CISAPP vs outils GRC open source : le coût réel

Un outil GRC open source est-il vraiment gratuit ?

Non : la licence est gratuite, l'outil ne l'est pas. Un outil GRC (gouvernance, risque et conformité) open source est un logiciel dont le code est publié sous licence libre et que vous installez et exploitez vous-même. Le coût se déplace de la facture de l'éditeur vers le temps de votre équipe : installation, sécurisation, mises à jour, ouverture aux fournisseurs. Ce coût est réel, récurrent, et rarement chiffré au moment du choix.

Que coûte réellement un outil GRC open source ?

La mise en place. Serveur, reverse proxy et certificats TLS, authentification unique (SSO), envoi d'e-mails, sauvegardes, supervision. Les projets sérieux fournissent une installation prête à l'emploi ; c'est leur passage en production qui prend du temps.

La sécurité de l'outil lui-même. Un outil GRC concentre la liste de vos risques, de vos écarts de conformité et de vos fournisseurs critiques. Un SaaS est aussi une cible ; la différence tient à qui porte la charge de la défendre. Sur une instance auto-hébergée, appliquer les correctifs de l'application, de ses dépendances et du système, surveiller les accès et durcir la configuration relève de votre équipe. Pour les entités assujetties à NIS2, l'article 21 inclut la gestion des vulnérabilités parmi les mesures de gestion des risques : cette instance en fait partie.

L'ouverture aux fournisseurs. Pour qu'un fournisseur réponde à un questionnaire dans l'outil, l'instance doit être joignable depuis Internet par des personnes extérieures. Il faut alors gérer des comptes externes, une authentification robuste, une protection contre les abus, et des e-mails de relance qui arrivent en boîte de réception plutôt qu'en indésirables (SPF, DKIM, DMARC, réputation d'envoi). Un outil interne devient un service exposé, avec la surface d'attaque qui va avec.

Les montées de version. Les versions majeures apportent des migrations de base de données et parfois des changements incompatibles. Une montée de version se prépare : sauvegarde, lecture des notes de version, vérification après coup.

Le contenu réglementaire. Les référentiels changent : ISO 27001 en 2022, NIS2 et DORA avec leurs actes d'exécution, les correspondances entre référentiels. Selon le projet, la bibliothèque est maintenue par l'éditeur de l'édition commerciale ou par des contributeurs bénévoles ; dans tous les cas, l'importer et vérifier ce qu'elle change dans vos évaluations reste à votre charge.

Le support et les compétences. Sans édition payante, le support passe par des forums et des tickets publics, sans engagement de délai. Et la personne qui a installé l'outil est souvent la seule à le connaître : si elle part, la connaissance part avec elle.

L'édition réellement utilisée. Plusieurs projets connus, comme CISO Assistant, eramba ou SimpleRisk, distribuent une édition communautaire et vendent une édition commerciale. Le support avec engagement de délai et l'hébergement géré relèvent en général de l'édition payante. Le bon point de comparaison est l'édition dont vous aurez besoin, pas l'édition gratuite.

Que compare-t-on exactement ?

Les trois dernières lignes sont à l'avantage de l'open source, et elles comptent. La question est de savoir si elles valent le coût des lignes précédentes pour votre organisation.

Combien coûte un outil GRC open source sur 3 ans ?

Scénario : une PME ou une ETI sans équipe DevOps dédiée, où l'exploitation de l'outil revient à une personne de l'équipe sécurité ou informatique. Le paramétrage métier (import des fournisseurs, choix des référentiels) et le temps d'usage sont identiques dans les deux cas et ne sont pas comptés. Le coût journalier retenu est de 600 €, proche du TJM moyen d'un ingénieur DevOps cloud freelance en France (586 € en direct selon Free-Work, novembre 2026). CISAPP Pro couvre jusqu'à 50 fournisseurs et 8 équipes ; au-delà, l'offre Entreprise est sur devis.

Avec ces hypothèses, l'auto-hébergement reste plus cher même en divisant par deux tout le temps d'exploitation. Le seuil de bascule se situe autour de 5 jours et demi de travail par an, hors mise en production : en dessous, l'open source est moins cher ; au-dessus, l'abonnement l'emporte. Une équipe qui exploite déjà des conteneurs en production passera nettement moins de temps sur chaque poste, et l'écart se resserre d'autant. Comparez avec vos propres chiffres et l'offre adaptée sur la page tarifs.

Quand l'open source reste-t-il le bon choix ?

Un outil GRC open source se justifie pleinement dans plusieurs situations :

• Vous avez une équipe DevOps ou sécurité qui exploite déjà d'autres services en production, avec supervision, sauvegardes et gestion des correctifs outillées. Le coût marginal d'un service de plus est faible.
• Vous devez modifier le logiciel, pas seulement le paramétrer : modèle de données propre, intégration profonde avec un outil interne.
• Vous fonctionnez dans un environnement isolé d'Internet, où aucun SaaS n'est envisageable.
• Vous voulez auditer le code qui porte vos données de risque.
• Le budget est nul mais le temps disponible, et l'enjeu est d'apprendre ou de démarrer une démarche.

Quelles questions poser avant de choisir ?

1. Qui applique les correctifs de sécurité, dans quel délai, et qui surveille les alertes ?
2. Qui maintient les référentiels quand NIS2, DORA ou ISO 27001 évoluent, et qui vérifie leur effet sur vos évaluations ?
3. Quelle édition vous faut-il réellement, et que coûte-t-elle ?
4. Comment vos fournisseurs accèdent-ils à l'outil, et qui sécurise cet accès ?
5. En combien de temps restaurez-vous l'outil après une panne, et l'avez-vous testé ?
6. Qui reprend l'administration si la personne qui l'a installé quitte l'entreprise ?
7. Que devient l'outil si son éditeur ou son projet s'arrête : export des données, format, délai ?

Ces questions sont celles d'une due diligence fournisseur ordinaire : un outil installé en interne mérite la même exigence qu'un éditeur externe, et l'inverse est vrai.

Où se situe CISAPP

CISAPP s'appuie elle-même sur des composants open source. Ce que vous payez n'est pas une licence, c'est leur exploitation : hébergement dans l'Union européenne, correctifs, montées de version, référentiels maintenus, un portail fournisseur exposé et sécurisé par l'éditeur, et une gestion du risque tiers (TPRM) intégrée plutôt qu'à construire.

À lire ensuite : critères de choix d'une plateforme TPRM, alternatives européennes aux plateformes TPRM et la plateforme GRC tiers.