Les centres de confiance remplacent-ils les questionnaires de sécurité ?

Un centre de confiance ne remplace une question de sécurité dans un appel d'offres que si les documents de l'acheteur l'autorisent. Votre centre de confiance est votre page, rédigée et contrôlée par vos soins. Le questionnaire appartient à l'acheteur, qui décide de ce qui constitue une réponse. Même lorsqu'un renvoi est autorisé, vous validez les engagements que chaque lien impose à l'organisation, car il fait alors partie de la réponse dont vous assumez la responsabilité.

Il est important de bien déterminer dans quelle situation vous vous trouvez, car la réponse n'est pas la même. En dehors d'un appel d'offres formel, l'équipe de sécurité de l'acheteur peut accepter de partir de votre centre de confiance et de ne revenir vers vous qu'avec les questions auxquelles il ne répond pas. Il peut s'agir d'un examen de sécurité au cours d'une vente ou de la due diligence menée par un client avant la signature. Un appel d'offres formel fonctionne différemment. L'acheteur a déjà défini ses questions, leurs critères d'évaluation et les éléments considérés comme des preuves. Ainsi, un lien qui satisferait une équipe de sécurité dans le cadre d'un échange commercial peut laisser sans réponse une question de l'appel d'offres. Cet article porte sur les appels d'offres.

Cinq conditions permettent de trancher, puis une règle finale vous aide à décider, question par question.

Quand l’acheteur accepte un certificat à la place de réponses

Les éléments de preuve publiés ne remplacent une question de sécurité que si l’acheteur décide de les accepter. Les instructions de l’appel d’offres vous indiquent si c’est le cas. Vous pouvez les rendre facilement accessibles, mais vous ne pouvez pas décider de leur recevabilité.

Le National Cyber Security Centre du Royaume-Uni montre à qui revient cette décision. Son guide Cyber Essentials pour la chaîne d'approvisionnement recommande aux acheteurs d'aligner leurs questionnaires d'assurance de la chaîne d'approvisionnement sur les contrôles Cyber Essentials et d'accepter une certification comme validation. Il indique également aux fournisseurs qu'ils peuvent réutiliser une même certification auprès de leurs clients, de sorte qu'un seul certificat peut servir pour plusieurs clients. Ce dispositif est soutenu par le gouvernement, mais chaque acheteur doit toujours prévoir cette acceptation dans ses propres questions. Le centre de confiance d'un fournisseur ne s'appuie sur aucun dispositif de ce type. Il n'a donc aucune valeur dans le cadre d'un appel d'offres, sauf si les documents le prévoient.

Lisez donc le dossier pour y trouver une autorisation, pas une possibilité. Recherchez, dans les instructions, les consignes du questionnaire ou la question elle-même, une formulation indiquant qu'un certificat, une inscription dans un registre ou une politique publiée constitue une preuve recevable. À titre d'illustration (et non de citation d'un appel d'offres), cette formulation pourrait être la suivante : « Les soumissionnaires titulaires d'un certificat ISO/IEC 27001 en cours de validité couvrant les services concernés peuvent le fournir au lieu de répondre aux questions 4.1 à 4.6. » Si le dossier contient une telle mention, une référence peut satisfaire aux exigences de la question, sous réserve des vérifications ci-dessous. Si le dossier ne précise rien, considérez que la question appelle une réponse dans l'offre. Si une référence permettait d'éviter un travail conséquent sur de nombreuses questions, demandez à l'acheteur, au moyen d'une question de clarification, s'il l'acceptera et, dans l'attente de sa réponse, partez du principe que ce ne sera pas le cas.

Quand la sécurité fait l’objet d’une notation

Une question de sécurité notée est évaluée selon les critères de l’acheteur. Considérez donc un lien vers votre centre de confiance comme un élément à l’appui de la réponse, et non comme un substitut. Les points sont attribués en fonction de ce que la réponse elle-même démontre pour chaque critère.

Le guide du NCSC indique que les acheteurs peuvent ajouter à une request for proposal ou à une demande de prix des critères pondérés évaluant les références d’un fournisseur en matière de cybersécurité. Un certificat indique à l’évaluateur qu’un contrôle existe. Une réponse notée doit préciser comment ce contrôle s’applique à ce contrat, à ces données et à ce service, dans les termes employés par les critères, sans rien laisser à l’interprétation de l’évaluateur.

Cela change la fonction du lien. Dans une réponse notée, la référence sert de source : elle permet à l’évaluateur de vérifier une affirmation déjà formulée dans la réponse. Rédigez la réponse de sorte qu’elle obtienne les points prévus même si l’évaluateur ne clique jamais sur le lien, puis citez le certificat ou la politique à l’endroit où il ou elle étaye une affirmation précise. Pour savoir comment construire cette réponse en fonction du barème de l’acheteur, consultez comment rédiger une offre en réponse à un appel d’offres.

Un test simple avant la relecture : lisez la réponse après avoir supprimé tous les liens. Si elle obtenait une note inférieure, c’est qu’elle s’appuyait sur les liens.

Lorsque les éléments probants publiés reposent sur une auto-évaluation

Une autoévaluation publique laisse la question ouverte. Un centre de confiance peut réunir des éléments probants de différents niveaux, et des éléments audités offrent à l’acheteur davantage d’assurance qu’une autoévaluation.

Le programme STAR de la Cloud Security Alliance pour les fournisseurs de services cloud établit une distinction claire. Au niveau 1, un fournisseur soumet le CAIQ au regard de la Cloud Controls Matrix sous forme d'autoévaluation, que la CSA publie et qui doit être mise à jour chaque année. Au niveau 2, le fournisseur obtient une certification ou une attestation délivrée par un tiers. La CSA destine le niveau 1 aux organisations évoluant dans des environnements à faible risque qui souhaitent davantage de transparence sur leurs contrôles, et le niveau 2 aux environnements présentant un risque moyen à élevé. Une inscription fondée sur une autoévaluation est votre propre déclaration, rendue publique. Une inscription auditée correspond à la vérification d'un tiers. Si le contrat présente un risque moyen ou élevé, cas pour lequel la CSA préconise le niveau 2, une autoévaluation soulève précisément la question que vous espériez éviter.

Quand les preuves ne couvrent pas le service proposé dans votre offre

Des éléments de preuve dont le périmètre ne couvre pas le service proposé laissent la question en suspens, quelle que soit leur solidité. Selon le NCSC, il incombe au client de vérifier que le périmètre d’un certificat couvre correctement le risque qu’il assume. De votre point de vue, cela signifie qu’un évaluateur rigoureux comparera le périmètre de votre certificat au service décrit dans votre offre. Par exemple, une certification qui couvre vos systèmes d’entreprise, mais pas l’environnement hébergeant le service proposé, apporte peu d’informations sur ce service. Si le périmètre ne couvre pas le service proposé, répondez à la question sur le service lui-même sans mentionner le certificat. S’il le couvre, précisez-le dans la réponse : indiquez le périmètre et montrez en quoi il couvre le service, afin que l’évaluateur n’ait pas à le déterminer lui-même.

Lorsque les éléments de preuve sont couverts par un NDA

Un élément de preuve que l'évaluateur ne peut pas ouvrir n'en est pas un dans votre réponse. Avant de vous appuyer sur un document à accès restreint d'un centre de confiance, vous devez donc convenir d'un moyen de le transmettre à l'évaluateur. Les portails de confiance peuvent réserver l'accès à leurs contenus les plus sensibles. Service Trust Portal de Microsoft, par exemple, place certains documents derrière une page de connexion et demande d'abord au lecteur d'accepter l'accord de non-divulgation de Microsoft relatif aux documents de conformité.

Vous ne pouvez pas partir du principe qu’un évaluateur signera votre NDA pour lire une seule réponse, et les règles propres à l’appel d’offres peuvent limiter ce qu’il est autorisé à accepter. Deux options s’offrent alors à vous, selon le dossier. Si les clauses de confidentialité de l’appel d’offres couvrent les éléments qu’un soumissionnaire désigne comme confidentiels, joignez le document à l’offre conformément à ces clauses, après accord de la personne qui en autorise la diffusion. Si le dossier ne précise pas comment les preuves confidentielles sont traitées, posez une question de clarification avant d’en tenir compte dans votre planification.

Dans les deux cas, la réponse elle-même doit indiquer ce que montre le document à accès restreint. Ainsi, la note ne dépend pas du bon fonctionnement de l'accès le jour venu.

Comment traiter chaque question de sécurité du dossier

Soumettez chaque question de sécurité aux cinq mêmes vérifications, puis répondez, répondez en citant vos sources ou renvoyez à une référence, et validez chaque référence dans le cadre de la réponse. Si vous omettez ces vérifications, vos réponses risquent de s'appuyer sur des éléments de preuve que l'acheteur n'accepte pas, ne peut pas évaluer ou ne peut pas ouvrir.

Cinq vérifications par question

1. Références autorisées. Les instructions, les consignes ou la question acceptent-elles comme preuve un certificat, une inscription dans un registre ou une page publiée ?
2. Notée ou éliminatoire. La question est-elle évaluée selon des critères pondérés ou fait-elle l’objet d’un contrôle de conformité
   ?
3. Niveau d’assurance. Les éléments de preuve sont-ils certifiés ou attestés par un tiers, ou s’agit-il d’une auto-évaluation ?
4. Périmètre. Les éléments de preuve couvrent-ils le service proposé dans votre offre
   ?
5. Accès. L’évaluateur peut-il l’ouvrir sans NDA qu’il n’a pas accepté ?

La règle de décision

Appliquez ces règles dans l’ordre et retenez la première qui convient
:

1. Renvoyez à la référence lorsque les cinq contrôles sont concluants : les références sont autorisées, la question appelle une réponse oui/non, la preuve a été auditée, elle couvre le service et l'évaluateur peut y accéder. Indiquez la référence exactement comme demandé dans les instructions.
2. Répondre et citer lorsque les vérifications du périmètre et de l’accès sont concluantes, mais que l’une des trois premières ne l’est pas : les références ne sont pas autorisées, la question est notée ou les éléments probants reposent sur une autoévaluation. Rédigez une réponse complète à la question ou à ses critères, et citez les éléments probants lorsqu’ils étayent une affirmation précise. Citez une autoévaluation à titre de contexte, jamais comme preuve de l’efficacité du contrôle.
3. Répondre lorsque les éléments de preuve ne couvrent pas le service ou que l'évaluateur ne peut pas y accéder. Rédigez la réponse à partir des faits établis concernant ce service. Pour les éléments de preuve à accès restreint, indiquez dans la réponse ce que montre le document et proposez de le transmettre selon la procédure décrite dans la section relative au NDA.

Avant validation

Validez une référence comme vous validez une réponse, car elle présente le contenu de la page à l'acheteur dans le cadre de votre réponse. Avant la remise de l'offre, ouvrez chaque page que vous citez et vérifiez qu'elle correspond bien, à cette date, à la réponse qui l'accompagne : le certificat est en cours de validité, le périmètre est celui décrit dans votre réponse et la version de la politique est bien celle sur laquelle elle s'appuie. Si la page et la réponse divergent, l'acheteur dispose désormais des deux et vous devez répondre de cet écart. Consignez la version citée afin de pouvoir montrer ultérieurement vers quel contenu la réponse renvoyait.

Ce contrôle est allégé lorsque le contenu du centre de confiance et les réponses de bid proviennent de la même source approuvée. Dans le Knowledge Hub, qui fait partie de SEQUESTO aOS, chaque réponse de sécurité approuvée conserve le nom de son responsable, son cycle de révision et sa date d’expiration. Les réponses tirées d’une politique sont signalées pour révision lorsque celle-ci est mise à jour. Pour savoir comment rendre les réponses que vous rédigez encore défendables lors d’un examen, consultez des réponses défendables aux questionnaires de sécurité. Pour attribuer un responsable et une date aux réponses approuvées, afin que les réponses publiées et celles des bids restent cohérentes, consultez créer une bibliothèque auditable.

Commencez par le dossier que vous avez sous les yeux. Effectuez les cinq vérifications sur ses questions de sécurité avant toute rédaction. Vous saurez ainsi quelles questions nécessitent une réponse rédigée, une citation ou une simple référence.