. Les issues et discussions sont lues et traitées, généralement en quelques jours ; les signalements de sécurité sont prioritaires. Les demandes de fonctionnalités sont les bienvenues et façonnent réellement la feuille de route, mais elles se disputent un nombre limité de soirées. Si votre organisation dépend d'un calendrier fixe ou d'une réponse garantie, un fournisseur commercial est la recommandation honnête — et ce n'est pas une raison d'éviter le projet, seulement une raison de planifier de manière réaliste.

---

Captures d'écran

Connexion	Tableau de bord

Déclaration d'Applicabilité	Gestion des risques

RGPD & Protection des données	Gestion des actifs

Guidance & Documentation	Rapports

Exécutez npm start et ouvrez https://localhost:3000 pour explorer localement l'ensemble du jeu de données de démonstration.

---

Aperçu des fonctionnalités