Scoring des contrôles configurable - Configurable control scoring

[dbarzin]

Contexte

Deming utilise actuellement un modèle de scoring à 3 niveaux pour les contrôles (Vert / Orange / Rouge), conforme au modèle [CVSS 2.0](https://fr.wikipedia.org/wiki/Common_Vulnerability_Scoring_System).

CVSS 3.0 a introduit un quatrième niveau (Critique), et plusieurs organisations appliquent leur propre modèle de scoring avec des niveaux plus granulaires. Nous souhaitons ouvrir la discussion sur la possibilité de rendre le scoring des contrôles configurable dans Deming.

Questions pour la communauté

Deux problèmes liés sont à résoudre :

1. Combien de niveaux faut-il supporter ?

• Conserver le modèle à 3 niveaux par défaut ?
• Ajouter un support natif pour 4 niveaux (aligné sur CVSS 3.0) ?
• Permettre des grilles de scoring entièrement personnalisées (n niveaux, libellés et couleurs libres) ?

2. Que faire des contrôles existants lors d'un changement de modèle ?
Lorsqu'une organisation passe d'un modèle à 3 niveaux à un modèle à 4 niveaux (ou toute autre configuration), les évaluations historiques ont été enregistrées selon l'ancienne échelle. Les options envisageables :

• Bloquer le changement si des évaluations existent
• Migrer les scores automatiquement via un mapping (ex. Rouge → Critique)
• Signaler les contrôles concernés pour une révision manuelle
• Conserver les données historiques telles quelles et n'appliquer le nouveau modèle qu'aux futures évaluations

Vos retours sont les bienvenus

Si votre organisation utilise un modèle de scoring personnalisé, nous aimerions savoir :

• Combien de niveaux utilisez-vous ?
• Quels sont vos libellés / seuils ?
• Comment gérez-vous les changements de scoring sur des contrôles déjà évalués ?

Cela nous aidera à concevoir une solution adaptée aux besoins réels. Les contributions sont les bienvenues !

---

Title: Configurable control scoring – levels and migration

Context

Deming currently uses a 3-level scoring model for controls (Green / Orange / Red), aligned with [CVSS 2.0](https://fr.wikipedia.org/wiki/Common_Vulnerability_Scoring_System).

CVSS 3.0 introduced a fourth level (Critical), and several organizations apply their own scoring models with more granular levels. We'd like to open the discussion on making control scoring configurable in Deming.

Questions for the community

Two related problems to solve:

1. How many levels should be supported?

• Keep the current 3-level model as default?
• Add native support for 4 levels (aligned with CVSS 3.0)?
• Allow fully custom scoring grids (n levels, custom labels and colors)?

2. What happens to existing controls when the scoring model changes?
When an organization switches from a 3-level to a 4-level model (or any other configuration), historical control assessments were recorded against the old scale. Options include:

• Block the change if existing assessments are present
• Migrate scores automatically using a mapping (e.g. Red → Critical)
• Flag affected controls for manual review
• Keep historical data as-is and only apply the new model going forward

Input welcome

If your organization uses a custom scoring model, we'd love to hear:

• How many levels do you use?
• What are your labels / thresholds?
• How do you handle scoring changes on already-assessed controls?

This will help us design a solution that fits real-world needs. Contributions are welcome!