LLM ISO 27001: présentation OWASP France Chapter

Le contexte

Un environnement sous pression:

Certificats ISO 27001 délivrés en France (source: ISO Survey et AFNOR)

Peu de bande passante / peu de compétence en interne
SMSI: un volume documentaire et des controles IT importants à constituer et à faire vivre de façon cohérente (voir livre Audit-moi si tu peux)
Démarche couteuse, non prédictible, et non bornée (consulting initial + audit interne + pen test + outillage + audit de certification)

Les sociétés de consulting
Les vCISO indépendants
Les logiciels de GRC
- SaaS commerciaux (ex: Secureframe, Vanta, Kertos, Drata, Domyno, ...)
- SaaS avec version open source (ex: CISO Assistant, Probo, ...)

La connaissance d'entreprise est en train de passer de .+\.(doc|xls|pdf|ppt)$ à .+\.md$. Exemple Vercel:
- https://vercel.com/docs/draft-mode
- https://vercel.com/docs/draft-mode.md
Les logiciels deviennent des .md
- DESIGN.md (80k) https://github.com/VoltAgent/awesome-design-md
- SKILL.md (135k) https://github.com/anthropics/skills/
- Services financiers (23k) https://github.com/anthropics/financial-services
Les LLM adorent les arborescences de .md, tout comme ils adorent les codebase
- Karpathy LLM Wiki https://gist.github.com/karpathy/442a6bf555914893e9891c11519de94f
- Is Grep All You Need? How Agent Harnesses Reshape Agentic Search https://arxiv.org/abs/2605.15184
'Service is the new software': https://sequoiacap.com/article/services-the-new-software/

Taille: ~ 30K mots / 5K lignes / 50K tokens

Passive / read only
- Chat avec le SMSI
- Retrouver l'information, aide à l'audit
- Dashboards / extractions
Active / write
- Ajout d'un incident ou d'un risque, conformément au référentiel
- Drafting d'un artefact
- Execution de check de conformité
Proactive
- Que me conseilles-tu de faire aujourd'hui ?
- Vois-tu des incohérences quelque part ?