Répondre à un questionnaire de sécurité client : méthode et pièges

Un client qui vous confie des données ou un service reste responsable de ce qui arrive chez vous. Le RGPD l’exige pour les données personnelles : le responsable de traitement ne doit faire appel qu’à des sous-traitants présentant des garanties suffisantes, et le contrat prévoit des audits (article 28). La directive NIS 2 : définition demande aux entités concernées de traiter la sécurité de leur chaîne d’approvisionnement, et le règlement DORA : définition impose aux entités financières de gérer le risque lié à leurs prestataires.

Le questionnaire est donc la forme que prend cette obligation côté client. Il arrive en tableur, parfois en plateforme dédiée, et vous évalue sur des thèmes constants : organisation, accès, chiffrement, sauvegardes, gestion des incidents, sous-traitants, développement.

Des formats communs existent : le questionnaire CAIQ de la Cloud Security Alliance et le SIG de Shared Assessments couvrent la plupart des thèmes. Les clients envoient aussi leur propre grille, souvent inspirée de ces modèles.

D’un client à l’autre, la grille change, mais les thèmes restent à peu près les mêmes. Les connaître permet de préparer les réponses avant la première demande.

Dire la vérité. Une réponse affirmative fausse engage votre entreprise : elle peut être relue après un incident, dans un audit ou devant un tribunal. Répondre « non en place, planifiée pour tel trimestre » ou « non applicable, pour telle raison » est recevable, surtout si un plan accompagne l’aveu. Les clients expérimentés se méfient d’un questionnaire où tout est conforme.

Trois regards valent mieux qu’un. Le propriétaire des questionnaires vérifie la cohérence avec les réponses précédentes. Le responsable technique confirme que la mesure décrite existe telle quelle. Quelqu’un qui engage l’entreprise, direction ou juriste, relit les clauses qui créent un engagement contractuel : délais de notification, droit d’audit, pénalités.

Datez chaque réponse de la base et fixez-lui une échéance de relecture, au moins annuelle. Une réponse exacte il y a deux ans peut être fausse aujourd’hui, et c’est la date de la réponse envoyée, non celle de la base, que le client retiendra en cas de litige.

Un plan d’assurance sécurité (PAS) est une annexe contractuelle, courante dans les marchés publics et chez les grands comptes, où le fournisseur décrit les mesures qu’il s’engage à mettre en œuvre : organisation, gestion des accès, hébergement, sauvegardes, gestion des incidents, sous-traitants, audits. Il engage le fournisseur, parfois avec des pénalités.

Relisez-le comme un contrat : chaque phrase est une promesse que vous devrez prouver. Confrontez-le à vos pratiques réelles avant de signer, et négociez les engagements que vous ne pourriez pas tenir plutôt que de les accepter en espérant qu’ils ne seront pas contrôlés.

Certaines grilles comptent plusieurs centaines de lignes, dont beaucoup ne s’appliquent pas à votre activité. Plutôt que de répondre à tout, proposez au client un échange court pour borner le périmètre : quels services, quelles données, quel niveau de risque. Un client qui comprend ce que vous traitez accepte souvent de réduire la grille, ou d’accepter une réponse par renvoi à un document que vous maintenez déjà.

Refusez poliment ce qui sort du cadre de la relation : un accès à votre infrastructure, ou un test d’intrusion mené par le client sur vos systèmes, suppose une autorisation écrite, un périmètre précis et des règles d’engagement. Ce n’est pas une case à cocher dans un tableur.