Ce qu’est le SIG
Le questionnaire Standardized Information Gathering est publié par Shared Assessments, une organisation à adhésion consacrée à la gestion des risques liés aux tiers, et il est mis à jour chaque année. Il est conçu comme une bibliothèque : l’équipe risques du client choisit les domaines et les questions qui s’appliquent à un fournisseur et envoie le résultat, généralement sous forme de classeur Excel. Les domaines couvrent notamment la gestion des risques, les politiques, la gestion des actifs, les ressources humaines, la sécurité physique, l’exploitation, le contrôle d’accès, la sécurité des applications, la gestion des incidents, la résilience de l’activité, la conformité, la protection de la vie privée, la gestion des fournisseurs et le cloud, et chaque question est mise en correspondance avec les grandes normes comme ISO 27001 et NIST.
Core ou Lite
Le SIG Core est le jeu complet, envoyé aux fournisseurs qui détiennent des données sensibles ou soutiennent un service important. Le SIG Lite est un sous-ensemble court, avec une ou deux questions par domaine, utilisé pour les fournisseurs à moindre risque et pour un premier examen. Comme le client définit le périmètre du fichier, deux SIG venant de deux banques la même année sont rarement identiques, même lorsque les deux indiquent Core.
Comment les réponses sont lues
La plupart des questions se répondent par oui, non ou non applicable, avec un commentaire. Un « non » n’est pas un échec ; c’est un constat sur lequel le relecteur reviendra, alors indiquez dans le commentaire le contrôle compensatoire ou le plan prévu. Un « oui » sans commentaire est faible pour toute question qui porte sur une fréquence, un responsable ou un périmètre. « Chaque trimestre, par le responsable informatique, consigné dans l’outil de tickets » est le genre de commentaire qui clôt une question. Non applicable demande aussi une justification : « nous ne détenons aucune donnée de titulaire de carte » plutôt qu’un simple N/A.
Les relecteurs comparent le SIG avec vos preuves. Attendez-vous à des demandes portant sur votre politique de sécurité de l’information, le résumé de votre dernier test d’intrusion, votre plan de continuité, votre attestation d’assurance et un rapport d’assurance si vous en avez un.
Répondre en tant que fournisseur
Répondez une fois, avec soin, au SIG Core complet, même si aucun client ne vous l’a encore envoyé. Chaque Lite et chaque SIG ciblé devient alors un sous-ensemble de réponses que vous avez déjà. Gardez une réponse approuvée par fait, et non un SIG rempli par client : les faits changent (un nouveau calendrier de sauvegarde, un nouveau sous-traitant ultérieur), et une bibliothèque met à jour d’un coup tous les SIG à venir, alors que les anciens classeurs divergent.
Dans Responsemate
Importez le classeur SIG tel qu’il arrive, et chaque ligne est rédigée à partir de votre base de connaissances avec ses sources et un score de confiance. Les lignes que la bibliothèque ne couvre qu’à moitié sont signalées pour relecture, et les réponses finalisées retournent dans le fichier du client. Comment les questionnaires sont importés et exportés.
Questions fréquentes
Quelle est la différence entre le SIG Core et le SIG Lite ?
Le SIG Core est le jeu de questions complet, destiné aux fournisseurs qui détiennent des données sensibles ou exploitent un service critique. Le SIG Lite est un sous-ensemble court pour les fournisseurs à moindre risque ou pour un premier passage. Un client peut commencer par le Lite et envoyer le Core plus tard si vos réponses relèvent le niveau de risque.
Pouvons-nous envoyer le SIG de l’an dernier au lieu d’en remplir un nouveau ?
Souvent, oui. Beaucoup de clients acceptent un SIG rempli dans l’année en cours, surtout pour le Lite. Demandez avant de commencer, et vérifiez que la version correspond, car Shared Assessments publie un nouveau SIG chaque année.
Avons-nous besoin d’une licence Shared Assessments pour répondre à un SIG ?
Non. La licence concerne l’organisation qui construit et envoie le questionnaire. Un fournisseur répond au fichier qu’il reçoit.