Comment répondre à un questionnaire de sécurité ?

Les acheteurs envoient des questionnaires de sécurité parce qu’ils portent le risque de leurs fournisseurs. Plusieurs textes en font une obligation. NIS2 range la sécurité de la chaîne d’approvisionnement parmi les mesures de l’article 21(2)(d). DORA impose aux entités financières de gérer le risque lié aux prestataires tiers de services TIC et d’évaluer les prestataires avant de contracter (article 28). Le RGPD ne permet au responsable du traitement de recourir qu’à des sous-traitants présentant des garanties suffisantes (article 28(1)). Le questionnaire est la façon dont l’acheteur réunit ces preuves.

Le format varie. Certains acheteurs utilisent des questionnaires standard comme le CAIQ de la Cloud Security Alliance ou le SIG de Shared Assessments. Beaucoup envoient leur propre tableur ou un document Word ou PDF.

• Tenez une seule bibliothèque de ce que vous pouvez divulguer : politiques, mesures en place, certifications, indicateurs, hébergeurs et sous-traitants ultérieurs, chacun avec un responsable.
• Répondez dans le fichier de l’acheteur. Gardez sa structure et ses références de questions pour que son relecteur puisse vérifier vos réponses.
• Rédigez chaque réponse à partir de cette bibliothèque uniquement, et citez le document ou la mesure sur lequel elle repose.
• Soyez honnête sur les lacunes. Un « pas en place » clair avec un plan vaut mieux qu’une réponse qui revendique une mesure non mise en œuvre.
• Relisez avant l’envoi. Regardez d’abord les réponses qui affirment la conformité alors que la mesure citée n’est pas mise en œuvre ou que la politique citée est encore un brouillon.
• Conservez les réponses approuvées pour les réutiliser, avec une date de revue pour qu’elles ne vieillissent pas.

• Recopier les réponses du dernier questionnaire sans vérifier qu’elles sont toujours vraies.
• Répondre oui pour une mesure décrite dans une politique encore en brouillon.
• Coller les réponses dans un nouveau modèle au lieu du fichier de l’acheteur, ce qui oblige son relecteur à tout remettre en correspondance.
• Envoyer des documents confidentiels sans NDA ni trace de qui les a reçus.

Le Trust Center importe le questionnaire du prospect en Excel, CSV, Word ou PDF, et reconnaît un classeur CAIQ v4. Il identifie d’abord les faits applicables dans votre Exposure Library et votre Answers Library, puis Aiko formule une réponse à partir de ces seuls faits, en montrant sur quoi repose chaque brouillon. Une réponse sans rien derrière elle est marquée Gap, et une réponse qui affirme la conformité alors que la mesure citée n’est pas mise en œuvre reçoit un avertissement. Les réponses approuvées sont écrites dans une copie du tableur d’origine. Voir le Trust Center.