Votre client vous envoie un questionnaire de sécurité : comment y répondre

Un questionnaire de sécurité ne se remplit pas en cochant « oui » partout : il se prépare. Une réponse honnête, avec des preuves et un plan d’actions daté, rassure davantage votre client qu’un sans-faute de façade. Voici pourquoi vous le recevez, ce qu’il contient le plus souvent, et comment y répondre sans vous mettre en difficulté.

Pourquoi vous recevez ce questionnaire maintenant

Les grandes entreprises, les acheteurs publics et les assureurs savent qu’une partie des cyberattaques passe par leurs fournisseurs : un prestataire piraté, un accès à distance mal protégé, un e-mail envoyé depuis la messagerie d’un sous-traitant. Ils vérifient donc le niveau de sécurité de ceux avec qui ils travaillent. Plusieurs raisons s’additionnent :

• NIS2 : les entreprises concernées devront maîtriser la sécurité de leur chaîne d’approvisionnement. Elles interrogent leurs fournisseurs, même si ceux-ci ne sont pas soumis à la loi. Voir notre article NIS2 et PME et notre accompagnement NIS2.
• DORA : les banques, assureurs et mutuelles qui y sont soumis doivent encadrer leurs prestataires informatiques par contrat. Voir notre page conformité DORA.
• L’assurance cyber : l’assureur évalue votre niveau de protection avant de vous couvrir, ou au renouvellement. Voir notre page assurance cyber.
• Les appels d’offres : de plus en plus de marchés publics et privés comportent un volet cybersécurité.

Ce qu’on vous demande, le plus souvent

Chaque questionnaire a sa forme, mais on y retrouve presque toujours les mêmes familles de questions, et les mêmes preuves possibles :

Famille de questions	Exemples de questions	Ce qui peut servir de preuve
Organisation	Qui est responsable de la sécurité ? Existe-t-il une politique de sécurité ?	Nom du responsable, politique de sécurité datée et validée
Accès et comptes	La double authentification est-elle activée ? Les droits sont-ils revus ?	Capture des réglages, liste des comptes administrateurs à jour
Postes et serveurs	Les mises à jour sont-elles appliquées ? Un antivirus ou un EDR est-il installé ?	Rapport de la console de protection, politique de mises à jour
Sauvegardes	Les données sont-elles sauvegardées hors ligne ? Les restaurations sont-elles testées ?	Description du dispositif, compte rendu du dernier test de restauration
Messagerie	Votre domaine est-il protégé contre l’usurpation ? Les e-mails sont-ils filtrés ?	Résultat d’un test SPF, DKIM et DMARC, description du filtrage
Incidents	Avez-vous une procédure en cas d’incident ? Sous quel délai prévenez-vous vos clients ?	Procédure écrite, contacts d’urgence, engagement de délai
Sensibilisation	Vos salariés sont-ils formés aux e-mails piégés ?	Attestation de sensibilisation, résultats de simulations
Tests et audits	Votre sécurité a-t-elle été évaluée récemment ?	Rapport d’audit ou de test d’intrusion, ou sa synthèse

Bonne nouvelle : la plupart de ces questions portent sur des mesures simples, qu’une PME peut mettre en place en quelques semaines.

Les règles d’une bonne réponse

• Ne répondez jamais « oui » à une mesure qui n’existe pas. Le questionnaire peut avoir une valeur contractuelle, et votre client peut demander des preuves ou un audit. Une réponse inexacte engage votre responsabilité.
• Distinguez ce qui est en place, ce qui est partiel et ce qui est prévu. « Partiel : double authentification activée pour la direction, à étendre à tous les comptes d’ici mars » vaut mieux qu’un « non » sec ou qu’un « oui » fragile.
• Joignez des preuves quand on vous en demande : captures, procédures, attestations. Gardez-les dans un dossier, elles resserviront au prochain questionnaire.
• Ajoutez un plan d’actions daté pour les écarts. C’est souvent ce que le client regarde en premier : il veut savoir si vous avancez.
• Faites relire par la direction : c’est elle qui engage l’entreprise.
• Associez votre prestataire informatique : il connaît une partie des réponses techniques.

Les mesures qui reviennent toujours

Si vous partez de loin, ces mesures couvrent une grande partie des questionnaires et protègent réellement votre entreprise :

• la double authentification sur la messagerie et les accès à distance ;
• une protection des postes et des serveurs, par exemple un EDR, et des mises à jour régulières ;
• des sauvegardes hors ligne, avec un test de restauration réussi ;
• une messagerie protégée contre l’usurpation de votre nom de domaine, à vérifier avec notre test gratuit de messagerie ;
• une sensibilisation de vos équipes ;
• une procédure d’incident d’une page : qui appeler, qui décide, qui prévient le client ;
• un responsable de la sécurité désigné, en interne ou avec un RSSI externalisé à temps partagé.

Et si vous ne cochez pas toutes les cases ?

C’est le cas de la plupart des PME, et votre client le sait. Ce qui l’inquiète, ce n’est pas un écart : c’est un fournisseur qui ne sait pas où il en est, ou qui affirme tout avoir sans pouvoir le montrer. Un plan crédible, avec des dates et un responsable, montre au contraire que vous prenez le sujet au sérieux.

Pour savoir où vous en êtes avant de répondre, commencez par notre autodiagnostic gratuit. Pour une vue complète de ce qui est exposé sur Internet, l’audit de surface externe vous donne aussi des éléments concrets à joindre. Nos exemples d’interventions décrivent une situation type de ce genre.

Comment CyberIris peut vous aider

• Lire le questionnaire avec vous et repérer ce qui est déjà en place, souvent plus que vous ne le pensez.
• Rédiger des réponses exactes, avec les preuves et le plan d’actions à joindre.
• Mettre en place les mesures qui manquent, avec votre prestataire informatique.
• Tenir le dossier à jour pour les questionnaires suivants, par exemple dans le cadre d’une offre au mois ou d’un RSSI à temps partagé.