Un questionnaire de cybersécurité demande généralement un ensemble fixe de pièces justificatives : une politique de sécurité de l'information, un aperçu de qui a accès à quels systèmes, un plan en cas de problème, et la preuve que vous le testez réellement. Concrètement, il s'agit souvent d'un document de politique, d'une analyse des risques, d'un plan de réponse aux incidents, d'un rapport d'un test de pénétration récent (une tentative contrôlée de pénétration dans vos systèmes pour identifier les failles), d'un aperçu des sauvegardes et des procédures de récupération, et d'une preuve que les collaborateurs ont suivi une formation de sensibilisation.
Le détail qui compte le plus dans ce type de questionnaire n'est pas le contenu de ces documents mais la date qui y figure. Une politique de sécurité de l'information datant de trois ans, un rapport de test de pénétration sans date d'approbation claire, ou un aperçu de formation ne montrant pas quand la dernière session a eu lieu : ce sont exactement les choses pour lesquelles un client désapprouve ou demande un complément. Le questionnaire lui-même évalue souvent non seulement si une mesure existe, mais si elle est à jour.
Pourquoi la date a tant de poids
Un questionnaire de cybersécurité tente de fournir un instantané de la situation actuelle de votre fournisseur, non de sa situation il y a deux ans. Un test de pénétration datant de deux ans dit peu de choses sur les systèmes qui ont entre-temps été mis à jour ou remplacés. Un document de politique qui n'a pas été révisé depuis une réorganisation ne couvre peut-être plus la situation actuelle. Les clients qui eux-mêmes sont soumis à une supervision, par exemple par des règles de sécurité des réseaux et de l'information, transmettent souvent cette attente d'actualité à leurs propres fournisseurs. C'est pourquoi un portail demande parfois explicitement une date de validité en plus du document lui-même.
Pour les entreprises relevant de la directive NIS2, ou qui font des affaires avec une organisation qui y est soumise, ces pièces justificatives reviennent souvent dans un classement fixe de mesures. Vous pouvez lire dans la base de connaissances ce que demande exactement cette directive et pour qui ; cet article traite des documents eux-mêmes, non de la portée des règles. la base de connaissances avec des explications par sujet en donne un aperçu.
Ce que vous devez généralement fournir et ce que vous n'avez pas besoin de fournir
Chaque client ne demande pas le même niveau de détail. Un grand client avec son propre service d'achat en cybersécurité demande parfois le rapport de test de pénétration complet ; un plus petit client est souvent déjà satisfait d'un résumé ou d'une déclaration selon laquelle des tests ont eu lieu et quand. Ce que vous devez concrètement partager dépend du portail et du questionnaire de ce client spécifique. Il n'est pas habituel de partager du code source, une politique de mot de passe détaillée, ou des schémas de réseau internes ; ces informations n'ont généralement pas leur place dans un questionnaire de fournisseur et un client prudent ne les demande pas non plus.
Un dossier, plusieurs questionnaires
La difficulté avec ces documents n'est pas qu'ils manquent, mais qu'ils sont dispersés : la politique chez l'informatique, l'aperçu de formation chez les ressources humaines, le rapport de test de pénétration chez le tiers qui a réalisé le test. Lors du questionnaire suivant, vous les rassemblez de nouveau, et vous vérifiez à nouveau si les dates sont toujours correctes. Un dossier centralisé de la chaîne d'approvisionnement conserve ces documents et leur date de validité au même endroit, afin que vous puissiez voir lors d'un nouveau questionnaire quelles réponses sont encore actuelles et lesquelles nécessitent une mise à jour. Supplia remplit les questions de la liste de votre client sur la base de cela ; vous confirmez chaque réponse et vous déposez vous-même auprès du portail de votre client.
Si votre entreprise manque actuellement de documents souvent demandés, vous le verrez rapidement avec la vérification gratuite qui montre en quelques questions où vous en êtes. Comment les données dans un tel dossier sont traitées et sécurisées, vous pouvez le lire sur la page relative à la confidentialité et la protection des données. Et si vous voulez savoir comment Supplia obtient exactement les réponses qu'il remplit pour vous, c'est expliqué sur l'explication sur le fonctionnement du système.
Pour la situation de votre propre entreprise, avec vos propres systèmes et risques, une conversation avec un spécialiste en sécurité informatique ou un juriste reste le conseil le plus fiable. Cet article donne un aperçu de ce qui est souvent demandé, non pas une évaluation de ce qui est nécessaire ou suffisant dans votre cas.
Voulez-vous voir quels documents dans votre propre entreprise sont déjà en ordre et lesquels ont besoin d'une mise à jour ? Effectuez l'analyse rapide gratuite ou parcourez les sujets de la base de connaissances pour voir ce qui est pertinent pour votre situation.