Moment de sécurité
Un client vous a envoyé un questionnaire de sécurité.
Ne le laissez pas bloquer la vente.
Voici comment répondre à un questionnaire de sécurité de client avec exactitude, rapidement et de façon à gagner aussi le prochain. En ce moment, un chiffrier de 200 lignes envoyé par l’équipe de sécurité d’un prospect se dresse entre les ventes et une signature, et tous les regards se tournent vers les TI.
Obtenir de l’aide avec le questionnaire (en anglais) Voir la liste de vérification
La vente doit se conclure cette semaine? Appelez ThreeShield : 1-403-538-5053
Comment répondre sans faire couler la vente, ni vous-même
1. Ne répondez pas au hasard, car ces réponses deviennent contractuelles
Les réponses aux questionnaires sont couramment jointes au contrat ou y sont mentionnées. Un « oui » plein d’espoir à la question sur le chiffrement au repos qui se révèle faux devient une exposition à une rupture de contrat. Ne répondez que ce que vous pouvez vérifier, et signalez chaque réponse dont vous n’êtes pas certain avant de retourner le questionnaire.
2. Associez leurs questions aux cadres de référence que vous respectez déjà en partie
La plupart des questionnaires sont des tranches reformulées des mêmes cadres (SOC 2, ISO 27001, CIS Controls, NIST CSF). Vous en respectez probablement plus que vous le pensez, notamment l’AMF, l’application des correctifs, les sauvegardes, les départs et la journalisation. L’astuce consiste à garder vos contrôles documentés et à portée de main, associés au langage des cadres. Le module de conformité GRC de Lavawall® tient cette liste maîtresse à jour pour vous; chaque futur questionnaire devient donc une consultation plutôt qu’un projet de recherche.
3. Les preuves valent mieux que les adjectifs
« Nous prenons la sécurité au sérieux » ne convainc personne. Un rapport de correctifs, une exportation de la couverture de l’AMF, un journal de restauration de sauvegarde ou une capture d’écran de surveillance met fin aux questions de suivi avant qu’elles commencent. Le module GRC de Lavawall® automatise la collecte de ces preuves et de ces données; les documents que demandent les évaluateurs sont donc déjà à portée de main. Les évaluateurs approuvent les fournisseurs qui montrent des preuves, et ils rehaussent le niveau d’examen pour ceux qui écrivent des dissertations.
4. Ayez des politiques qui correspondent à votre façon réelle de travailler
Les évaluateurs veulent voir des politiques écrites derrière les contrôles, mais les modèles empruntés s’effondrent dès que quelqu’un pose une question de suivi. Lavawall® produit des politiques adaptées à ce que fait réellement votre entreprise, rédigées dans le langage que les assureurs, les clients, les fournisseurs et les investisseurs veulent voir. Gardez aussi un bref aperçu de la sécurité prêt (vos principaux contrôles, vos sous-traitants ultérieurs, votre traitement des données, vos personnes-ressources). De nombreux évaluateurs l’acceptent à la place de la moitié de leur chiffrier, et chaque vente suivante commence à 50 % d’avancement.
5. Sachez quand dire « feuille de route », et dites-le bien
Pour les contrôles que vous n’avez vraiment pas, « Non, prévu pour le quatrième trimestre dans le cadre de notre feuille de route de sécurité » passe bien mieux qu’un « partiellement » vague. Les évaluateurs composent avec des lacunes tous les jours. Ce qu’ils ne peuvent pas accepter, c’est d’en découvrir une que vous avez cachée. Des lacunes honnêtes, assorties de dates, maintiennent les ventes en vie.
6. Traitez cela comme un atout de vente, pas comme une corvée
Vos concurrents se débattent avec le même chiffrier. Le fournisseur qui retourne des réponses exactes, accompagnées de preuves, en trois jours plutôt qu’en trois semaines, paraît le choix le plus sûr, ce qui est précisément ce que l’équipe de sécurité du client a été embauchée pour trouver.
Ayez les preuves prêtes avant l’arrivée du prochain chiffrier
Automatisation de la conformité GRC
Lavawall® associe vos contrôles réels au langage des cadres et automatise la collecte de preuves; les réponses au questionnaire viennent donc d’un rapport à portée de main plutôt que d’une fouille archéologique. Il produit aussi des politiques adaptées à ce que fait réellement votre entreprise.
En savoir plus →Correctifs pour plus de 7 400 applications
« Décrivez votre processus de gestion des vulnérabilités » devient beaucoup plus facile quand l’application des correctifs est automatisée et que les rapports de cadence se produisent d’eux-mêmes.
En savoir plus →Formation de sensibilisation à la sécurité
Presque tous les questionnaires en parlent. La formation courte et réaliste de Lavawall® vous donne des dossiers d’achèvement que vous pouvez joindre comme preuves.
En savoir plus →Surveillance DMARC
Les questions sur l’authentification du courriel (SPF, DKIM, DMARC) sont des classiques des questionnaires. Lavawall® surveille la vôtre en continu et en fait rapport.
En savoir plus →Vous voulez que ce questionnaire, et tous les suivants, soient pris en charge?
ThreeShield, l’équipe CISSP/CISA qui conçoit Lavawall®, répond aux questionnaires des clients avec vous, corrige les lacunes qui comptent vraiment pour la vente et peut mettre en place un programme de conformité allégé (en anglais) qui transforme l’examen de sécurité, d’obstacle à la vente, en facteur de différenciation.
Questions fréquentes
- Puis-je simplement répondre « oui » à la plupart des questions pour faire avancer la vente?
- Non. Les réponses au questionnaire font habituellement partie du contrat, et un « oui » que vous ne pouvez pas appuyer devient un problème de rupture de contrat, ou un obstacle fatal à la vente quand le client demande des preuves. Un « partiel, avec une date » honnête maintient les ventes en vie. Un faux « oui » met fin aux relations.
- Nous ne sommes certifiés dans rien. Allons-nous échouer à l’évaluation?
- Habituellement non. La plupart des clients de taille moyenne veulent des contrôles raisonnables et des réponses honnêtes, pas des certificats. Associez leurs questions aux contrôles que vous avez déjà et présentez des preuves. La certification pourra venir plus tard si le marché l’exige.
- Quelqu’un peut-il répondre à ces questionnaires à notre place?
- Oui. ThreeShield y répond avec vous, corrige les lacunes qui comptent et peut bâtir un programme de conformité pour que le prochain questionnaire prenne des heures plutôt que des semaines.