Qui devrait lire ceci : la personne, dans une entreprise de 40 salariés, qui vient de recevoir du service achats d’un prospect un tableur de plusieurs centaines de lignes, avec une échéance.
Ce tableur ne teste pas vraiment votre sécurité. Il teste si vous avez déjà écrit ce que vous faites. Ce sont deux choses différentes, et c’est pourquoi le même document prend deux jours à une entreprise et six semaines à une autre.
Les trois que vous recevrez réellement
La plupart des questionnaires suivent l’un de trois formats standards, ou en sont une version modifiée.
| Format | Questions | Première fois | Avec une bibliothèque de réponses |
|---|---|---|---|
| VSA, Vendor Security Alliance | 100 à 140 | 1 à 2 semaines | 1 à 2 jours |
| CAIQ, Cloud Security Alliance | environ 260 | 2 à 3 semaines | 2 à 4 jours |
| SIG Core, Shared Assessments | plus de 800 | 4 à 8 semaines | 1 à 3 semaines |
Deux points de ce tableau méritent qu’on s’y arrête.
Le premier : l’écart à l’intérieur d’une ligne dépasse l’écart entre les lignes. Un SIG avec une bibliothèque derrière est plus rapide qu’un CAIQ sans. Le format reçu compte bien moins que le fait d’avoir déjà répondu à quelque chose.
Le second : qui envoie quoi. Le VSA arrive quand vous vendez à des entreprises technologiques. Le CAIQ quand l’acheteur est centré cloud. Le SIG dans les services financiers, et il va bien au-delà de la sécurité, jusqu’à la situation financière, la gestion des risques d’entreprise et les facteurs environnementaux, d’où sa taille quadruple.
Ce que tous demandent réellement
Retirez les formats et il reste trois questions. Chaque ligne de chacun de ces tableurs en est une reformulation.
1. Savez-vous ce que vous avez ? Actifs, données, fournisseurs, qui accède à quoi. Environ un tiers de tout questionnaire est cette question habillée différemment.
2. Pouvez-vous montrer qu’une mesure tourne, et pas seulement qu’elle est écrite ? Non pas « avez-vous une politique de mots de passe » mais « quand avez-vous revu les accès pour la dernière fois, et pouvez-vous le montrer ». C’est la moitié qui piège les entreprises qui ont des documents mais pas d’enregistrements, la distinction exposée dans les preuves qui s’assemblent seules.
3. Que se passe-t-il quand quelque chose tourne mal ? Détection, réaction, notification à eux spécifiquement, reprise, et à quelle vitesse.
Une entreprise capable de répondre correctement à ces trois-là peut répondre à n’importe quel questionnaire. Une entreprise qui ne le peut pas répondra à chacun de zéro, différemment, indéfiniment.
Pourquoi vos réponses se contredisent, et pourquoi c’est le vrai risque
Voici l’échec qui coûte des affaires, et ce n’est pas une mauvaise réponse. Ce sont trois réponses différentes.
Le questionnaire arrive, on le découpe par section, il atterrit chez trois personnes. L’ingénieur répond aux lignes techniques d’après ce qui est réellement déployé. Quelqu’un des opérations répond aux lignes de processus d’après ce que dit la politique. Un fondateur répond aux lignes de gouvernance avec optimisme parce que l’affaire compte.
Le résultat se contredit. La ligne 40 dit revues d’accès trimestrielles. La ligne 210 dit annuelles. La ligne 15 dit que vous avez un plan de réponse aux incidents documenté, la ligne 300 dit que la réponse aux incidents est gérée au cas par cas par le CTO.
Les relecteurs d’en face le remarquent. Leur métier est de comparer des réponses, et l’incohérence se lit comme de la désorganisation ou de l’esquive. Les deux valent moins qu’un simple « nous ne le faisons pas encore, voici la mesure compensatoire et la date prévue ».
Être honnête sur un manque ne fait presque jamais perdre une affaire à cette taille. Être pris en flagrant délit de contradiction, parfois si.
Ce qu’une certification vous fait réellement gagner
Voici l’argument pour ISO 27001 que personne ne développe correctement, parce qu’il est commercial et non réglementaire.
Détenir ISO 27001 pré-répond à une large part de chacun de ces formats :
| Format | Couvert par SOC 2 | Couvert par ISO 27001 |
|---|---|---|
| VSA | 70 à 80 % | 75 à 85 % |
| CAIQ | 60 à 70 % | 75 à 80 % |
| SIG | 40 à 50 % | 50 à 65 % |
Notez le motif. ISO 27001 devance SOC 2 sur les trois, et de la marge la plus large sur le CAIQ. Notez aussi que même ISO 27001 plafonne vers 85 %, et sur un SIG couvre à peine la moitié. Aucun certificat ne fait disparaître les questionnaires.
Ce que le certificat apporte vraiment diffère du pourcentage de couverture. Il vous donne un référentiel de mesures avec propriétaires, statuts et preuves attachés, si bien que les questions restantes ont un endroit d’où être répondues. Sans cela, le pourcentage reste théorique.
Le tableau complet sans équipe de sécurité figure dans ISO 27001 pour une entreprise sans équipe de sécurité, et le budget honnête dans ce que la norme ISO 27001 coûte réellement à une PME.
Construisez la bibliothèque de réponses, une fois
Le remède pratique est peu glorieux et il fonctionne.
Classez les réponses par mesure, pas par questionnaire. L’unité est « comment nous faisons la revue d’accès », pas « ligne 212 du CAIQ de tel client en mars ». Quand le format suivant arrive, vous projetez ses lignes sur vos mesures au lieu de recommencer.
Chaque réponse porte une date et un propriétaire. Une bibliothèque que personne ne maintient vaut moins que rien, car elle reproduit une réponse périmée avec assurance. La date indique quelles entrées vérifier avant l’envoi.
Écrivez les manques comme des manques, avec un plan. Les lignes dont la réponse honnête est non méritent d’être pré-rédigées avec soin, car on vous les reposera. « Pas actuellement, atténué par X, prévu au deuxième trimestre » est une réponse réutilisable. Le silence, non.
Gardez la frontière du périmètre dans la bibliothèque aussi. Une bonne part des litiges de questionnaire sont en réalité des litiges de périmètre : le client interroge un système qui ne fait pas partie de l’environnement qui le sert. Pouvoir dire clairement ce qui est dedans et dehors relève de la même discipline que le périmètre et la déclaration d’applicabilité.
C’est aussi l’intérêt de tenir le référentiel, les preuves et les réponses au même endroit. Non parce qu’un outil bat un tableur par principe, mais parce qu’une réponse qui vit à côté de sa mesure est mise à jour quand la mesure change, et une réponse dans le tableur de l’an dernier ne l’est pas.
Les questions à poser en retour
Deux, et elles font gagner plus de temps que n’importe quel outillage.
« Quelles sections s’appliquent compte tenu de ce que vous achetez ? » La plupart des questionnaires partent sans être adaptés. Si vous fournissez un seul module SaaS, la sécurité physique de vos sites de production est hors sujet, et le relecteur en conviendra généralement si on le lui demande. C’est une conversation normale, pas une opposition.
« Notre certificat ISO 27001 et notre déclaration d’applicabilité couvriraient-ils une partie de ceci ? » Souvent oui, en particulier pour les sections de gouvernance. Cela vaut la peine de demander avant de passer deux semaines à retaper le même contenu à leur format.
La réalité technique : le questionnaire n’est pas le test
Il vaut la peine d’être lucide sur ce que cet exercice mesure, car cela oriente vos investissements.
Un questionnaire teste la documentation. Il demande si une mesure existe et si vous savez la décrire. Chaque question de chacun de ces formats peut recevoir une réponse sincère de la part d’une entreprise où la journalisation est configurée et jamais interrogée, où le scanner tourne chaque mois vers un rapport que personne ne lit, et où aucune restauration n’a jamais été chronométrée. Toutes ces réponses sont oui.
Le test change au moment de l’appel de suivi. Un relecteur attentif pose des secondes questions : depuis combien de temps votre constat critique le plus ancien est-il ouvert, quand avez-vous restauré une sauvegarde et combien de temps cela a-t-il pris, qu’est-ce qui vous dirait qu’un compte a été compromis. Celles-là appellent des chiffres, et les chiffres sont là ou ne le sont pas.
La bibliothèque de réponses vous fait donc passer le tableur, et elle vaut la peine d’être construite. Elle ne vous fait pas passer l’appel. Cela suppose une détection et une gestion de l’exposition qui tournent réellement, produisant des constats avec propriétaire et échéance, le même écart que celui décrit dans ce qu’un certificat laisse ouvert. Un audit de sécurité indépendant est le moyen le plus rapide de savoir lesquelles de vos réponses survivraient à la question de suivi.
