Le SIG
Le questionnaire Standardized Information Gathering est maintenu par Shared Assessments et c’est celui que les banques, les assureurs et les grandes entreprises envoient le plus souvent. Il existe en deux formats. Le SIG Core est la bibliothèque complète, avec plusieurs centaines de questions réparties sur une vingtaine de domaines : contrôle d’accès, gestion des actifs, sécurité des applications, résilience de l’activité, cloud, conformité, protection des données, ressources humaines, gestion des incidents, sécurité réseau, sécurité physique, confidentialité, gestion des fournisseurs, gestion des menaces. Le SIG Lite est un sous-ensemble d’une centaine de questions environ, utilisé pour les fournisseurs à moindre risque et les premières évaluations.
Les questions appellent une réponse oui, non ou non applicable, avec une colonne de commentaire. La valeur est dans le commentaire. Un simple oui à « Les droits d’accès sont-ils réexaminés régulièrement ? » n’apprend rien au relecteur ; « Tous les trimestres, par le référent IT, résultats dans le système de tickets » lui dit tout.
Le CAIQ
Le Consensus Assessment Initiative Questionnaire vient de la Cloud Security Alliance et correspond à sa Cloud Controls Matrix. C’est le questionnaire que reçoivent les fournisseurs cloud et SaaS, et sa structure suit les domaines de la matrice de contrôles : sécurité des applications et des interfaces, assurance d’audit, continuité d’activité, contrôle des changements, sécurité des données, chiffrement et gestion des clés, gouvernance, identité et accès, sécurité de l’infrastructure, journalisation et surveillance, chaîne d’approvisionnement, gestion des menaces et des vulnérabilités.
Comme il est conçu pour la responsabilité partagée, de nombreuses lignes reçoivent une réponse partielle de votre fournisseur d’hébergement. Les grands fournisseurs publient leur propre CAIQ complété. Citer la bonne ligne de ce document est la manière acceptée de répondre à ces questions, avec une phrase sur ce que vous faites en complément.
Le DDQ
Un questionnaire de due diligence est ce que l’équipe achats ou risques d’un client envoie avant la signature, et il est plus large que la sécurité. Attendez-vous à des sections sur l’entreprise, propriété, années d’activité, personnes clés, les finances et les assurances, la situation juridique et réglementaire, la continuité d’activité, la protection des données et la confidentialité, puis à une section sécurité qui est généralement un SIG ou un CAIQ raccourci. Les institutions financières et les organismes publics envoient les plus longs. La section sécurité est celle où votre bibliothèque de réponses s’applique ; le reste est répondu une fois et change rarement.
Ce qu’ils ont en commun
Environ deux tiers des questions de sécurité dans chacun des trois questionnaires demandent les mêmes choses avec des formulations différentes : comment vous contrôlez les accès, comment vous protégez les données au repos et en transit, comment vous développez et modifiez les logiciels, comment vous trouvez et corrigez les vulnérabilités, comment vous gérez les incidents, comment vous maintenez le service en fonctionnement, qui sont vos fournisseurs, et comment vous formez les personnes. La formulation diffère, la numérotation diffère, le format oui/non/commentaire diffère. Les faits, eux, ne changent pas.
C’est le cas avec une bibliothèque de réponses unique, contenant une réponse approuvée par fait, rédigée dans un ton neutre, à partir de laquelle les lignes de chaque questionnaire sont préparées. L’autre approche, un SIG complété ici et un CAIQ complété là, diverge en deux trimestres : le SIG indique que les sauvegardes sont testées mensuellement, le CAIQ indique trimestriellement, et un relecteur qui dispose des deux demande ce qui est exact.
Comment répondre aux trois depuis un seul endroit
Gardez les faits, pas les questionnaires. Pour chaque contrôle, une réponse approuvée avec son responsable, sa preuve et une date. Quand un SIG arrive, rédigez chaque ligne à partir de cette bibliothèque, relisez celles que la bibliothèque ne couvre qu’à moitié et exportez dans le fichier du SIG lui-même. Quand le CAIQ arrive, la même bibliothèque y répond avec les mots du CAIQ. Les connaissances dans Responsemate, c’est là que vit cette bibliothèque, avec la preuve et la date sur chaque entrée, et les questions pour lesquelles vous n’avez jamais écrit de réponse apparaissent comme les lignes que l’IA ne peut pas rédiger.
Questions fréquentes
Devons-nous remplir le SIG si le client nous l’envoie ?
En général, oui, mais vous pouvez envoyer le SIG Lite ou votre propre SIG rempli plus tôt dans l’année si le client l’accepte, et beaucoup l’acceptent. Demandez avant de commencer ; un client qui se satisfait de votre SIG rempli le plus récent fait gagner une semaine aux deux parties.
Le CAIQ est-il réservé aux fournisseurs cloud ?
Il a été conçu pour les services cloud, mais toute entreprise SaaS le reçoit, car pour le client, vous êtes un service cloud. Si vous êtes hébergé chez un grand fournisseur, une partie du CAIQ décrit ses contrôles, et son propre CAIQ publié constitue vos preuves pour ces lignes.
Quelle est la différence entre un DDQ et un questionnaire de sécurité ?
Un DDQ est plus large. Il porte sur l’entreprise (propriété, finances, assurance, continuité d’activité) ainsi que sur la sécurité. La section sécurité d’un DDQ est généralement une version raccourcie d’un SIG ou d’un CAIQ.