Questionnaires de sécurité clients et plans d’assurance sécurité

La vérité, avec un calendrier si la mesure est prévue : « non en place, planifiée pour tel trimestre » ou « non applicable, pour telle raison ». Une case cochée par commodité finit par se voir, parfois dans un audit, parfois dans un litige après incident. Beaucoup de clients préfèrent un écart assumé et un plan crédible à une conformité de façade, et nous aidons à formuler la réponse.

Le rapport détaille des vulnérabilités, parfois non corrigées : le remettre en entier à plusieurs clients multiplie les copies d’un document sensible. La pratique courante consiste à transmettre une synthèse ou une attestation indiquant la date, le périmètre, la méthode et l’état de correction, éventuellement sous accord de confidentialité. Nous produisons une synthèse partageable à la demande lors d’une mission de test.

Pas toujours. Beaucoup de clients acceptent un dossier documenté, appuyé sur des preuves et un test d’intrusion récent. Certains appels d’offres exigent le certificat, et le périmètre certifié compte autant que le certificat. Comptez les demandes reçues en un an : si la certification revient souvent, l’investissement se justifie ; sinon, une base de réponses solide couvre l’essentiel pour un coût moindre.

Une annexe contractuelle, courante dans les marchés publics et les grands comptes, où le fournisseur décrit les mesures de sécurité qu’il s’engage à mettre en œuvre : organisation, accès, hébergement, sauvegardes, gestion des incidents, sous-traitants, audits. Il engage le fournisseur, parfois avec des pénalités. Il se relit donc comme un engagement, pas comme une formalité, et se confronte à vos pratiques avant signature.