Répondre aux questionnaires de sécurité en toute confiance
Les questionnaires de sécurité arrivent au moment où une transaction devient sérieuse. Avec un peu de préparation, une semaine de travail se transforme en un après-midi.
Quand un client important est sur le point de signer, un questionnaire de sécurité suit généralement. Il peut s’agir de quelques dizaines de questions dans un tableur, ou de plusieurs centaines dans un format standardisé. Pour une petite équipe, cela peut ressembler à un examen pour lequel personne n’a révisé. Cela n’a pourtant rien d’une fatalité.
Comprendre ce que l’on vous demande vraiment
Derrière chaque questionnaire se cache une seule question : peut-on vous confier nos données en toute sécurité ? Les différents points abordent des sujets classiques : contrôle d’accès, chiffrement, sauvegardes, gestion des incidents, sous-traitants, ainsi que l’arrivée et le départ des collaborateurs. La plupart sont des variantes d’un ensemble restreint de thèmes, c’est pourquoi une bonne préparation fait toute la différence.
Constituer une bibliothèque de réponses
Conservez un document unique contenant vos réponses à jour pour les questions les plus fréquentes, rédigées une fois pour toutes et révisées plusieurs fois par an. Chaque réponse doit être courte, précise et concrète : ce que vous faites, quel outil s’en charge, et à quelle fréquence. Le questionnaire suivant se résume alors pour l’essentiel à copier et vérifier, plutôt qu’à tout rédiger de zéro dans l’urgence.
Être honnête sur ses lacunes
La tentation est grande de répondre « oui » à tout. Ne le faites pas. L’équipe de sécurité d’un client en lit beaucoup, et les réponses vagues ou exagérées sautent aux yeux. Si vous ne faites pas encore quelque chose, dites-le, et expliquez ce que vous faites à la place ou quand vous prévoyez de combler ce manque.
Un « pas encore, et voici notre plan » honnête inspire bien plus confiance qu’une réponse qui s’effondre lors d’un échange téléphonique. Les réponses aux questionnaires peuvent aussi être intégrées au contrat : la précision est donc primordiale, bien au-delà de la vente.
Avoir les documents prêts
De nombreux questionnaires demandent des justificatifs : une politique de sécurité de l’information, un plan de réponse aux incidents, la synthèse d’un test d’intrusion récent, la liste des sous-traitants qui traitent les données clients. Rédigez-les avant d’en avoir besoin, faites court et gardez-les à jour. Un schéma d’une page montrant où résident les données des clients répond à lui seul à un nombre surprenant de questions.
Laisser un rapport parler pour vous
Dès que vous disposez d’un rapport SOC 2, de nombreux clients l’accepteront à la place de l’essentiel de leur questionnaire, ou accompagné d’un questionnaire standard plus court comme le SIG Lite ou le CAIQ. Ces rapports sont généralement partagés sous accord de confidentialité. En attendant d’en avoir un, une page dédiée à la sécurité claire et une bibliothèque de réponses bien tenue remplissent en grande partie le même rôle.
Désigner un responsable unique
Les questionnaires s’enlisent lorsqu’ils circulent d’une personne à l’autre dans l’équipe. Confiez-en la responsabilité à une seule personne : elle rassemble les réponses, les valide avec les responsables de chaque système et envoie la version finale. Conservez une copie de chaque questionnaire rempli et de ce que vous avez transmis, afin de garantir la cohérence de vos réponses d’un client à l’autre.
En résumé
Rédigez vos réponses une fois pour toutes, gardez-les honnêtes et à jour, préparez vos politiques de sécurité et confiez la tâche à une seule personne. Les questionnaires deviennent alors une étape normale de la vente, et non la raison pour laquelle une transaction s’enlise.