« Automatisation de la collecte de preuves » est devenu l’argument par défaut du marché GRC. Il est rarement faux, mais il est presque toujours incomplet : une plateforme automatise une certaine famille de preuves, et laisse les autres à des humains. Plutôt que d’opposer Drata et GALEA fonctionnalité par fonctionnalité, classons d’abord les preuves. Le reste devient limpide.
Trois familles de preuves
Famille 1 — La preuve d’état technique
Le chiffrement est-il activé sur ce bucket ? Le MFA est-il imposé sur cet annuaire ? Les correctifs critiques sont-ils appliqués ? Ces preuves sont lisibles par une API, vérifiables en continu, et se périment vite. Elles sont le terrain naturel de l’automatisation.
Famille 2 — La preuve documentaire et organisationnelle
Une politique de sécurité approuvée, une revue des droits réellement conduite, un procès-verbal de comité, une clause contractuelle chez un sous-traitant, une analyse d’impact. Un connecteur peut parfois constater qu’un document existe ; il ne peut pas juger s’il est pertinent, à jour et applicable à votre contexte.
Famille 3 — La preuve de raisonnement
C’est celle que les régulateurs européens regardent de plus en plus près : pourquoi ces risques-là, pourquoi ces mesures-là, pourquoi cet ordre de priorité, pourquoi ce niveau de risque résiduel accepté. Elle ne s’extrait d’aucune API. Elle se construit par une méthode d’analyse.
La plupart des déceptions post-déploiement viennent d’une confusion entre ces trois familles : on achète un excellent outil de famille 1 en croyant résoudre un problème de famille 3.
Drata : l’excellence sur la famille 1
Drata, fondée en 2020 et basée à San Francisco, avec des bureaux à New York, San Diego, Londres et Sydney, revendique publiquement plus de 8 000 clients, plus de 30 référentiels supportés, plus de 3 000 centres de confiance créés et 15,7 millions d’éléments de preuve traités par jour. Le catalogue de référentiels annoncé comprend SOC 2, ISO 27001, ISO 42001, RGPD, HIPAA, PCI DSS, DORA, FedRAMP, CMMC et des frameworks personnalisés. Les offres sont structurées par taille d’organisation — Startup, Growth, Enterprise — et les tarifs ne sont pas publiés : l’accès passe par un contact commercial.
La force à reconnaître : ce volume quotidien d’éléments de preuve traités dit quelque chose de sérieux sur la maturité de la chaîne de collecte. Sur la surveillance continue d’un environnement cloud standardisé, avec une population de collaborateurs équipés d’outils SaaS courants, Drata délivre exactement ce qu’il promet : un état de conformité technique tenu à jour sans intervention humaine. Une organisation qui doit maintenir un rapport SOC 2 année après année y gagne un temps considérable.
Le point à instruire reste le même que pour tout éditeur nord-américain : localisation du stockage et du traitement, liste des sous-traitants, engagements contractuels sur les transferts. Ce sont des questions de diligence normale, à poser à tout fournisseur, y compris européen.
GALEA : l’attaque par les familles 2 et 3
GALEA prend le problème par la famille 3, la preuve de raisonnement, parce que c’est elle qui débloque les deux autres.
La plateforme outille les cinq ateliers d’EBIOS Risk Manager, la méthode de l’ANSSI, du cadrage jusqu’au traitement du risque. L’agent IA TARS, propulsé par Mistral AI, propose des scénarios en s’appuyant sur plus de 1 000 scénarios de référence et sur les techniques MITRE ATT&CK. Chaque proposition passe par une validation humaine obligatoire avant inscription au registre des risques : l’IA rédige un brouillon argumenté, l’analyste tranche. C’est précisément ce qui rend la trace exploitable devant un auditeur — une décision humaine datée, motivée, rattachée à un scénario.
Sur la famille 2, GALEA pré-remplit 54 contrôles de conformité à partir du socle documentaire déjà fourni, et produit un plan d’actions de 65 mesures priorisées. Le raisonnement est celui d’un cabinet qui a industrialisé sa méthode : si vos politiques et vos procédures existent déjà, il est absurde de ressaisir les mêmes informations dans chaque grille de contrôle ISO 27001, NIS2, DORA, RGPD ou HDS.
Récapitulatif par famille
| Famille de preuve | Drata (éléments publiés) | GALEA (éléments publiés) |
|---|---|---|
| 1. État technique | Cœur de l’offre, collecte continue, 15,7 M d’éléments traités/jour | Complété par les modules Phishia (pentest, IAM, CTI/OSINT) |
| 2. Documentaire et organisationnelle | Gestion des politiques et suivi des contrôles | 54 contrôles pré-remplis depuis le socle documentaire |
| 3. Raisonnement de risque | Module de gestion des risques dans l’offre | 5 ateliers EBIOS RM outillés, +1 000 scénarios, validation humaine obligatoire |
| Tarifs | Tarifs non publiés | 200 à 700 €/mois selon la taille ; grands comptes sur devis |
Ce que ça change sur le terrain
Un scénario courant : une ETI industrielle achète une plateforme de conformité automatisée, branche ses connecteurs, obtient un taux de couverture de 78 % en trois semaines et se félicite. Six mois plus tard, l’auditeur demande l’appréciation des risques ayant conduit à sélectionner ces contrôles-là, et la déclaration d’applicabilité justifiée exigence par exigence. Le taux de 78 % ne répond pas à cette question.
L’inverse existe aussi : une organisation produit une analyse EBIOS RM impeccable, puis ne dispose d’aucun mécanisme pour vérifier, douze mois plus tard, que les mesures décidées sont toujours en place techniquement.
Un dispositif complet couvre les trois familles. La vraie décision porte sur l’ordre dans lequel vous les traitez, et sur ce que vous internalisez. Pour une organisation sans RSSI, GALEA propose une entrée par la méthode, avec la possibilité d’adosser des consultants Phishia — cabinet cyber depuis 2018, plus de 200 missions, plus de 15 experts certifiés — en formule combinée ou en RSSI externalisé.
Questions fréquentes
Une plateforme peut-elle automatiser 100 % des preuves ?
Non. Les preuves d’état technique se prêtent à l’automatisation ; les preuves de raisonnement supposent un arbitrage humain documenté. Toute promesse de couverture intégrale mérite d’être détaillée contrôle par contrôle.
Drata publie-t-il ses tarifs ?
Non, tarifs non publiés. L’éditeur présente trois niveaux d’offre par taille d’organisation et renvoie vers son équipe commerciale.
Peut-on utiliser les deux approches en parallèle ?
Techniquement oui, et certaines organisations le font. Vérifiez alors que le registre des risques reste unique, sous peine d’entretenir deux vérités divergentes sur votre exposition.
Sources
Pages consultées le 23 septembre 2026.