L'ontologie CyberRiskGuardianThe CyberRiskGuardian Ontology
Un sens formel, vérifié par raisonneur, pour les données d'évaluation des risques de cybersécurité — actifs, menaces, vulnérabilités, scénarios, contrôles et indicateurs — étendu à la gouvernance, à la conformité, à l'audit et aux opérations de sécurité.
Formal, reasoner-checked meaning for cybersecurity risk-assessment data — assets, threats, vulnerabilities, scenarios, controls and indicators — extended to governance, compliance, audit and security operations.
Pourquoi une ontologie ?Why an ontology?
Pour que « scénario », « contrôle » ou « obligation » veuillent dire la même chose partout — pour les personnes, les outils et l'IA.So that "scenario", "control" or "obligation" mean the same thing everywhere — for people, tools and AI.
Un vocabulaire commun et vérifiableA shared, checkable vocabulary
Chaque terme a une définition formelle, des libellés en français et en anglais, et des annotations de gouvernance : source, confiance, statut, proposant et version.
Every term has a formal definition, English and French labels, and governance annotations: source, confidence, status, proposer and version.
Des preuves distinctes des estimationsEvidence kept apart from estimates
Les observations (EPSS, dates KEV, sources) sont disjointes des estimations, avec provenance et temporalité (PROV-O, OWL-Time). On sait toujours d'où vient un chiffre.
Observations (EPSS, KEV dates, sources) are disjoint from estimates, with provenance and time (PROV-O, OWL-Time). You always know where a figure comes from.
Du risque à la conformitéFrom risk to compliance
Un scénario se relie aux techniques ATT&CK, aux contrôles, aux lois applicables (Loi 25, RGPD, LPRPDE), aux preuves d'audit et à la détection.
A scenario links to ATT&CK techniques, controls, applicable law (Loi 25, GDPR, PIPEDA), audit evidence and detection.
Au cœur : le scénario de risqueAt the core: the risk scenario
Ce qui pourrait arriver, comment c'est évalué, ce qui est fait et ce qui en découle. Les flèches sont les relations de l'ontologie.What could happen, how it is assessed, what is done about it and what it leads to. The arrows are the ontology's own relations.
Vue simplifiée. La Simplified view. The carte interactiveinteractive map montre toutes les classes, leurs définitions et leurs relations. shows every class with its definition and relations.
Dix-sept modules, cinq famillesSeventeen modules, five families
Chaque module a son propre IRI sous w3id.org/crgo/. Le paquet crgo les réunit ; crgo-full ajoute la bibliothèque de scénarios et tous les vocabulaires.Each module has its own IRI under w3id.org/crgo/. The crgo package brings them together; crgo-full adds the scenario library and all vocabularies.
Modèle de risqueRisk model
Actifs, menaces, faiblesses, contrôles, scénarios, estimations et le modèle CRG.
Assets, threats, weaknesses, controls, scenarios, estimates and the CRG model.
- crgo-gov
- crgo-core
- crgo-measure
- crgo-crg
Preuves et contexteEvidence and context
Sources, observations, hypothèses, profil de l'organisation, EPSS et KEV.
Sources, observations, assumptions, organization profile, EPSS and KEV.
- crgo-evidence
- crgo-org
- crgo-vuln
Gouvernance, politiques et conformitéGovernance, policy and compliance
Lois et applicabilité, correspondances, trois lignes, politiques, programmes de conformité.
Law and applicability, mappings, Three Lines roles, policies, compliance programmes.
- crgo-grc
- crgo-mapping
- crgo-governance
- crgo-policy
- crgo-compliance
Assurance et auditAssurance and audit
Preuves typées, efficacité opérationnelle, déficiences, missions, constats et suivi.
Typed evidence, operating effectiveness, deficiencies, engagements, findings and follow-up.
- crgo-assurance
- crgo-audit
Opérations de sécuritéSecurity operations
Incidents, déclaration des atteintes, détection et couverture, chasse, playbooks et réponse.
Incidents, breach reportability, detection and coverage, hunting, playbooks and response.
- crgo-incident
- crgo-siem
- crgo-soar
De l'actif aux contrôles, en une questionFrom asset to controls, in one question
Le module d'identification part d'une catégorie d'actif et parcourt l'ontologie jusqu'aux mesures et obligations, avec estimations et provenance.The identification module starts from an asset category and walks the ontology to measures and obligations, with estimates and provenance.
- Catégorie d'actifAsset categoryex. dossiers de santée.g. health records
- ScénariosScenariosde la bibliothèquefrom the library
- TechniquesTechniquesMITRE ATT&CK
- ContrôlesControlsCSF · 800-53 · 27002
- ObligationsObligationslois applicablesapplicable law
Avec CyberRiskGuardian et l'IAWith CyberRiskGuardian and AI
Un serveur MCP local permet à l'agent CyberRiskGuardian de consulter l'ontologie : applicabilité légale, preuves de contrôle, posture de conformité et état de préparation de la détection. L'ontologie éclaire l'analyse ; elle ne calcule jamais le risque.
A local MCP server lets the CyberRiskGuardian agent query the ontology: legal applicability, control evidence, compliance posture and detection readiness. The ontology informs the analysis; it never computes risk.
crgo_identifycrgo_scenariocrgo_controls_for_techniquecrgo_scenarios_for_controlcrgo_risk_contextcrgo_compliance_contextcrgo_secops_contextPour les chercheurs et les intégrateursFor researchers and integrators
Modules OWL en Turtle, vocabulaires SKOS, formes SHACL, requêtes SPARQL (Oxigraph), export JSON de l'identification et contrats de données en JSON Schema pour relier vos propres outils.
OWL modules in Turtle, SKOS vocabularies, SHACL shapes, SPARQL queries (Oxigraph), a JSON identification export and JSON Schema data contracts to connect your own tools.
.ttlSKOSSHACLSPARQLJSONdss/v1compliance/v1secops/v1Vocabulaires de référenceReference vocabularies
Schémas de concepts SKOS tenus à côté des modules OWL (nombre de concepts). Les identifiants des référentiels demeurent soumis aux conditions de leurs propriétaires.SKOS concept schemes held alongside the OWL modules (number of concepts). Framework identifiers remain under their owners' terms.
Référentiels et contrôlesFrameworks and controls
- NIST CSF 2.0225
- SP 800-53 Rev. 51216
- SP 800-53A6646
- ISO/IEC 27002:202297
- COBIT 201945
- COSO ERM25
Menaces et faiblessesThreats and weaknesses
- MITRE ATT&CK873
- CAPEC559
- CWE943
- D3FEND270
- CISA KEV1739
- Détection ATT&CKATT&CK detection2561
Lois et règlementsLaw and regulation
- Loi 25 (P-39.1)31
- R-22.154
- A-2.118
- LPRPDEPIPEDA13
- RGPDGDPR40
- OSFI B-1320
Audit, assurance et conformitéAudit, assurance and compliance
- IIA GIAS72
- IIA Topical Requirements61
- ISACA ITAF38
- Trust Services Criteria86
- ISO 1901128
- ISO/IEC 2700728
- ISO/IEC 2700822
- ISO 3730137
- ISO 3730218
Rigueur intégréeRigour built in
Les fichiers Turtle sont générés à partir d'une spécification, puis vérifiés à chaque version.The Turtle files are generated from a specification, then checked at every release.
BFO-2020
Ontologie de haut niveau normalisée (ISO/IEC 21838-2), avec un extrait des Common Core Ontologies.
Standardized upper ontology (ISO/IEC 21838-2), with an extract of the Common Core Ontologies.
HermiT · ELK
Cohérence vérifiée par raisonneur, profil OWL 2 DL, et OWL 2 EL lorsque possible.
Reasoner-checked consistency, OWL 2 DL profile, and OWL 2 EL where possible.
Questions de compétenceCompetency questions
27 questions de compétence et des tests positifs et négatifs, plus des formes SHACL.
27 competency questions and positive and negative fixture tests, plus SHACL shapes.
IRI stablesStable IRIs
Identifiants opaques persistants d'une version à l'autre, servis par w3id.org.
Opaque identifiers that persist across versions, served through w3id.org.
Explorer et utiliserExplore and use
Documentation complète en français et en anglais.Full documentation in English and French.
- Carte interactive de l'ontologieInteractive ontology mapClasses, relations, vocabulaires — FR et ENClasses, relations, vocabularies — EN and FR
- Documentation de référenceReference documentationWIDOCO
- crgo · crgo-fullPaquet de base · paquet complet avec scénarios et vocabulairesCore package · full package with scenarios and vocabularies
- Dépôt GitHubGitHub repositorySources, requêtes, serveur MCP, journal des modificationsSources, queries, MCP server, changelog
- CyberRiskGuardianLa méthode, l'agent IA et l'application de bureauThe method, the AI agent and the desktop app
Citer et réutiliserCite and reuse
Léger, M.-A. (2026). CyberRiskGuardian Ontology (CRGO), version 0.10.0. https://w3id.org/crgo
Licence CC BY-NC 4.0 : libre pour la recherche, l'enseignement et l'usage non commercial, avec attribution. Les importations de tiers conservent leurs propres licences. Pour un usage commercial ou une collaboration de recherche, écrivez-moi.
Licensed CC BY-NC 4.0: free for research, teaching and non-commercial use, with attribution. Third-party imports keep their own licences. For commercial use or research collaboration, please write to me.