Pour répondre à un questionnaire de sécurité client, répondez une seule fois aux trois questions qui se cachent derrière chaque ligne, à partir d’une bibliothèque organisée autour de vos mesures. Savez-vous ce que vous avez ? Pouvez-vous montrer qu’une mesure fonctionne ? Que se passe-t-il quand quelque chose tourne mal ? Avec une bibliothèque, un CAIQ d’environ 260 questions prend 2 à 4 jours au lieu de 2 à 3 semaines.
Ce guide présente les formats, les trois questions, ce qu’il faut demander au client, la cohérence, la bibliothèque de réponses, ce à quoi ISO 27001 répond d’avance et ce que le questionnaire ne teste pas.
| Format | Arrive quand vous vendez à | Questions | Première fois | Avec une bibliothèque de réponses |
|---|---|---|---|---|
| VSA, Vendor Security Alliance | Entreprises technologiques | 100 à 140 | 1 à 2 semaines | 1 à 2 jours |
| CAIQ, Cloud Security Alliance | Acheteurs orientés cloud | environ 260 | 2 à 3 semaines | 2 à 4 jours |
| SIG Core, Shared Assessments | Services financiers | plus de 800 | 4 à 8 semaines | 1 à 3 semaines |
Quel questionnaire de sécurité allez-vous recevoir ?
La plupart des questionnaires suivent l’un de ces trois formats standards, ou en sont une copie modifiée par quelqu’un.
L’écart à l’intérieur d’une ligne est plus grand que l’écart entre les lignes. Un SIG avec une bibliothèque derrière lui va plus vite qu’un CAIQ sans bibliothèque. Le format reçu compte bien moins que le fait d’avoir déjà répondu à quelque chose auparavant.
Le SIG est le plus long parce qu’il va bien au-delà de la sécurité : situation financière, risques d’entreprise et facteurs environnementaux.
Que demande vraiment un questionnaire de sécurité ?
Le tableur ne teste pas vraiment votre sécurité. Il teste si vous avez déjà mis par écrit ce que vous faites. Retirez les formats : il reste trois questions, et chaque ligne est une reformulation de l’une d’elles.
1. Savez-vous ce que vous avez ?
Actifs, données, fournisseurs, qui a accès à quoi. Peut-être un tiers de chaque questionnaire est cette même question sous un autre habillage.
2. Pouvez-vous montrer qu’une mesure fonctionne, et pas seulement qu’elle est écrite ?
Non pas « avez-vous une politique de mots de passe », mais « quand avez-vous revu les accès pour la dernière fois, et pouvez-vous me le montrer ». C’est la moitié qui piège les entreprises qui ont des documents mais pas d’enregistrements, la distinction expliquée dans les preuves qui s’assemblent d’elles-mêmes.
3. Que se passe-t-il quand quelque chose tourne mal ?
Détection, réponse, notification au client lui-même, rétablissement, et en combien de temps.
Une entreprise qui sait répondre correctement à ces trois questions peut répondre à n’importe quel questionnaire. Une entreprise qui ne le sait pas répondra à chacun en partant de zéro, différemment, indéfiniment.
Que demander au client avant de commencer ?
Deux questions, et elles font gagner plus de temps que n’importe quel outil.
- « Quelles sections s’appliquent, compte tenu de ce que vous achetez ? » La plupart des questionnaires sont envoyés sans être adaptés. Si vous fournissez un seul module SaaS, la sécurité physique de vos sites de production n’entre pas dans le périmètre, et l’évaluateur en conviendra généralement si vous le lui demandez. C’est une conversation normale, pas une opposition.
- « Notre certificat ISO 27001 et notre déclaration d’applicabilité (Statement of Applicability) répondraient-ils à une partie de ce questionnaire ? » Souvent oui, en particulier pour les sections de gouvernance. Posez la question avant de passer deux semaines à retaper le même contenu dans leur format.
Pourquoi des réponses incohérentes font-elles perdre des affaires ?
L’échec qui coûte des affaires n’est pas une mauvaise réponse. Ce sont trois réponses différentes.
Prenons une entreprise de 40 personnes. Le questionnaire arrive, il est découpé par section et atterrit chez trois personnes. L’ingénieur répond aux lignes techniques d’après ce qui est réellement déployé. Quelqu’un des opérations répond aux lignes de processus d’après ce que dit la politique. Un fondateur répond aux lignes de gouvernance avec optimisme, parce que l’affaire compte.
Le résultat se contredit. La ligne 40 indique des revues d’accès trimestrielles. La ligne 210 dit annuelles. La ligne 15 indique que vous avez un plan de réponse aux incidents documenté. La ligne 300 dit que la réponse aux incidents est gérée au cas par cas par le CTO.
Les évaluateurs le remarquent, car comparer les réponses est leur métier. L’incohérence se lit comme de la désorganisation ou de l’esquive. Les deux sont pires qu’un simple « nous ne le faisons pas encore, voici la mesure compensatoire et la date à laquelle nous le ferons ».
Être honnête sur un manque ne fait presque jamais perdre une affaire à cette taille. Être pris en train de se contredire, parfois si.
Comment construire une bibliothèque de réponses aux questionnaires de sécurité ?
La solution pratique est peu glorieuse, et elle fonctionne.
- Rattachez les réponses aux mesures, pas aux questionnaires. L’unité, c’est « comment nous faisons la revue des accès », pas « la ligne 212 du CAIQ de tel client en mars ». Quand le format suivant arrive, vous rattachez ses lignes à vos mesures au lieu de tout recommencer.
- Donnez à chaque réponse une date et un responsable. Une bibliothèque que personne ne maintient est pire que pas de bibliothèque du tout, car elle reproduit avec assurance une réponse périmée. La date vous indique quelles entrées vérifier avant l’envoi.
- Écrivez les manques comme des manques, avec un plan. Les lignes où la réponse honnête est non méritent d’être rédigées à l’avance avec soin, car on vous les reposera. « Pas actuellement, atténué par X, prévu au T2 » est une réponse réutilisable. Le silence ne l’est pas.
- Gardez aussi la limite du périmètre dans la bibliothèque. Une grande partie des litiges sur les questionnaires sont en réalité des litiges de périmètre : le client pose des questions sur un système qui ne fait pas partie de l’environnement qui le sert. Dire clairement ce qui est dans le périmètre et ce qui en est exclu relève de la même discipline que le périmètre et la déclaration d’applicabilité.
C’est aussi l’intérêt de réunir le référentiel de mesures, les preuves et les réponses au même endroit. Non pas parce qu’un outil vaut mieux qu’un tableur par principe, mais parce qu’une réponse qui se trouve à côté de sa mesure est mise à jour quand la mesure change. Une réponse dans le tableur de l’an dernier ne l’est pas.
Quelle part d’un questionnaire de sécurité la norme ISO 27001 couvre-t-elle ?
Une large part de chaque format, mais jamais la totalité. C’est l’argument en faveur de la certification ISO 27001 que personne ne développe correctement, parce qu’il est commercial et non réglementaire.
| Format | Couvert par SOC 2 | Couvert par ISO 27001 |
|---|---|---|
| VSA | 70 à 80 % | 75 à 85 % |
| CAIQ | 60 à 70 % | 75 à 80 % |
| SIG | 40 à 50 % | 50 à 65 % |
ISO 27001 fait mieux que SOC 2 sur les trois formats. Malgré tout, la norme plafonne vers 85 %, et sur un SIG elle couvre à peine la moitié. Aucun certificat ne fait disparaître les questionnaires.
Ce que le certificat apporte vraiment est autre chose que le pourcentage de couverture. Il vous donne un référentiel de mesures avec des responsables, des statuts et des preuves associés, si bien que les questions restantes ont une base à partir de laquelle y répondre. Sans cela, le pourcentage de couverture reste théorique. Comment y parvenir est expliqué dans ISO 27001 pour une entreprise sans équipe de sécurité, et le budget honnête dans ce que coûte réellement ISO 27001 à une PME.
Qu’est-ce qu’un questionnaire de sécurité ne teste pas ?
Il teste la documentation. Il demande si une mesure existe et si vous savez la décrire. Chaque question de chacun de ces formats peut recevoir une réponse sincère de la part d’une entreprise où la journalisation est configurée mais jamais consultée, où le scanner de vulnérabilités produit chaque mois un rapport que personne ne lit, et où aucune restauration n’a jamais été chronométrée. Toutes ces réponses sont des oui.
Le test change lors de l’appel de suivi. Un évaluateur sécurité attentif pose des questions de second niveau : depuis combien de temps votre constat critique le plus ancien est-il ouvert, quand avez-vous restauré une sauvegarde pour la dernière fois et combien de temps cela a-t-il pris, qu’est-ce qui vous indiquerait qu’un compte a été compromis. Ces questions appellent des chiffres, et les chiffres existent ou n’existent pas.
La bibliothèque de réponses vous fait donc passer le tableur, et elle mérite d’être construite. Elle ne vous fait pas passer l’appel. Pour cela, il faut une détection et une gestion de l’exposition qui fonctionnent réellement et produisent des constats avec un responsable et une échéance. C’est le même écart que celui décrit dans ce qu’un certificat laisse ouvert. Un audit de sécurité indépendant est le moyen le plus rapide de savoir lesquelles de vos réponses au questionnaire résisteraient à la question de suivi.
Check-list pour le questionnaire de sécurité
- Demandez quelles sections s’appliquent, et si votre certificat et votre déclaration d’applicabilité en couvrent une partie.
- Répondez à partir d’une seule bibliothèque organisée autour de vos mesures.
- Vérifiez la date et le responsable de chaque réponse avant l’envoi.
- Relisez l’ensemble de la réponse pour repérer les lignes qui se contredisent.
- Quand la réponse honnête est non, indiquez la mesure compensatoire et une date.
- Précisez ce qui est dans le périmètre et hors périmètre pour le service acheté par le client.
- Préparez des chiffres pour l’appel de suivi : constat critique ouvert depuis le plus longtemps, dernière restauration chronométrée.
Questions fréquentes
Combien de temps faut-il pour répondre à un questionnaire de sécurité ?
Cela dépend davantage du fait d'y avoir déjà répondu une fois que du format. Un CAIQ d'environ 260 questions prend 2 à 3 semaines la première fois et 2 à 4 jours avec une bibliothèque de réponses. Un SIG Core de plus de 800 questions prend 4 à 8 semaines la première fois et 1 à 3 semaines avec une bibliothèque.
Quelle est la différence entre les questionnaires VSA, CAIQ et SIG ?
Le VSA, de la Vendor Security Alliance, compte 100 à 140 questions et arrive quand vous vendez à des entreprises technologiques. Le CAIQ, de la Cloud Security Alliance, en compte environ 260 et arrive quand l'acheteur est orienté cloud. Le SIG Core, de Shared Assessments, en compte plus de 800, se rencontre dans les services financiers et dépasse la sécurité : situation financière, risques d'entreprise et facteurs environnementaux.
La norme ISO 27001 aide-t-elle à répondre aux questionnaires de sécurité ?
Oui. Détenir la certification ISO 27001 répond d'avance à environ 75 à 85 % d'un VSA, 75 à 80 % d'un CAIQ et 50 à 65 % d'un SIG, soit plus que SOC 2 sur les trois. Aucun certificat ne fait disparaître les questionnaires, mais il vous donne un référentiel de mesures avec des responsables et des preuves, à partir duquel répondre au reste.
Que faire si la réponse honnête à une question de sécurité est non ?
Dites-le, avec la mesure compensatoire et la date à laquelle vous comblerez l'écart. Être honnête sur un manque ne fait presque jamais perdre une affaire à une PME. Se contredire d'une ligne à l'autre, parfois si.
Peut-on ignorer des sections d'un questionnaire de sécurité ?
Souvent, si vous le demandez. La plupart des questionnaires sont envoyés sans être adaptés : demandez donc quelles sections s'appliquent compte tenu de ce que le client achète. Si vous fournissez un seul module SaaS, la sécurité physique des sites de production n'entre pas dans le périmètre, et l'évaluateur en conviendra généralement.
