Votre client vous envoie un questionnaire de sécurité : comment y répondre ?
Grands comptes, collectivités, groupes industriels : de plus en plus de donneurs d’ordre demandent à leurs fournisseurs de prouver leur niveau de sécurité. Voici comment répondre sans bluffer ni perdre le marché.
Ce que votre client cherche vraiment
Votre client ne vous évalue pas par plaisir : il cherche à savoir si une attaque contre vous peut l’atteindre (accès à ses données, messagerie compromise, interruption de service). Les questions touchent presque toujours les mêmes sujets.
- Accès : authentification multifacteur, comptes administrateurs, départ des collaborateurs.
- Maintenance : mises à jour des systèmes et des équipements exposés.
- Données : sauvegardes, test de restauration, chiffrement.
- Messagerie : protection contre l’hameçonnage et l’usurpation de domaine.
- Organisation : qui fait quoi en cas d’incident, à qui le signaler.
Répondre sans exagérer
Cocher « oui » partout est tentant, et risqué : un questionnaire est souvent annexé au contrat, et une réponse inexacte peut être reprochée après un incident. Mieux vaut répondre « en cours, échéance prévue » avec un plan daté que « oui » sans preuve.
Pour chaque réponse, gardez une pièce : capture de configuration, procédure, rapport. Un questionnaire bien documenté raccourcit les échanges suivants avec ce client, et avec les suivants.
Ce qu’un audit externe apporte
Un audit réseau réalisé par un tiers vous donne un constat daté, indépendant et priorisé : ce qui est exposé sur Internet, l’état du chiffrement, les écarts par rapport à un socle ANSSI / NIS2 / RGPD, et un plan d’action classé par effort et par risque.
C’est un point d’appui pour répondre au questionnaire et pour montrer à votre client que vous traitez le sujet. Limite à connaître : notre audit n’est ni un test d’intrusion, ni une certification, ni une qualification PASSI. Si votre client exige explicitement un prestataire qualifié ou une certification, vérifiez-le avant de commander.
Les étapes pour réagir vite
- Listez les questions où vous ne pouvez pas répondre avec une preuve.
- Faites le point avec notre auto-diagnostic gratuit de 3 minutes pour repérer les écarts les plus visibles.
- Cadrez un audit sur le périmètre qui intéresse votre client (voir les offres).
- Corrigez en priorité les écarts bloquants, puis répondez au questionnaire avec le rapport et le plan d’action.
Questions fréquentes
Un audit suffit-il pour être « conforme » à ce que demande mon client ?
Cela dépend de ce que le client exige. Un audit donne un état des lieux et un plan d’action ; il ne remplace pas une certification ou une qualification si le contrat en demande une. Lisez les clauses de sécurité du contrat.
Dois-je tout corriger avant de répondre au questionnaire ?
Non. Répondez avec honnêteté et un plan daté pour les écarts. Corrigez en priorité ce qui est exposé à Internet et les accès sensibles.
Combien de temps faut-il prévoir ?
Cela dépend du périmètre et de l’échéance du client. L’appel de cadrage gratuit sert justement à confirmer ce qui est réaliste avant tout engagement.
Préparer la réponse au questionnaire de votre client
30 minutes pour cadrer votre besoin, sans engagement. Aucun test technique sans votre autorisation écrite.