Types de questionnaire
Questionnaire de sécurité
Une liste de questions qu’un client envoie à un fournisseur pour juger si ce fournisseur peut être considéré comme fiable pour ses données et ses systèmes. Cela peut aller de trente questions dans un formulaire à plusieurs centaines réparties sur de nombreux onglets de feuille de calcul.
Évaluation de la sécurité des fournisseurs (VSA)
Le processus côté client dont le questionnaire fait partie : le questionnaire, la relecture des preuves, une notation du risque et une décision. Certains clients utilisent « VSA » pour désigner le questionnaire lui-même.
SIG
Le questionnaire Standardized Information Gathering de Shared Assessments, la norme utilisée par les banques, les assureurs et les grandes entreprises. SIG Core correspond à l’ensemble complet ; SIG Lite est la version courte. Voir SIG vs CAIQ vs DDQ.
CAIQ
Le Consensus Assessment Initiative Questionnaire de la Cloud Security Alliance, conçu pour les services cloud et mis en correspondance avec la Cloud Controls Matrix.
DDQ
Un questionnaire de due diligence : plus large que la sécurité, il couvre l’entreprise, ses finances, ses assurances et sa continuité, ainsi que ses contrôles de sécurité.
Section sécurité d’un RFP
Les questions de sécurité dans un appel d’offres. Généralement un questionnaire abrégé, à traiter dans un délai fixé par le cycle de vente plutôt que par l’équipe sécurité.
Réponse
Bibliothèque de réponses
L’ensemble des réponses approuvées, une par fait, à partir desquelles les questionnaires sont complétés. Chaque entrée est conservée avec un propriétaire et une date. Voir constituer une bibliothèque de réponses.
Base de connaissances
Dans Responsemate, la bibliothèque de réponses ainsi que les documents, liens et questionnaires passés à partir desquels l’IA répond.
Preuves
Un document qui montre qu’une réponse est vraie : une politique, un certificat, un rapport de test, un journal d’exercice. Voir quelles preuves joindre.
Non applicable
Une réponse honnête lorsqu’une question décrit quelque chose que vous ne faites pas ou que vous n’avez pas, avec une phrase qui explique pourquoi. Les relecteurs l’acceptent lorsque la raison est réelle.
Score de confiance
Dans Responsemate, une mention High, Medium ou Low sur chaque réponse rédigée, avec les raisons : la mesure dans laquelle les sources répondent directement à la question, leur degré de correspondance avec celle-ci et leur fraîcheur.
Source
L’origine d’une réponse rédigée : l’entrée Q&A, le fichier, le lien ou la réponse antérieure à partir desquels elle a été construite. Une réponse avec ses sources peut être vérifiée ; sans sources, c’est une opinion.
Fraîcheur
Indique si une source ou une réponse est encore à jour : un certificat avant sa date d’expiration, une politique relue dans l’année, un effectif du trimestre en cours.
Approuver
L’étape où la personne responsable de la réponse la confirme. Un brouillon ne devient une réponse que lorsque quelqu’un l’approuve.
Référentiels et normes
ISO 27001
La norme internationale pour un système de management de la sécurité de l’information. La certification signifie qu’un auditeur a vérifié que le système existe et fonctionne, dans un périmètre défini. Voir les questionnaires ISO 27001.
SOC 2
Un rapport d’attestation, émis par un auditeur selon les critères de services de confiance de l’AICPA, sur les contrôles d’une organisation de services. Le Type I décrit les contrôles à un moment donné ; le Type II les teste sur une période. Voir les questionnaires SOC 2.
ISAE 3000 et ISAE 3402
Normes internationales d’assurance utilisées pour les rapports d’audit sur les contrôles d’une organisation prestataire de services, courantes en Europe, où SOC 2 est moins utilisé. Voir les questionnaires ISAE 3000.
NIS2
La directive de l’UE sur la sécurité des réseaux et des systèmes d’information, en vigueur par le droit national depuis 2024, qui rend les organisations concernées responsables de la sécurité de leurs fournisseurs. Consultez les questionnaires fournisseurs NIS2.
DORA
L’EU Digital Operational Resilience Act pour le secteur financier, applicable à partir de 2025, avec des exigences détaillées sur la manière dont les entités financières gèrent leurs tiers ICT. Voir les questionnaires DORA.
GDPR
Le Règlement général sur la protection des données de l’UE. Dans un questionnaire, il apparaît sous forme de questions sur les données personnelles, la base légale, les sous-traitants et sous-traitants ultérieurs, les transferts et la notification des violations. Voir les évaluations de fournisseurs GDPR.
NIST CSF
Le référentiel de cybersécurité du US National Institute of Standards and Technology : cinq fonctions (identifier, protéger, détecter, répondre, rétablir) autour desquelles de nombreux questionnaires sont organisés.
Cyber Essentials
Une certification soutenue par le gouvernement britannique, portant sur cinq contrôles de base. Elle est souvent demandée par les organismes publics britanniques et leurs fournisseurs.
Contrôle
Une mesure précise qui réduit un risque : revues trimestrielles des accès, chiffrement au repos, sauvegarde testée. Les référentiels sont des listes de contrôles ; les questionnaires demandent si vous les avez mis en place.
Correspondance des contrôles
La mise en relation de vos réponses et de vos preuves avec les contrôles d’un référentiel, afin que vous puissiez voir les contrôles que vous couvrez, ceux que vous ne couvrez pas, et répondre à un questionnaire fondé sur un référentiel à partir de ce que vous possédez déjà.
Contrats et confidentialité
Accord de traitement des données (DPA)
Le contrat dans le cadre du GDPR entre un client (responsable du traitement) et un fournisseur (sous-traitant) qui définit la manière dont les données personnelles sont traitées. Les questionnaires demandent si vous en avez un et demandent souvent à le consulter.
Sous-traitant ultérieur
Un fournisseur que votre fournisseur utilise pour traiter les données du client : l’hébergeur, le service d’e-mail, le fournisseur d’IA. Les clients s’attendent à une liste publiée et à une notification des changements.
Résidence des données
Où les données sont stockées et traitées géographiquement. La « résidence des données dans l’UE » signifie que les données ne quittent pas les centres de données de l’UE.
Centre de confiance
Une page publique où une entreprise publie sa posture de sécurité, ses certificats et ses politiques pour que les clients les consultent avant de poser leurs questions. Elle répond à l’avance aux questions fréquentes ; elle ne répond pas au questionnaire propre d’un client. Consultez Responsemate face à un centre de confiance.
Test d’intrusion
Un test dans lequel des spécialistes de la sécurité tentent de s’introduire dans un système et rendent compte de ce qu’ils ont trouvé. Les questionnaires demandent quand le dernier a eu lieu, son périmètre et si les constats ont été corrigés.
Objectifs de point de reprise et de temps de reprise (RPO, RTO)
La quantité de données que vous pourriez perdre lors d’une panne, c’est-à-dire le temps écoulé depuis la dernière sauvegarde utilisable, et la durée pendant laquelle le service pourrait être indisponible. Les questionnaires sur la continuité d’activité demandent les deux.