Questionnaire de sécurité client : répondez avec des preuves

Le commercial vous transfère un questionnaire de sécurité à remplir avant la signature, avec des cases déjà cochées pour gagner du temps. Reprenez les réponses une par une : voici comment fournir un dossier défendable sans vendre des protections imaginaires.

Faites préciser ce que le client achète

Avant de répondre, demandez le devis, la description de la prestation et le nom de l’interlocuteur sécurité du client. Un questionnaire envoyé à tous les fournisseurs peut viser un hébergement alors que vous vendez une intervention sur site. Répondre sur toute l’entreprise fabrique des ambiguïtés inutiles.

Écrivez en tête du dossier l’entité concernée, le service vendu, les données manipulées et les systèmes utilisés. Faites confirmer ce périmètre par le commercial. Si le formulaire ne prévoit aucun champ, joignez une note et référencez-la dans les réponses.

Je commencerais par cette question au client : quelles exigences conditionnent réellement votre décision ? Demandez aussi quelles pièces il accepte comme preuves. Cela évite de mobiliser l’équipe sur des annexes inutiles pendant qu’une exigence bloquante reste cachée au milieu du tableur.

Une question hors périmètre reçoit une justification. La mention non applicable ne doit jamais servir à masquer une réponse inconnue.

Remplacez les oui vagues par des réponses vérifiables

La question sur l’authentification multifacteur semble simple. Pourtant, une réponse valable pour les administrateurs peut être fausse pour un portail secondaire. Faites préciser la population et le service couverts avant de cocher.

Je recommande une trame stable : état constaté, périmètre, preuve, limite. Voici des formulations fictives à adapter uniquement après vérification.

Pour examiner les protections évoquées, utilisez le guide d’hygiène informatique de l’ANSSI comme grille de travail. Il propose des mesures concrètes de sécurisation. Ne transformez pas sa lecture en attestation de conformité.

Une politique écrite décrit une règle. Une preuve montre son application. Sur les sauvegardes, demandez le compte rendu du test de restauration, avec ses limites. Le nom du logiciel ne répond pas à la question de la reprise.

Gardez les travaux prévus hors des réponses positives

Le budget est accepté, la commande est partie, le déploiement commence bientôt. Aucune de ces étapes ne prouve que la protection fonctionne. Répondez sur l’état constaté au moment de l’envoi.

Le modèle de profils organisationnels du NIST distingue l’état actuel de l’état cible et aide à examiner les écarts. Reprenez cette séparation dans votre dossier. Elle rend visible ce qui existe et ce qui reste à financer ou à terminer.

Pour une réponse partielle, décrivez la limite, la protection temporaire éventuelle et le travail restant. Donnez une échéance seulement après validation par la personne chargée de l’exécution. Si le client refuse cet écart, faites arbitrer le périmètre de la vente ou les moyens nécessaires.

Une case cochée ne crée ni le budget ni l’équipe qui tiendra la promesse.

Si le portail impose oui ou non, demandez comment joindre une réserve. N’utilisez pas le oui comme raccourci en espérant expliquer la situation après signature. Conservez la réponse écrite du client sur le traitement des exceptions.

Fournissez une preuve sans livrer votre architecture complète

Demandez ce que le destinataire veut vérifier avant d’envoyer un rapport technique. Une synthèse de test peut suffire à une première évaluation. Un rapport détaillé réclame un examen des informations divulguées, des destinataires et des conditions de partage.

La CNIL recommande de vérifier l’effectivité des garanties des sous-traitants, notamment par des audits. Elle recommande aussi de vérifier le périmètre des certifications présentées. Pour les prestations traitant des données personnelles, cela explique pourquoi un client peut demander davantage qu’une déclaration générale.

Préparez une version partageable des preuves : objet du contrôle, date, périmètre, résultat et réserves pertinentes. Retirez les secrets, les données d’autres clients et les détails d’exploitation inutiles à l’évaluation. Ne retirez pas une réserve parce qu’elle embarrasse la vente.

Proposez une consultation encadrée quand la pièce complète est nécessaire. Faites autoriser sa transmission et vérifiez les droits de partage. Un lien accessible à toute personne qui le reçoit contredit l’effort de confidentialité annoncé dans le dossier.

Faites chiffrer les exigences qui changent la prestation

Un formulaire peut demander une surveillance permanente, des audits supplémentaires ou un délai de correction que votre équipe ne tient pas aujourd’hui. Faites sortir ces demandes du tableur pour les traiter avec le commercial.

Demandez qui réalisera le travail, avec quel budget et quelle conséquence sur le prix. Une exigence propre à ce client doit avoir un responsable et des moyens identifiés. Sans cela, la marge commerciale finance implicitement une charge que personne n’a estimée.

La DSI confirme les faits techniques. Le commercial confirme l’offre. Le juridique examine les formulations engageantes et leur articulation avec le contrat. Associez le DPO aux réponses sur les données personnelles. Pour les délais promis, rapprochez aussi le dossier de vos engagements de service.

Interdisez la modification silencieuse après validation. Si une réponse évolue pendant la négociation, faites relire la version corrigée par son responsable. Archivez exactement les documents transmis, y compris les annexes et les réserves.

Constituez cette semaine un dossier réutilisable

Astuce : commencez dans votre espace documentaire existant. Une table de réponses approuvées et un répertoire à accès limité suffisent pour démarrer. Chaque réponse porte son périmètre, son propriétaire, sa date de vérification et le lien vers sa preuve.

À faire cette semaine :

• Reprendre un questionnaire en attente et faire confirmer la prestation concernée.
• Repérer les oui sans preuve et les réponses copiées d’une autre offre.
• Attribuer chaque vérification à la personne capable de confirmer le fait.
• Isoler les exigences nouvelles et faire décider de leur financement.
• Préparer les pièces partageables et faire approuver la version destinée au client.
• Archiver l’envoi final avec ses destinataires et les exceptions discutées.

Réutilisez les réponses pour le prochain dossier, après contrôle du périmètre. Déclenchez leur révision quand une protection, un fournisseur ou le service change. Une réponse approuvée l’an dernier ne doit pas repartir chez un nouveau client sans propriétaire capable de la confirmer.