Commencez par écrire ce que vous faites déjà
Une entreprise de dix personnes a plus de pratiques de sécurité que de documents de sécurité. Les ordinateurs portables sont chiffrés parce que le système d’exploitation le fait ; les accès sont accordés par une seule personne qui connaît tout le monde ; les sauvegardes s’exécutent parce que le fournisseur d’hébergement les exécute ; le code est relu parce que deux personnes examinent chaque changement. Rien de tout cela n’est écrit, et un questionnaire demande précisément cela. Consacrez la première matinée à rédiger une page par domaine : qui a accès à quoi et comment cela change, comment le code passe en production, où résident les données et comment elles sont sauvegardées, ce qui se passe si quelqu’un perd un ordinateur portable, ce qui se passe si le service tombe en panne. Des phrases simples, la vérité du moment. Cette page est votre politique pour le questionnaire, et le point de départ de la vraie politique.
Appuyez-vous sur vos fournisseurs
L’essentiel de la sécurité de votre infrastructure relève de votre fournisseur d’hébergement, et il a répondu publiquement à ces questions. Ses pages de conformité, ses questionnaires publiés et ses certifications répondent pour vous aux questions sur la sécurité physique, les centres de données, le chiffrement au repos et la disponibilité. Citez-le par son nom et ajoutez la phrase qui précise ce que vous configurez en plus : quelle région, quel paramètre de chiffrement, qui détient les clés. Il en va de même pour vos fournisseurs de messagerie, de paiement et d’identité.
Dites ce que vous n’avez pas, et quand vous l’aurez
Vous aurez des lacunes : pas encore de test d’intrusion, pas de plan formel de gestion des incidents, pas de programme de formation à la sécurité. La réponse qui maintient l’opportunité en vie est précise : « Aucun test d’intrusion externe n’a été réalisé ; il est planifié pour le quatrième trimestre avec un prestataire identifié. Les dépendances sont analysées à chaque build. » Les relecteurs chez les grands clients disposent d’un processus pour accepter des fournisseurs qui ont des lacunes et un plan. Ils n’en ont pas pour les fournisseurs qui ont prétendu ne pas avoir de lacunes et ont été découverts.
Conservez le premier questionnaire ; c’est votre bibliothèque
Les 180 réponses que vous rédigez cette semaine constituent l’essentiel des réponses au prochain questionnaire, puis au suivant. Conservez-les dans un endroit plus adapté que l’e-mail envoyé : un emplacement unique, avec la date et une note indiquant qui a confirmé chacune d’elles. Lorsqu’un élément change, par exemple vous recrutez, vous changez de région ou vous réalisez le test, mettez à jour la seule réponse concernée. Le deuxième questionnaire prend une journée au lieu d’une semaine, et le troisième prend un après-midi.
Obtenez les trois documents qui débloquent la plupart des affaires
Si vous ne rédigez que trois documents cette année, rédigez la politique de sécurité de l’information (les documents d’une page ci-dessus, regroupés proprement dans un seul document avec un propriétaire et une date de relecture), le plan de réponse aux incidents (qui décide, qui informe les clients, dans quel délai), et la liste des sous-processeurs avec un modèle d’accord de traitement des données. Ces trois éléments répondent aux questions qui bloquent le plus souvent les achats.
Quand il est temps d’utiliser un outil
Lorsque les questionnaires arrivent plus vite qu’une personne ne peut y répondre de mémoire, un outil conçu pour cette tâche transforme la bibliothèque en brouillons et conserve les dates. Responsemate est utilisé par de petites équipes exactement pour cela : importer le fichier du client, générer un brouillon pour chaque réponse à partir des fiches synthétiques et du dernier questionnaire, relire celles qu’il signale comme incertaines, exporter dans le format du client, et tout conserver pour le prochain. Comment un petit fournisseur l’utilise.
Questions fréquentes
Avons-nous besoin d’ISO 27001 pour vendre à de grands clients ?
Pas habituellement, mais vous devez bien répondre à leur questionnaire. De nombreux clients acceptent un petit fournisseur sans certification si les réponses sont précises, honnêtes et étayées par les quelques documents qui comptent. Le certificat devient justifié par son coût lorsque les questionnaires commencent à arriver chaque semaine.
Et si nous répondons « non » à beaucoup de questions ?
Répondez « non » et indiquez ce que vous faites à la place, ou quand vous prévoyez de le faire. Un relecteur préférera voir quinze écarts honnêtes avec des dates plutôt que quinze « oui » vagues. Ce sont les « oui » vagues qui font échouer les audits plus tard.