Répondre honnêtement au questionnaire de sécurité d’un client

Il arrive au pire moment possible. L’entente est presque conclue, et l’approvisionnement envoie un tableur : quarante questions sur le chiffrement au repos, la réponse aux incidents, les revues d’accès, les sous-traitants et les tests de sauvegarde.

Le réflexe est de répondre généreusement et de passer à autre chose. C’est le seul choix réellement risqué.

Pourquoi surestimer est le vrai danger

Un questionnaire de sécurité n’est pas une formalité. C’est un document que vous signez en affirmant que certains contrôles existent. Si un incident révèle plus tard que ces réponses étaient fausses, vous avez présenté faussement votre sécurité à un client — un problème bien plus grave qu’un honnête « pas encore ».

Un honnête « pas actuellement en place; prévu au prochain trimestre » est généralement accepté, surtout d’un plus petit fournisseur. Un faux « oui » ne l’est pas.

Vous êtes probablement plus près que vous le croyez

En parcourant ces questionnaires, le même constat revient presque chaque fois : une bonne part des réponses est déjà vraie, mais rien n’est écrit. Vous avez des sauvegardes. Vous limitez qui peut atteindre les données clients. Personne ne l’a jamais documenté.

Le travail se sépare donc en deux :

• Écarts de paperasse — ce que vous faites déjà, qui demande une courte politique écrite et quelques preuves
• Vrais écarts — ce que vous ne faites pas, à corriger ou à assumer par une feuille de route honnête

Les distinguer est ce qui garde le coût proportionné.

Un ordre de travail pratique

1. Parcourir ligne par ligne et classer chaque réponse : vraie et documentée, vraie mais non documentée, pas vraie.
2. Rédiger de courtes politiques pour les réponses non documentées. Une entreprise de douze personnes a besoin de quelques pages décrivant ce qui se passe réellement, pas d’un manuel de cent pages que personne ne suit.
3. Corriger les vrais écarts les plus importants — généralement l’authentification multifacteur, les sauvegardes testées et le contrôle d’accès, parce que ce sont aussi ceux que les clients vérifient.
4. Répondre avec une preuve derrière chaque oui. Si on vous demande une preuve, vous devez pouvoir la fournir.

Le bâtir une fois

Le meilleur résultat n’est pas un questionnaire rempli. C’est un dossier de preuves réutilisable — politiques, registres de tests de restauration, revues d’accès — pour que le tableur du prochain client prenne un après-midi plutôt que deux semaines.

Le même matériel appuie aussi votre renouvellement d’assurance cyber, puisque les assureurs posent de plus en plus des questions presque identiques et peuvent exiger l’authentification multifacteur et des sauvegardes testées comme condition de couverture.

Nous détaillons ce cas dans un gros client a envoyé un questionnaire de sécurité. Le travail plus large relève de notre pratique en cybersécurité.