Automatisation des questionnaires de sécurité : ce qui rend une réponse défendable

Le questionnaire n’est jamais la partie la plus difficile. Prouver la réponse six mois plus tard, si.

C’est l’appel que je redoute. Longtemps après une soumission, un client revient demander pourquoi une réponse dit ce qu’elle dit, et personne dans l’équipe ne sait lui répondre. Non pas parce que la réponse était erronée. Mais parce qu’il n’existe aucune trace permettant de savoir qui l’a rédigée, sur quoi elle reposait ou qui avait autorisé son envoi.

Je passe l’essentiel de ma semaine avec des équipes dont le métier consiste à répondre à des security questionnaires, généralement entre leur première semaine sur la plateforme et leur premier véritable audit. Automatisation des questionnaires est un logiciel qui aide les équipes fournisseurs à répondre aux questionnaires de sécurité des fournisseurs et aux due diligence questionnaires à partir d’une source de connaissances gouvernée. Chaque réponse est traçable jusqu’à son origine et une personne conserve l’approbation finale. Voilà la définition théorique. La suite est moins nette : les questions que ces équipes me posent et les réponses que je leur donne. Presque toutes ramènent au même point : la réponse tiendra-t-elle encore lorsque quelqu’un la mettra à l’épreuve ?

Points clés

• La traçabilité arrive en tête, presque à chaque fois. Vous devez pouvoir cliquer sur n’importe quelle réponse et consulter la politique dont elle est issue. Un score de confiance sans élément à l’appui ne prouve rien.
• La deuxième question est de savoir qui valide. L’automatisation prépare un brouillon, un relecteur désigné au sein de l’équipe bid ou de l’équipe InfoSec prend la décision, et celle-ci est consignée.
• Une réponse approuvée qui n’a pas été réexaminée depuis dix-huit mois est pire qu’une absence de réponse, car elle bénéficie d’une autorité qu’elle ne mérite pas.
• L’emplacement de vos connaissances et les personnes qui peuvent y accéder reviennent dans presque toutes les conversations. La réponse doit être consignée par écrit.
• Les certifications et référentiels sont explicitement cités
  : ISO 27001, SOC 2, RGPD et, de plus en plus, NIS2 et DORA. Le plus difficile reste de fournir les preuves des contrôles sous-jacents.
• Un flux unique vaut mieux que quatre passages de relais, car c’est lors de ces passages que la traçabilité se rompt. Et une traçabilité défaillante se découvre lors d’un contrôle, pas avant.
• Rien de tout cela ne se concrétise dès le premier jour. Les équipes qui mettent à jour leurs réponses existantes avant la mise en production en tirent parti un trimestre plus tôt que celles qui sautent cette étape.

Ce que font réellement ces outils, au-delà du discours commercial

Sur le papier, la plupart font la même chose : lire le SIG ou le CAIQ reçu, ou tout autre questionnaire sur mesure arrivé dans la boîte de réception de quelqu’un, comparer chaque question à une réponse déjà approuvée par votre organisation, rédiger une réponse et la transmettre à une personne. Rien de bien compliqué. La différence entre un bon outil et un mauvais apparaît après une dizaine de minutes de relecture, lorsque le responsable de la sécurité de l’information acquiesce ou commence discrètement à tout réécrire. Les bons outils produisent des réponses cohérentes, qu’il s’agisse d’un SIG, d’un CAIQ, d’une évaluation fondée sur une norme ISO ou de l’un de ces questionnaires manifestement rédigés par l’équipe achats d’un client à 23 h. Cela n’écarte pas pour autant votre équipe du processus. Cela lui évite simplement les tâches de copier-coller et de mise en forme, afin qu’elle puisse se consacrer à ce qui exige réellement une réflexion : est-ce toujours exact et est-ce bien ce que nous voulons dire ?

« Pouvons-nous montrer à un client d’où vient cette réponse ? »

C’est la première question que me posent les équipes, et c’est par là qu’il faut commencer.

Je leur explique que chaque ligne rédigée doit pouvoir être reliée à la politique ou au contrôle dont elle est réellement issue, et qu’un pourcentage de confiance isolé, sans aucun élément à l’appui, ne constitue pas un audit trail. La question n’est pas de savoir si vous pouvez expliquer la réponse aujourd’hui, alors qu’elle est encore fraîche dans votre esprit. Il faut déterminer si, dans un an, une personne qui n’a pas participé à sa rédaction pourra la reconstituer à partir du seul dossier, sans appeler son auteur.

J'ai passé plus de temps que je ne l'aurais souhaité dans des échanges d'e-mails interminables pour comprendre pourquoi une réponse disait ce qu'elle disait, simplement parce qu'il n'y avait aucune trace à suivre. Lorsqu'un audit trail existe, le temps de revue diminue et les désaccords éventuels ne sont plus vécus comme des urgences. Il suffit alors de consulter les éléments disponibles plutôt que de mener une enquête.

Au passage, le même test fonctionne avec n’importe quel fournisseur de cette catégorie. Demandez-lui de cliquer sur une réponse et de vous en montrer l’origine, avant que la démo ne devienne trop bien rodée.

« Qui la valide avant son envoi ? »

C’est le point qui me tient le plus à cœur, alors pardonnez-moi si j’insiste un peu.

L’automatisation rédige. Elle ne décide pas. Jamais. Le modèle qui fonctionne est le suivant : le logiciel fait une proposition, puis une personne désignée, généralement au sein de l’équipe bid ou de l’équipe InfoSec, la vérifie, la modifie ou la renvoie avant qu’elle ne parvienne au client. C’est lors de cette étape d’approbation que s’exerce le véritable jugement, celui qu’aucun modèle ne devrait exercer seul. Cette étape n’a de valeur que si quelqu’un lit réellement ce qui lui est soumis.

C'est aussi la seconde moitié de l'audit trail. Savoir d'où vient une réponse permet d'en connaître le fondement. Savoir qui l'a approuvée, et quand, montre qu'une personne a assumé la responsabilité de son envoi. Lorsqu'un client conteste une réponse, ces deux éléments constituent généralement toute la défense. Pouvoir les produire fait souvent la différence entre une discussion courte et une discussion qui s'éternise.

La question sous-jacente porte généralement sur le passage à l’échelle. Les équipes craignent qu’un approbateur désigné ne devienne un goulot d’étranglement. En pratique, c’est l’inverse, car la personne chargée de la revue cesse de relire ce qui n’a pas changé et se concentre uniquement sur les éléments nouveaux ou contestés.

« Comment savoir si une réponse est toujours exacte ? »

Cette question arrive souvent trop tard, ce qui est regrettable, car c’est celle qui révèle le plus de problèmes.

Une réponse approuvée ne l’est pas pour toujours. Les contrôles évoluent, les outils changent, la personne qui a rédigé le paragraphe sur les revues des accès quitte l’entreprise. La réponse risquée n’est pas celle que quelqu’un signale comme incertaine, mais celle que personne ne remet en question : approuvée une fois, réutilisée chaque trimestre, elle conserve une autorité qu’elle ne mérite plus depuis longtemps. C’est celle qui risque le plus de se révéler erronée lorsque quelqu’un finit par la vérifier.

La solution consiste à intégrer l’actualité des informations au dossier, plutôt que d’en faire une tâche de maintenance distincte. Chaque réponse doit indiquer la date de sa dernière révision et le nom de la personne qui l’a effectuée. Toute réponse dont la date de révision est dépassée doit se distinguer clairement d’une réponse encore valide. Nul besoin d’un dispositif complexe. L’information doit être visible, afin que la réutilisation d’une réponse obsolète résulte d’une décision explicite plutôt que de passer inaperçue.

« Où se trouvent nos connaissances, et qui peut y accéder ? »

Cette question revient dans presque toutes les conversations, et c’est bien normal.

Le contenu de vos questionnaires regorge d’informations que vous préféreriez ne pas voir circuler : détails sur l’architecture, descriptions des contrôles, ou encore une note sur un incident passé que personne ne souhaite revivre. La question n’est donc pas seulement de savoir où ce contenu est stocké, mais aussi qui, au sein de votre organisation, peut le consulter, le modifier et l’approuver, et si ces droits correspondent au fonctionnement réel de votre entreprise. Ces autorisations font également partie de l’audit trail. Si n’importe qui peut modifier une réponse approuvée sans laisser de trace, vous ne disposez pas réellement de réponses approuvées.

« Quels certificats et référentiels nous seront demandés ? »

Généralement demandés sous forme de liste, avec de plus en plus souvent NIS2 ou DORA en toile de fond.

ISO 27001, SOC 2 et le RGPD sont explicitement mentionnés dans la plupart des questionnaires que vous recevrez. Le travail consiste moins à détenir le certificat qu'à pouvoir fournir, question par question, les preuves des contrôles qui le sous-tendent, sans que trois personnes aient à fouiller dans un espace partagé. C'est ce que les équipes sous-estiment. Un certificat prouve qu'un audit a eu lieu à une date donnée. Le questionnaire vous demande d'expliquer ce que vous faites réellement, avec vos propres mots et de manière cohérente, chaque fois que la question vous est posée. Vous devez aussi pouvoir justifier vos réponses lorsqu'elles sont comparées entre différentes soumissions.

« S’agit-il d’un seul flux ou de quatre passages de relais ? »

Cette question s’accompagne souvent d’une anecdote sur la dernière solution qu’ils ont essayée.

Ce qui résiste à la pression, c’est un flux continu, de la réception à la soumission, plutôt que plusieurs outils reliés par une personne qui doit penser à copier les contenus de l’un à l’autre. La question arrive, une réponse correspondante est trouvée, le brouillon est transmis au bon relecteur, les modifications sont suivies et la soumission finale conserve la trace de chaque intervention, avec son auteur et sa date.

C’est cette dernière partie que l’on néglige, alors qu’elle compte lorsqu’une soumission est remise en question. Une trace conservée dans un seul système constitue une véritable trace. Ce n’est pas le cas lorsque les mêmes informations sont dispersées entre un espace partagé, une boîte de réception et la mémoire de quelqu’un, malgré toute la rigueur dont chacun a fait preuve sur le moment. Lorsqu’un processus se désorganise, c’est presque toujours lors d’un passage de relais. Une étape dépendait d’une personne qui devait penser à transférer manuellement un élément, un vendredi après-midi, alors que trois autres urgences réclamaient son attention. La faille ainsi créée reste invisible jusqu’à ce que quelqu’un cherche à la retrouver.

« Cela s’intègre-t-il à notre travail sur les RFP et DDQ ? »

De plus en plus souvent, oui, et il m’a fallu plus de temps que nécessaire pour comprendre pourquoi c’est important.

Les informations qui permettent de répondre à un SIG ou à un CAIQ sont, le plus souvent, les mêmes que celles qui permettent de répondre à la moitié d’une réponse à appel d’offres. Si le traitement de vos questionnaires reste isolé de celui de vos RFP et DDQ, vous finissez par maintenir les mêmes descriptions de contrôles à deux ou trois endroits, ce qui crée précisément le travail en double que le logiciel devait éliminer. C’est aussi ainsi que vous finissez par donner à deux clients des informations légèrement différentes sur un même contrôle, un problème que vous découvrez généralement au pire moment.

SEQUESTO aOS, abréviation d’agentic Operating System, a été conçu dès l’origine pour tenir compte de ce chevauchement. James orchestre le travail, les agents spécialisés de l’Agent Force l’exécutent à partir d’une base de connaissances connectée unique, dans un flux unique de la réception à la soumission. La stratégie, le ton et la décision finale sur chaque élément soumis restent sous le contrôle du réviseur.

Ce qui change concrètement une fois le système en place

Cette question est posée moins souvent qu’elle ne le devrait, et c’est celle à laquelle je tiens le plus à répondre honnêtement.

Lorsqu’une équipe a mis ces éléments en place, le questionnaire cesse d’être un événement ponctuel et devient un processus qui suit simplement son cours. Finie, d’abord, la course contre la montre. Plus personne ne fouille dans les soumissions de l’année précédente pour retrouver le paragraphe sur le chiffrement des données au repos. Ce paragraphe est centralisé, sa version est approuvée et la date de sa dernière vérification est visible. Ensuite, plus de débat sur la responsabilité d’une réponse. Un réviseur désigné peut voir ce qui a changé et pourquoi, puis approuver la réponse ou la renvoyer.

Il vous reste la capacité de justifier tout ce que vous avez envoyé. Non pas un dossier d’anciennes soumissions, mais un historique précis indiquant l’origine de chaque réponse, qui l’a validée et quand son exactitude a été confirmée pour la dernière fois. Ainsi, lorsqu’une réponse est contestée, les recherches ne prennent plus une semaine, mais un après-midi. L’équipe peut alors se consacrer au travail qui a toujours compté : déterminer si ce qu’elle affirme est toujours vrai. C’est à cela qu’un responsable de la sécurité de l’information devrait consacrer son temps, et c’est la première tâche sacrifiée lorsque le processus est manuel.

Rien de tout cela ne se fait dès le premier jour, et je préfère vous le dire maintenant plutôt que de vous laisser le découvrir au deuxième mois. Il faut examiner sérieusement ce dont vous disposez déjà et, généralement, avoir une conversation délicate sur les réponses existantes qui sont encore à jour. Les équipes qui font ce travail en amont en tirent rapidement parti. Celles qui l'ignorent passent leur premier trimestre à faire le ménage en production, ce que personne n'apprécie.

Voilà toute la promesse, et elle est volontairement modeste. Chaque réponse, prise en charge. Le dernier mot vous revient.

Si cela vous semble familier, nous pouvons volontiers vous présenter le fonctionnement à partir de vos propres questionnaires plutôt qu'avec une démo standardisée. Vous pouvez réserver un créneau directement, ou découvrir comment la même approche s'applique aux réponses aux DDQ, puisqu'elle repose sur le même flux sous-jacent. Vous pouvez également voir comment s'articule le cas d'usage de réponse aux questionnaires si vous souhaitez découvrir son fonctionnement avec vos propres contenus.