Comment répondre à un questionnaire de sécurité fournisseur en 48 heures

Un questionnaire de sécurité fournisseur vient d’arriver avec une deadline dans deux jours. Votre contrat en dépend. Vous n’avez pas d’équipe sécurité. Voici quoi faire.

Comprendre ce qu’ils demandent vraiment

La plupart des questionnaires de sécurité fournisseur sont longs. Le vôtre peut contenir 80, 150 ou 300 questions. Mais sous ce volume, presque chaque questionnaire enterprise vérifie trois choses :

1. Posture externe. Qu’est-ce que votre domaine expose ? Version TLS, headers de sécurité, panneaux d’administration exposés, authentification email, validité des certificats.
2. Attestations. Avez-vous SOC 2, ISO 27001, ou des contrôles conformes NIS2 ? Sinon, quel est votre plan ?
3. Traitement des données. Où les données sont-elles stockées, qui peut y accéder, comment sont-elles chiffrées en transit et au repos ?

Voilà la carte. Le questionnaire utilise des formulations différentes selon chaque template, mais les réponses dont vous avez besoin tombent dans ces trois catégories. Ce constat vous permet de prioriser.

Ce que vous pouvez répondre dans la première heure

Commencez par les attestations et le traitement des données, parce que vous avez déjà ces réponses.

Si vous avez SOC 2 ou ISO 27001, joignez le rapport et rédigez une phrase par question pertinente : “Nous détenons SOC 2 Type II depuis le [date], émis par [auditeur]. Rapport disponible sur demande.” C’est tout.

Si vous êtes pré-certification, écrivez ce que vous avez : “Nous suivons les contrôles OWASP Top 10 et NIS2 Article 21. Nous chiffrons toutes les données clients en transit via TLS 1.2+ et au repos via AES-256. Sous-traitants : [les lister].” Concret, court, honnête. Les reviewers acceptent cela pour des deals mid-market plus souvent que les éditeurs ne le croient.

Pour les questions sur le traitement des données, copiez la description des flux de données de votre politique de confidentialité et adaptez-la par question. Si vous n’en avez pas, rédigez trois phrases : où les données résident (pays, fournisseur cloud), qui dans votre entreprise peut y accéder (basé sur les rôles, avec approbation), combien de temps vous les conservez (politique de rétention). Cela couvre 80% de ce dont les reviewers ont besoin.

La section qui ralentit les deals : la posture externe

La section posture externe est là où la plupart des réponses calent. Des questions comme “Décrivez votre configuration SSL/TLS”, “Imposez-vous HSTS ?”, ou “Comment gérez-vous les interfaces d’administration exposées ?” exigent de connaître l’état en direct de votre domaine, pas seulement votre politique.

Deux choix s’offrent à vous.

Option 1 : répondre de mémoire. Vous écrivez que vous pensez que TLS 1.2 est imposé et que HSTS est activé. Le reviewer demande des preuves. Vous partez les chercher, ce qui prend deux jours.

Option 2 : scanner votre domaine d’abord. Un scan externe de 60 secondes vous dit exactement ce qui est en production : version TLS, headers présents, chaîne de certificats, configuration DNS, chemins exposés, CVE JavaScript. Vous répondez à chaque question de posture externe avec un résultat précis, pas une croyance. Et vous joignez le rapport de scan comme preuve dès la première réponse.

Pour une liste complète de ce que les auditeurs cherchent dans cette section, notre guide sur ce que les auditeurs NIS2 demandent techniquement mappe chaque contrôle à son Article 21.

La deuxième option prend 60 secondes.

Le plan des 48 heures

Voici l’ordre qui fonctionne :

Heure 1. Lancez le scan externe gratuit sur saasfort.com/scan. Lisez les résultats. Notez la note et les vérifications en échec.

Heures 1-2. Répondez aux questions d’attestation et de traitement des données avec l’approche décrite ci-dessus. Elles ne nécessitent pas le scan.

Heures 2-3. Traitez la section posture externe en utilisant vos résultats de scan. Répondez à chaque question avec le résultat spécifique : “TLS 1.3 imposé, 1.0 et 1.1 bloqués, vérifié le [date]. Header HSTS présent avec max-age=31536000.”

Heures 3-4. Corrigez ce qui a échoué et que vous pouvez corriger en une après-midi : ajoutez les headers de sécurité manquants, désactivez les versions TLS obsolètes, supprimez les fichiers exposés. Re-scannez pour confirmer. Votre note peut passer de C à A en une heure pour les défauts liés aux headers.

Heure 4. Joignez le rapport de scan final comme preuve. Un audit pack daté donne au reviewer une note A-F, un PDF mappé aux contrôles, et 60 résultats spécifiques mappés à NIS2 Article 21 et ISO 27001 Annex A. C’est le document que les équipes procurement classent, pas un paragraphe que vous avez rédigé.

Envoyez le questionnaire avec le PDF joint. La plupart des reviewers ne posent pas de questions de suivi quand la preuve est déjà là.

Ce que contient l’Audit Pack

L’audit pack à 39 € en paiement unique est un PDF avec :

• La note A-F de votre domaine, calculée à partir de 60 contrôles externes sur 25 catégories
• Chaque résultat mappé à son contrôle NIS2 Article 21 et à la référence ISO 27001 Annex A
• Statut réussite/échec par contrôle, avec des recommandations de remédiation pour ce qui a échoué
• Une ligne de certification datée qu’un reviewer peut citer dans son fichier fournisseur

Vous pouvez faire le scan gratuit d’abord pour voir votre note avant d’acheter. Pour l’image complète de ce que les équipes sécurité enterprise vérifient à chaque étape, consultez ce que les acheteurs enterprise vérifient avant de signer avec un éditeur SaaS.

FAQ

Le questionnaire contient 200 questions. Dois-je toutes les répondre ? Repérez les trois catégories : attestations, posture externe, traitement des données. Ce sont les questions qui bloquent les deals. Les questions génériques sur la sécurité physique des data centers ont souvent une réponse standard : “Hébergé sur AWS/GCP/Azure. Voir leur page de conformité.” Marquez celles-là en premier, puis concentrez-vous sur les questions techniques précises.

Le reviewer a demandé un rapport de test d’intrusion. Je n’en ai pas. Dites-le directement : “Nous n’avons pas réalisé de test d’intrusion. Nous utilisons un scan externe continu mappé à NIS2 Article 21 et OWASP Top 10, rapport joint. Nous prévoyons d’engager un pentesteur au [trimestre].” Les reviewers acceptent cela plus souvent que les éditeurs ne le croient, surtout si votre posture externe est propre.

Nous avons 48 heures et notre TLS est cassé. Pouvons-nous corriger à temps ? Généralement oui. La configuration TLS sur la plupart des plateformes d’hébergement (AWS, Cloudflare, Nginx) prend quelques minutes. Les headers de sécurité prennent 30 minutes à ajouter via votre CDN ou votre configuration serveur. Supprimer un panneau d’administration exposé prend une après-midi. Une note défaillante est corrigeable avant la deadline dans la plupart des cas.

L’audit pack est-il identique à chaque fois ? Non. Il reflète l’état en direct de votre domaine au moment du scan. Si vous corrigez des résultats et re-scannez, le rapport suivant montre l’amélioration. Certains éditeurs achètent un second pack après remédiation pour montrer l’avant-après dans leur réponse au questionnaire.

Obtenez le pack de preuves pour répondre au questionnaire à 39 €