Lisez l’ensemble avant de répondre à quoi que ce soit
Un questionnaire de sécurité ressemble à une liste, mais il raconte une seule histoire : le client peut-il vous confier ses données ? Parcourez chaque feuille et chaque colonne avant d’écrire le moindre mot. Vous trouverez la même question posée de trois façons, le contrôle d’accès sous « Identité », « Opérations » et « Cloud », les questions qui ne s’appliquent que si vous hébergez vous-même les données, et celles qui demandent discrètement un document plutôt qu’une réponse. Le savoir à l’avance évite les deux erreurs les plus coûteuses : vous contredire d’une feuille à l’autre, et répondre à une question qui ne vous concernait pas.
Pendant votre lecture, marquez trois choses : ce qui ne s’applique pas et pourquoi, ce qui nécessite un document que vous avez déjà, et ce qui nécessite l’intervention d’une autre personne que vous.
Répondez à partir de ce que vous faites réellement, par écrit
La meilleure source pour une réponse n’est pas le dernier questionnaire, c’est votre propre politique, procédure ou configuration. Ouvrez la politique de contrôle d’accès et répondez aux questions sur le contrôle d’accès à partir de celle-ci. Lorsque la politique et la réalité divergent, le questionnaire vient de mettre en évidence une lacune ; répondez selon la réalité et corrigez la politique, jamais l’inverse. Les relecteurs en lisent des centaines, et une réponse qui cite un vrai document avec un vrai responsable n’a pas le même effet qu’une réponse rédigée pour sembler correcte.
Si vous n’avez pas de politique pour le domaine concerné, dites-le et décrivez la pratique. C’est une réponse honnête et elle est acceptée bien plus souvent que les équipes ne l’imaginent.
Conserver une voix unique et un ensemble de faits cohérent
Deux cents réponses rédigées par six personnes dans six styles ressemblent à six entreprises. Décidez une fois pour toutes de la voix : première personne du pluriel, présent, concret. « Nous revoyons les droits d’accès chaque trimestre ; le responsable informatique est responsable de la revue et les résultats sont conservés dans le système de tickets » est la forme à viser. Ensuite, gardez les faits identiques partout : si vous dites que les sauvegardes sont testées chaque mois sur la première feuille, elles sont testées chaque mois sur la quatrième feuille.
C’est là qu’une bibliothèque de réponses partagée démontre sa valeur. Une réponse que vous avez approuvée le trimestre dernier sert de point de départ pour celle-ci, et lorsque le fait change, vous le modifiez à un seul endroit.
Joignez les preuves là où elles sont demandées, pas partout
Certaines questions demandent un document : la politique, le dernier résumé du test d’intrusion, le certificat. Joignez-les et nommez-les afin que la personne chargée de relire sache ce qu’elle ouvre. Ne joignez pas tout le dossier des politiques à chaque feuille ; une personne qui doit ouvrir douze fichiers pour vérifier un seul contrôle supposera que les autres servent à remplir. Notre guide sur les preuves à joindre passe en revue les demandes habituelles.
Marquez les points sur lesquels vous avez un doute
Chaque questionnaire contient dix questions auxquelles la réponse honnête est « Je pense que oui, mais je devrais vérifier ». Signalez-les à la personne qui sait, plutôt que de deviner. Le coût d’un mauvais « oui », c’est une conversation sur un incident de sécurité dix-huit mois plus tard, avec votre questionnaire comme pièce A. Le coût d’un signalement, c’est une journée.
Renvoyez-le dans le fichier qu’ils vous ont envoyé
Les clients traitent les questionnaires dans la mise en page qu’ils ont choisie, souvent avec un outil de leur côté. Conservez leurs colonnes, leurs feuilles et leur numérotation, et remplissez la colonne de réponse qu’ils vous ont fournie. Un questionnaire qui revient sous forme de PDF avec une structure différente est recopié à la main par quelqu’un de leur équipe, et vos réponses perdent leur mise en forme, et parfois leur sens, en chemin.
Tout conserver pour la prochaine fois
Le deuxième questionnaire d’un client est plus facile que le premier seulement si vous avez conservé le premier. Conservez les réponses approuvées, les preuves que vous avez jointes, qui a répondu à quoi, et la date. Au trimestre suivant, vous répondrez aux deux cents mêmes questions posées par un autre client, et quatre-vingts pour cent du travail seront déjà faits, à condition que les réponses soient encore exactes. Ajoutez une date d’expiration à celles qui vieillissent, comme les certificats, les rapports de test et les effectifs, afin de les revérifier au lieu de les renvoyer telles quelles.
Ce que cela donne avec un outil conçu pour cela
Responsemate prend en charge la moitié mécanique de ce qui précède : il lit le fichier du client, repère les colonnes de questions et de réponses dans chaque feuille, rédige un brouillon de chaque réponse à partir de vos politiques, documents et réponses passées, indique les sources utilisées et son niveau de confiance, permet à votre équipe de relire et d’approuver, puis exporte dans le fichier envoyé par le client. Le jugement vous revient. Fonctionnement du flux de questionnaires.
Questions fréquentes
Qui doit répondre à un questionnaire de sécurité ?
Un responsable qui coordonne, et les personnes qui gèrent réellement chaque domaine : infrastructure, RH, juridique, équipe produit. Le responsable garantit une seule voix ; les spécialistes apportent les faits. Une réponse que personne dans l’entreprise n’assumerait est pire qu’un « non applicable » accompagné d’une raison.
Que faire si nous n’avons pas de politique sur un sujet demandé ?
Dites-le, et dites ce que vous faites à la place. « Nous n’avons pas de politique écrite pour X ; en pratique, Y » est une réponse honnête que les relecteurs respectent, et c’est le point de départ de la politique que vous rédigerez au prochain trimestre.
Quel niveau de détail faut-il dans une réponse à un questionnaire de sécurité ?
Assez pour que le relecteur puisse le vérifier : le contrôle, son responsable, sa fréquence d’exécution et l’emplacement des preuves. Deux ou trois phrases suffisent généralement. Un paragraphe rassurant sans faits entraîne une question de suivi.