.svg)
Modèle de réponse à un questionnaire de sécurité
Un client, un assureur ou un appel d'offres vous envoie un questionnaire de sécurité ? Voici les questions qui reviennent le plus souvent, et une trame de réponse honnête pour chacune.
Évaluer ma préparation en 3 minutesGratuit et sans engagement.
3 règles avant de répondre
Un questionnaire de sécurité devient souvent contractuel : votre client peut auditer. On répond donc juste, preuve à l'appui.
1. Ne cochez jamais « oui » par confort
Un « oui » non tenu devient un manquement au premier contrôle. Mieux vaut une réponse exacte qu'une case cochée pour faire plaisir.
2. Un écart daté passe mieux qu'une promesse
Si une mesure n'est pas en place, dites-le, et donnez la date à laquelle elle le sera. Un plan daté rassure plus qu'une promesse intenable.
3. Répondez à la question, preuve à l'appui
Une politique signée, une capture d'écran, une date : la preuve compte plus que le discours.
Les thèmes qui reviennent (1 à 4)
Pour chaque thème : la question type de votre client, et une trame de réponse.
« Avez-vous une politique de sécurité ? Qui en est responsable ? » → Nommez un responsable (même externalisé), dites si une politique existe et quand elle est revue. Sinon : « en cours de formalisation, disponible le [date] ».
« Comment gérez-vous les comptes et les droits ? » → MFA sur les accès sensibles, comptes nominatifs, revue régulière des droits, retrait des accès au départ d'un collaborateur.
« Les données sensibles sont-elles chiffrées ? Où sont-elles hébergées ? » → Chiffrement en transit (HTTPS/TLS) et au repos, localisation (UE si pertinent), qui y a accès. Nommez vos hébergeurs.
« Comment protégez-vous postes et réseau ? » → Antivirus/EDR à jour, mises à jour appliquées, pare-feu, Wi-Fi invités séparé. Simple et factuel.
Sauvegardes et incidents (5 et 6)
Sauvegardes — « Avez-vous des sauvegardes ? Un plan de reprise ? » → Règle 3-2-1 (3 copies, 2 supports, 1 hors ligne), fréquence, dernier test de restauration. Si pas de PCA/PRA formalisé, dites-le avec une date.
Incidents — « Que se passe-t-il en cas d'attaque ? Prévenez-vous vos clients ? » → Qui est prévenu, dans quel délai, qui décide. Même un plan d'une page vaut mieux que rien. Précisez le délai de notification au client.
Sous-traitance (7)
« Faites-vous appel à des sous-traitants ayant accès aux données ? » → Listez-les (hébergeur, outils SaaS) et dites comment vous vérifiez leur sécurité (clauses contractuelles, certifications).
Pour finir
Sensibilisation (8)
« Vos équipes sont-elles sensibilisées ? » → Fréquence (au moins annuelle), sujets (phishing, mots de passe), avec un registre de preuve.
Le piège le plus courant
Répondre avec un modèle générique qui promet des mesures que vous n'appliquez pas. Ce que votre client vérifie, c'est la correspondance entre ses exigences et vos pratiques réelles.
Comment utiliser ce modèle
Reprenez chaque thème, adaptez la trame à votre réalité, et joignez vos preuves. En cas de doute sur une case, mieux vaut un écart daté qu'un « oui » risqué.
Un avis avant d'envoyer ?
Faites le diagnostic gratuit en 3 minutes, ou réservez un échange : on regarde votre questionnaire ensemble.
Vous voulez être sûr avant de répondre ?
20 minutes, sans engagement. Apportez le questionnaire, et vous repartez en sachant si vous êtes réellement à risque.
Réserver un échange de 20 minOu par email : contact@securedshift.com