Après cette lecture, vous saurez envoyer des questionnaires adaptés au risque, et constituer une bibliothèque qui y répond vite et sincèrement.
Définition
Les acheteurs utilisent leurs propres listes ou des listes partagées, comme le SIG de Shared Assessments ou le CAIQ de la Cloud Security Alliance. Les réponses finissent souvent dans le contrat, ce qui leur donne du poids.
Pourquoi c'est important
Pour un acheteur, c'est un moyen peu coûteux de comparer des fournisseurs. Pour un fournisseur qui n'a rien préparé, cela peut bloquer une vente pendant des semaines.
Sa limite est que les réponses sont déclaratives : des preuves et des clauses contractuelles doivent étayer ce qui compte le plus.
Comment ça fonctionne
Si vous en envoyez un, adaptez-le au niveau : une liste courte pour un faible risque, la liste complète seulement pour les fournisseurs critiques. Demandez des preuves sur les points importants, et lisez les réponses.
Si vous répondez, tenez une bibliothèque de réponses approuvées, chacune avec sa preuve et son responsable, et mettez-la à jour après chaque changement pertinent.
Répondez exactement à ce qui est demandé. Quand une pratique n'est que partielle, dites-le et expliquez la mesure compensatoire.
Un cas concret
Une entreprise SaaS de 50 personnes reçoit environ quatre questionnaires par mois, d'environ 200 questions chacun. Elle constitue une bibliothèque de 150 réponses approuvées et une page de confiance qui présente son certificat ISO/IEC 27001.
Le délai moyen de réponse passe de neuf jours à deux, et les commerciaux ne sollicitent la sécurité que lorsqu'une question est nouvelle.
Bonnes pratiques
- Faites approuver chaque réponse par quelqu'un qui connaît la pratique.
- Datez vos réponses et revoyez-les une fois par an.
- Partagez les preuves sous accord de confidentialité.
- Transformez les questions qui reviennent sans cesse en documents publics.
Erreurs fréquentes
- Répondre oui à tout pour conclure la vente. Ces réponses peuvent revenir sous forme de clauses contractuelles.
- Réutiliser une ancienne réponse après que la pratique a changé.
- Envoyer 300 questions à un petit fournisseur de services à faible risque.
- Collecter des réponses sans jamais les lire, ce qui fait perdre du temps à tout le monde.
Questions
- Qu'est-ce que le questionnaire SIG ?
- Le Standardized Information Gathering questionnaire de Shared Assessments, très utilisé pour les revues de fournisseurs.
- Qu'est-ce que le CAIQ ?
- Le Consensus Assessments Initiative Questionnaire de la Cloud Security Alliance, destiné aux fournisseurs cloud.
- Un certificat peut-il remplacer un questionnaire de sécurité ?
- Il peut le raccourcir, surtout quand le périmètre correspond. Beaucoup d'acheteurs demandent quand même des précisions.
- Les réponses aux questionnaires engagent-elles juridiquement ?
- Elles peuvent engager, surtout si le contrat y fait référence, et une réponse fausse peut constituer une fausse déclaration.
- L'IA peut-elle remplir des questionnaires de sécurité ?
- Elle peut rédiger un projet à partir de vos réponses approuvées. Quelqu'un qui connaît la pratique doit quand même les vérifier.