Les documents que les relecteurs demandent le plus souvent
Dans la plupart des questionnaires, les mêmes demandes reviennent, à peu près dans cet ordre de fréquence :
- La politique de sécurité de l’information, et les politiques vers lesquelles elle renvoie : contrôle d’accès, utilisation acceptable, classification des données, réponse aux incidents, continuité d’activité, gestion des fournisseurs.
- Un certificat ou une attestation en cours de validité, si vous en avez un ou une : ISO 27001, SOC 2 Type II, ISAE 3000, Cyber Essentials, ou ceux de votre fournisseur d’hébergement.
- Le résumé du test d’intrusion le plus récent, avec la date, le périmètre et l’état des constats. Le résumé, pas le rapport complet, sauf demande contraire.
- Le plan de continuité d’activité ou de reprise après sinistre, ainsi que les preuves qu’il a été testé : la date et le résultat du dernier exercice.
- L’accord de traitement des données et la liste des sous-traitants.
- Preuve d’assurance cyber : le certificat avec la garantie et la date d’expiration.
- Un organigramme ou un contact sécurité nommé.
- Pour le SaaS : la vue d’ensemble de l’architecture, le flux de données et l’endroit où les données sont stockées.
Préparez et nommez ces huit éléments, et la plupart des questionnaires n’auront besoin de rien d’autre.
Ce que chacun prouve
Les relecteurs ne lisent pas les preuves par plaisir ; ils les lisent pour vérifier une affirmation. Faites correspondre le document à l’affirmation. Un certificat prouve qu’un auditeur a vérifié le périmètre à une date donnée. Une politique prouve que la règle existe et indique qui en est responsable. Un résumé de test prouve que quelqu’un a recherché des failles et indique ce qui est arrivé à celles qui ont été trouvées. Un rapport d’exercice réalisé prouve que le plan de continuité est plus qu’un document. Une réponse indiquant « nous testons les sauvegardes tous les trimestres » et joignant le journal de test du trimestre précédent est complète ; la même réponse avec la politique de sauvegarde en pièce jointe appelle la question de suivi « mais les testez-vous ? ».
Nommez et datez tout
Un relecteur qui ouvre « policy_final_v3 (2).pdf » n’apprend rien du nom. Nommez les fichiers d’après ce qu’ils sont et leur date : « Access control policy, reviewed 2026-05.pdf », « Penetration test summary, 2026-03, external.pdf ». Indiquez aussi la date de la dernière revue dans le document ; le nom du fichier se perd lorsque le client le copie dans son propre système.
Joignez-le là où il est demandé, pas partout
Joignez un document à la question qui le demande, et mentionnez-le par son nom dans les questions liées (« voir la politique de contrôle d’accès jointe à la question 4.2 »). Joindre l’ensemble complet des politiques à chaque feuille enfouit le seul document dont le relecteur avait besoin et double la taille du fichier que vous renvoyez.
Résumés pour les contenus sensibles
Certains documents aident autant un attaquant qu’un relecteur : schémas réseau avec adresses, test d’intrusion complet avec étapes de reproduction, runbooks internes avec noms de systèmes. Pour ceux-ci, joignez un résumé qui donne au relecteur ce dont il a besoin, le périmètre, la date, les catégories de constats, l’état de la remédiation, et proposez le document complet lors d’un appel ou dans une data room. La plupart des relecteurs l’acceptent sans discussion, car leur propre équipe de sécurité dirait la même chose.
Gardez les preuves à jour, avec une date
Les preuves vieillissent selon un calendrier que vous connaissez à l’avance : le certificat expire, le test arrive à échéance, l’assurance se renouvelle, la politique fait l’objet d’une revue annuelle. Indiquez ces dates sur les documents de votre bibliothèque de réponses et laissez un outil vous alerter avant qu’un client ne le fasse. Envoyer un certificat expiré est l’erreur évitable la plus courante dans les questionnaires, et elle est entièrement évitable.
Dans Responsemate
Les fichiers de la base de connaissances ont une date d’expiration et un statut de fraîcheur, une vérification nocturne signale ce qui a vieilli, et les preuves peuvent être jointes à une réponse de questionnaire depuis la bibliothèque en un clic, ou trouvées pour vous par l’assistant IA lorsqu’une question les demande. Fonctionnement des fichiers et des preuves.
Questions fréquentes
Devrions-nous envoyer nos politiques complètes à un client ?
En général, la politique elle-même, oui, dans le cadre de la confidentialité qui couvre déjà le questionnaire. Les procédures internes contenant des noms de systèmes et des détails réseau sont mieux résumées. Si un document aiderait davantage un attaquant qu’un relecteur, envoyez un résumé et proposez la version complète lors d’un appel.
Et si nous n’avons pas de test d’intrusion ?
Dites-le, indiquez quand le prochain est prévu et décrivez ce que vous faites à la place, par exemple analyse des vulnérabilités, revue de code ou bug bounty. La personne chargée de la relecture préfère le savoir plutôt que de recevoir un rapport d’analyse présenté comme un test.
Quel âge les preuves peuvent-elles avoir ?
Un certificat est valide jusqu’à sa date d’expiration. Un test d’intrusion datant de plus d’un an suscite généralement des questions. Les politiques doivent montrer une relecture au cours de l’année. Si un document est plus ancien, joignez-le avec une note indiquant la date de sa prochaine relecture.