Questionnaire sécurité client : comment y répondre
Un client vous envoie un questionnaire de cybersécurité ? Voici les questions posées, ce qu'elles attendent vraiment, et les preuves à fournir sans mentir.
En bref
Un questionnaire de sécurité fournisseur se répond en trois temps : identifier qui pose la question et pourquoi, répondre honnêtement même quand la réponse est « non », et joindre une preuve datée pour chaque « oui ». Comptez deux à quatre heures pour un questionnaire de PME. Le piège n'est pas la difficulté technique, c'est la tentation de cocher « oui » partout.
Pourquoi votre client vous envoie ce document
Parce qu'il est lui-même sous contrainte, et que vous êtes devenu une partie de son risque.
Trois causes, souvent combinées. La directive NIS2 oblige les entités concernées à évaluer la sécurité de leur chaîne de sous-traitance, et elles répercutent cette obligation sur leurs fournisseurs. Le RGPD impose au responsable de traitement de s'assurer que ses sous-traitants présentent des garanties suffisantes, ce qui se traduit par des questionnaires et des clauses. Enfin, les assureurs cyber conditionnent de plus en plus leur couverture à un niveau de maturité vérifié chez le client et chez ses partenaires.
Conséquence pratique : personne ne cherche à vous piéger. Votre interlocuteur cherche à pouvoir cocher une case dans son propre dossier. Cela change complètement la façon d'y répondre.
Les questions qui reviennent, et ce qu'elles attendent vraiment
| Question posée | Ce qu'elle veut savoir | Preuve acceptée |
|---|---|---|
| « Chiffrez-vous les données en transit ? » | Votre site et vos formulaires sont-ils en HTTPS valide ? | Rapport de scan datant de moins de 3 mois, montrant le certificat et sa validité |
| « Disposez-vous d'une politique de mots de passe ? » | Y a-t-il une règle écrite, et est-elle appliquée ? | Une page A4 signée par la direction suffit |
| « L'authentification multifacteur est-elle en place ? » | Sur la messagerie et les accès d'administration, au minimum | Capture d'écran de la configuration, ou attestation de votre prestataire |
| « Avez-vous réalisé un audit de sécurité ? » | Quand, sur quel périmètre, et avec quel résultat | Rapport daté, même automatisé, à condition de dire ce qu'il couvre |
| « Vos sauvegardes sont-elles testées ? » | Testées, pas seulement configurées | Date de la dernière restauration réussie |
| « Comment gérez-vous les vulnérabilités connues ? » | Existe-t-il un suivi, ou découvrez-vous au hasard ? | Historique de détection et de correction |
| « Avez-vous un plan de réponse à incident ? » | Qui appelle qui, dans quel ordre, à 3 h du matin | Une page avec des noms et des numéros |
| « Vos sous-traitants sont-ils évalués ? » | Faites-vous à votre tour ce qu'on vous demande | La liste de vos prestataires et leurs engagements |
La règle qui vous évitera un problème sérieux
Ne cochez jamais « oui » à ce que vous ne pouvez pas prouver.
Ce n'est pas un conseil moral, c'est un conseil contractuel. Un questionnaire de sécurité signé devient une pièce du contrat. En cas d'incident, ce document est le premier que les juristes ressortent. Une case cochée à tort transforme une malchance en faute contractuelle, et peut vider votre assurance de sa substance.
La bonne réponse à une question dont la réponse est « non » n'est pas « oui ». C'est :
Cette formulation est acceptée beaucoup plus souvent que les dirigeants ne l'imaginent. Un service achats préfère un fournisseur lucide avec un plan à un fournisseur parfait sur le papier. Personne ne croit qu'une PME de huit personnes coche vingt cases sur vingt.
Les quatre réponses que vous pouvez produire aujourd'hui
Certaines questions demandent des mois de travail. Quatre autres se règlent dans l'après-midi, et ce sont souvent celles qui portent le plus de points.
1. L'état de votre site, avec une preuve datée. Certificat TLS valide, HTTPS forcé, en-têtes de sécurité présents, configuration d'e-mail correcte. Ce sont des faits vérifiables depuis l'extérieur, donc opposables. Un rapport de scan daté répond d'un coup à plusieurs questions du tableau ci-dessus.
2. L'authentification multifacteur sur la messagerie. C'est la mesure au meilleur rapport effort sur risque, elle s'active en une heure sur Microsoft 365 ou Google Workspace, et elle apparaît dans presque tous les questionnaires.
3. Une politique de mots de passe d'une page. Longueur minimale, gestionnaire de mots de passe imposé, interdiction de réutilisation. Datée et signée par la direction. Cela paraît dérisoire, cela vaut une case cochée.
4. Un plan de réponse à incident d'une page. Qui prévient qui, dans quel ordre, avec quels numéros. Il n'a pas besoin d'être sophistiqué, il a besoin d'exister et d'être à jour.
Ce qu'un rapport de scan automatisé prouve, et ce qu'il ne prouve pas
Soyons précis, parce que c'est exactement le genre d'approximation qui se retourne contre vous.
Ce qu'il prouve : l'état, à une date donnée, de ce qui est visible depuis Internet. Validité et expiration des certificats, application effective du HTTPS, présence des en-têtes de sécurité, configuration SPF, DKIM et DMARC de votre domaine, exposition de services et de versions logicielles connues.
Ce qu'il ne prouve pas : vos sauvegardes, vos droits d'accès internes, vos postes de travail, vos procédures, la formation de vos équipes, et la solidité réelle de vos applications face à un attaquant déterminé.
Si vous joignez un rapport de scan, dites explicitement ce qu'il couvre. Un donneur d'ordre qui découvre lui-même le périmètre réel après l'avoir accepté sera plus méfiant sur tout le reste.
Combien de temps cela prend, réellement
Pour une PME sans responsable informatique dédié :
| Étape | Durée |
|---|---|
| Lire le questionnaire et identifier les questions hors périmètre | 30 minutes |
| Obtenir un état technique daté de votre site et de vos e-mails | 5 minutes avec un scan, 3 à 10 jours avec un prestataire |
| Rédiger les deux documents d'une page (mots de passe, incident) | 1 heure |
| Répondre aux questions organisationnelles | 1 à 2 heures |
| Relecture et envoi | 30 minutes |
Total réaliste : une demi-journée. Le premier questionnaire est le plus long. Les suivants se répondent par copier-coller, à condition d'avoir gardé vos réponses dans un fichier.
Le point de départ le plus rapide
La partie technique du questionnaire est celle qui bloque le plus souvent, et c'est la seule qui se règle en quelques secondes.
Lancez un scan gratuit de votre domaine : vous obtiendrez l'état de vos certificats, de vos en-têtes et de votre configuration d'e-mail, avec la date. C'est la pièce à joindre, et c'est aussi la liste de ce qu'il vous reste à corriger avant de renvoyer le document.
Questions fréquentes
Puis-je refuser de répondre à un questionnaire de sécurité ?
Vous le pouvez, mais dans les faits cela équivaut souvent à renoncer au contrat. Une réponse partielle et honnête vaut toujours mieux qu'un refus.
Que faire si une question ne s'applique pas à mon activité ?
Écrivez « non applicable » et expliquez pourquoi en une phrase. Ne laissez jamais une case vide : une case vide est lue comme une dissimulation, une mention « non applicable » argumentée est lue comme de la rigueur.
Faut-il une certification ISO 27001 pour répondre ?
Non. La certification ISO 27001 dispense parfois de remplir le questionnaire, mais son coût et sa durée la rendent hors de portée de la majorité des PME. Un questionnaire honnêtement rempli et documenté suffit dans l'immense majorité des cas.
Un rapport de scan automatisé est-il accepté comme preuve d'audit ?
Cela dépend du donneur d'ordre. Beaucoup l'acceptent pour les questions techniques externes, à condition qu'il soit daté et que son périmètre soit indiqué. Posez-lui la question avant d'engager la dépense d'un audit complet.
Mon client demande un test d'intrusion, dois-je le payer ?
Pas nécessairement vous-même. C'est un point de négociation courant, en particulier quand le test est demandé pour les besoins du client. Demandez qui le finance avant d'accepter le principe.