Si votre entreprise opère dans les services informatiques — gestion de serveurs et de réseaux, helpdesk avec accès à distance, ou maintenance de logiciels chez les clients — le questionnaire de sécurité que vous recevez est souvent plus volumineux que celui d'autres fournisseurs. Cela ne signifie pas que votre client vous fait défiance, mais plutôt que votre service donne par nature accès à des systèmes qui ne vous appartiennent pas. Une organisation soumise à des obligations de diligence qui évalue sa chaîne d'approvisionnement scrute un prestataire informatique plus attentivement qu'un fournisseur de mobilier de bureau.
Les questions qui reviennent régulièrement dans ce secteur se répartissent généralement en trois catégories : comment vous gérez à distance, comment vous réglez l'accès aux systèmes clients, et comment vous traitez les sous-traitants. Ci-dessous, pour chaque catégorie, figurent les demandes typiques et les raisons qui les motivent.
Pourquoi les prestataires informatiques constituent une catégorie à part
Selon la directive NIS2, une organisation soumise à des obligations de diligence doit aussi évaluer les risques qui proviennent de ses fournisseurs. Un cabinet comptable qui traite uniquement les factures ne représente pas le même risque qu'un prestataire capable de se connecter la nuit au serveur de l'entreprise pour déployer une mise à jour. Les autorités de contrôle et la directive elle-même citent explicitement cette dépendance aux services informatiques comme un point d'attention au sein de la chaîne de valeur. Pour vous, cela signifie que le questionnaire porte souvent non pas sur vos locaux, mais sur le chemin que parcourent vos collaborateurs et vos systèmes jusqu'au réseau du client.
Questions sur la gestion à distance
Si vous gérez à distance les systèmes de vos clients, via des outils de surveillance et de gestion à distance (RMM) ou par une connexion VPN, le questionnaire demande généralement des précisions sur la sécurité de cette connexion elle-même. Les thèmes typiques sont : l'accès à distance ne peut-il se faire que par authentification multi-facteurs, les sessions sont-elles enregistrées et quelle est la période de conservation des journaux, existe-t-il une fenêtre horaire fixe pour la maintenance, et que se passe-t-il si un ordinateur portable d'un technicien est volé ou perdu. La question de savoir si le logiciel RMM lui-même est tenu à jour revient aussi régulièrement — une faille de sécurité dans ce programme de gestion affecte en effet tous les clients gérés par ce biais à la fois, ce qui en fait un point sensible pour les clients.
Questions sur l'accès aux systèmes clients
Le deuxième groupe de questions porte sur qui exactement peut accéder à quels systèmes. Par exemple : appliquez-vous le principe selon lequel chacun n'a accès qu'à ce qui est nécessaire pour sa tâche (least privilege), l'accès est-il immédiatement supprimé lorsqu'un collaborateur quitte son poste ou change de fonction, et les mots de passe et les clés d'accès sont-ils distincts par client ou partagés entre les missions. Certains questionnaires demandent aussi un aperçu de qui a eu accès pendant une période donnée, ce qui ne peut être fourni que si cet aperçu est déjà tenu à jour. Ceux qui n'ont pas ce type d'informations à disposition perdent souvent non parce que la sécurité fait défaut, mais simplement parce que la réponse ne peut pas être fournie assez rapidement.
Questions sur les sous-traitants et votre propre chaîne d'approvisionnement
Le troisième groupe de questions est souvent oublié jusqu'à ce qu'il se pose : faites-vous appel à des sous-traitants pour certaines parties du service, comme un tiers externe pour le helpdesk en dehors des heures de bureau ou pour une gestion réseau spécialisée ? Un client qui doit cartographier sa propre chaîne d'approvisionnement souhaite savoir si cette chaîne s'arrête chez vous ou se poursuit ailleurs. Les questions à ce sujet portent généralement sur le fait de savoir si les sous-traitants reçoivent les mêmes exigences de sécurité que celles que vous appliquez vous-même, et si le client est informé à l'avance lorsqu'un nouveau sous-traitant est engagé. C'est aussi le point où le questionnaire peut dévier vers des informations qui ne sont pas raisonnablement nécessaires pour l'évaluation des risques ; où se situe cette limite n'est pas la même dans toutes les situations et mérite une évaluation propre.
Ce que cela signifie pour la réponse que vous donnez
Les questions ci-dessus ne constituent pas une simple liste de contrôle mais un schéma récurrent, et ce schéma change peu d'un client à l'autre au sein de ce secteur. Cela rend utile de savoir à l'avance où vous en êtes — lesquels de ces sujets sont déjà assignés à un propriétaire et à une preuve, et lesquels restent en suspens. voir en quelques questions si et comment vous êtes concerné fournit une première orientation à ce sujet, et les sujets développés selon la situation approfondit les mesures spécifiques comme le contrôle d'accès et l'évaluation des fournisseurs. Si vous doutez qu'une question posée reste dans des limites raisonnables, c'est quelque chose à discuter avec le client lui-même ou, en cas de doute persistant, avec un juriste ; les questions les plus fréquemment posées sur ce sujet fournit un certain nombre de points de départ.
Si vous souhaitez voir sans engagement où se situe votre entreprise par rapport à ce type de questionnaires, effectuez l'analyse rapide gratuite ou parcourez la base de connaissances sur secria.eu — les deux sont accessibles sans compte.