La forme d’une réponse qui passe
Chaque réponse ci-dessous fait quatre choses en quelques phrases : elle nomme le contrôle, elle indique qui en est responsable, elle précise à quelle fréquence il a lieu, et elle dit où se trouvent les preuves. Les versions faibles font l’inverse : elles rassurent. Les relecteurs sont payés pour rester insensibles aux assurances.
Contrôle d’accès
Question : Comment les droits d’accès des utilisateurs sont-ils accordés, revus et révoqués ?
Faible : Nous appliquons le principe du moindre privilège et l’accès est strictement contrôlé.
Mieux : L’accès est demandé au moyen d’un ticket et approuvé par le propriétaire du système ; les comptes sont créés uniquement avec les droits par défaut du rôle. Le responsable IT passe en revue tous les droits d’accès chaque trimestre par rapport à la liste RH, et la revue est consignée dans le système de tickets. L’accès est révoqué le dernier jour ouvré dans le cadre de la checklist RH de départ. La politique de contrôle des accès est jointe.
Chiffrement
Question : Les données client sont-elles chiffrées au repos et en transit ?
Faible : Oui, nous utilisons un chiffrement conforme aux standards du secteur.
Mieux : En transit, toutes les connexions utilisent TLS 1.2 ou une version ultérieure ; les protocoles plus anciens sont désactivés au niveau du répartiteur de charge. Au repos, les bases de données et les sauvegardes sont chiffrées avec AES-256 à l’aide de clés gérées par le service de clés du fournisseur d’hébergement ; les clés font l’objet d’une rotation annuelle. Les ordinateurs portables sont chiffrés sur l’ensemble du disque et gérés de manière centralisée.
Sauvegardes
Question : À quelle fréquence les sauvegardes sont-elles effectuées et testées ?
Faible : Des sauvegardes sont effectuées régulièrement et peuvent être restaurées si nécessaire.
Mieux : Les bases de données sont sauvegardées toutes les heures avec une restauration à un instant donné et conservées pendant 35 jours ; le stockage de fichiers est répliqué dans deux régions. Une restauration complète dans un environnement séparé est testée chaque trimestre par l’équipe plateforme ; le dernier test a eu lieu en June et le journal est joint. L’objectif de point de récupération est d’une heure, l’objectif de délai de rétablissement est de quatre heures.
Réponse aux incidents
Question : Disposez-vous d’un plan de réponse aux incidents, et quand a-t-il été testé pour la dernière fois ?
Faible : Nous disposons d’un processus complet de réponse aux incidents.
Mieux : Le plan de réponse aux incidents est sous la responsabilité du responsable de l’ingénierie et définit les niveaux de gravité, le planning d’astreinte, la communication aux clients dans les 24 heures pour les incidents affectant leurs données, ainsi qu’une relecture post-incident dans les cinq jours ouvrés. Il a été testé pour la dernière fois lors d’un exercice sur table en mars, avec une fuite d’identifiants simulée ; les constats ont été traités en avril. Le plan est joint.
Gestion des vulnérabilités
Question : Comment identifiez-vous et corrigez-vous les vulnérabilités ?
Faible : Nous appliquons les correctifs rapidement et surveillons les vulnérabilités.
Mieux : Les dépendances sont analysées à chaque build et les images du système d’exploitation chaque semaine ; les constats sont priorisés selon leur sévérité, avec des objectifs de correction de 7 jours pour les critiques et de 30 jours pour les élevés. Un test d’intrusion externe est réalisé chaque année ; le résumé de mars est joint, avec tous les constats clôturés. Les correctifs de sécurité sont publiés en dehors du cycle de publication normal lorsque cela est nécessaire.
Sous-traitants ultérieurs
Question : Quels tiers traitent les données client ?
Faible : Nous travaillons uniquement avec des fournisseurs de confiance et conformes.
Mieux : Les données des clients sont traitées par notre fournisseur d’hébergement (région UE), notre fournisseur d’envoi d’e-mails et notre fournisseur d’IA, chacun dans le cadre d’un accord de traitement des données. La liste actuelle, avec les localisations et les finalités, est publiée sur notre site web, et les clients sont informés des changements 30 jours à l’avance. Notre propre personnel accède aux données de production uniquement via des comptes nominatifs avec journalisation.
Continuité d’activité
Question : Comment assureriez-vous la continuité du service en cas de panne majeure ?
Faible : Nous disposons d’une redondance pour garantir une haute disponibilité.
Mieux : Le service fonctionne dans deux zones de disponibilité avec basculement automatique ; une panne régionale complète est couverte par les sauvegardes et l’infrastructure as code, avec un délai de reconstruction testé de quatre heures. Le plan de continuité nomme le décisionnaire et le circuit de communication avec le client. Dernier exercice lors du test de restauration trimestriel ; résultat joint.
Personnel et formation
Question : Les employés reçoivent-ils une formation à la sécurité ?
Faible : Tout le personnel est formé à la sensibilisation à la sécurité.
Mieux : Chaque employé suit une formation de sensibilisation à la sécurité lors de sa première semaine, puis chaque année, suivie par les RH ; le taux d’achèvement actuel est de 100 pour cent. Les ingénieurs suivent en plus une formation annuelle au développement sécurisé. Des simulations d’hameçonnage sont menées chaque trimestre, et les résultats alimentent la formation suivante.
Pourquoi ces solutions fonctionnent
Chaque réponse de meilleure qualité peut être vérifiée par un relecteur en cinq minutes, et un relecteur qui peut vérifier une réponse fait davantage confiance à la suivante. Les réponses faibles ne peuvent pas être vérifiées du tout, elles suscitent donc une question de suivi et, sur deux cents lignes, se forgent une réputation. Responsemate rédige des brouillons de réponses dans ce meilleur format à partir de vos propres politiques et de vos réponses passées, avec la source jointe, afin que la relecture consiste à vérifier les faits plutôt qu’à rédiger du texte. Comment fonctionne la rédaction.
Questions fréquentes
Pouvons-nous réutiliser ces exemples ?
Seulement la structure. Tous les faits qu’ils contiennent sont inventés. Une réponse copiée depuis un site web est une affirmation que vous ne pouvez pas étayer, et les relecteurs poseront des questions de suivi.
Quelle doit être la longueur d’une réponse ?
Deux à quatre phrases pour la plupart des questions. Suffisamment long pour nommer le contrôle, le propriétaire, la fréquence et les preuves. Au-delà, la réponse cherche généralement à rassurer plutôt qu’à informer.