Le questionnaire de sécurité grand compte est un document commercial. Traitez-le comme tel.

Un tableur arrive avec 180 lignes, parfois un PDF, parfois un portail sur UpGuard, Whistic ou SecurityScorecard dont le mot de passe expire au bout de trois jours. Dans le cadre d'une due diligence de rachat, on monte facilement à 250 ou 300 questions. L'affaire sur laquelle vous travaillez depuis quatre mois dépend maintenant de quelqu'un qui doit remplir tout cela, et ce quelqu'un, c'est votre meilleur développeur, qui avait d'autres projets pour la semaine.

Le réflexe consiste à y voir une corvée de conformité : on répond en se protégeant, on coche oui dès que possible, on espère que personne ne lira de trop près. C'est précisément ce réflexe qui transforme une revue de deux semaines en une revue de deux mois, et sur une plateforme il devient carrément dangereux, puisque chaque oui vous engage à produire le document qui va avec.

Un questionnaire de sécurité est un document commercial. Il est lu par quelqu'un qui doit décider si vous recommander paraîtra raisonnable dans six mois, et tout ce qui suit découle de là.

---

D'abord : vous êtes déjà noté

Ce que la plupart des équipes ratent, c'est que le questionnaire ne représente que la moitié du sujet : les revues sur plateforme y associent un scan externe de votre périmètre, lancé avant toute réponse de votre part, dont le résultat se réduit à une note ou à un score sur 900. Votre acheteur voit cette note à côté de votre nom, et certains la voient avant même de vous contacter.

Ce scan est automatique et ne regarde que ce qui est joignable depuis internet : configuration TLS, en-têtes de réponse HTTP, ports ouverts, interfaces d'administration exposées, enregistrements DNS, authentification des emails, et tout ce qui, sur vos domaines, a l'air de ne pas avoir été corrigé depuis longtemps.

Deux conséquences en découlent, et ce sont deux bonnes nouvelles.

Le scan est la partie la moins chère à corriger, parce qu'il s'agit de changements de configuration et non d'architecture : l'essentiel d'une note se rattrape en une après-midi.

C'est aussi la partie sur laquelle vous ne pouvez pas argumenter. Un écart de processus s'explique en prose, alors qu'un port IMAP en clair détecté par un scan ne s'explique pas.

Corrigez donc le scan avant de répondre au questionnaire, jamais après. Et surtout, répondez depuis un état vérifié plutôt que depuis le document de réponse de l'an dernier : il est très fréquent de retrouver ouverts des points qu'une réponse précédente déclarait fermés, un en-tête perdu lors d'une régénération de configuration ou un port rouvert par une mise à jour du panneau d'administration. Si l'acheteur relance un scan, tout ressort, et vous n'avez plus un problème de configuration mais un problème de crédibilité.

Ce que vérifie réellement l'auditeur

Trois profils vous lisent, et ils ne cherchent pas la même chose.

L'auditeur sécurité traque les contradictions internes : il remarquera que vous annoncez des revues d'accès trimestrielles formelles tout en déclarant n'avoir aucun annuaire d'identités, ou que vous revendiquez un filtrage par IP sur votre panneau d'administration alors que la machine ne fait tourner aucun pare-feu. Il ne cherche pas à vous piéger, il calibre la confiance qu'il peut accorder au reste de vos réponses.

L'acheteur ou le juriste projette vos réponses sur sa propre politique : localisation des données, sous-traitants, délais de notification en cas de violation, restitution et destruction des données en fin de contrat, et cohérence de l'ensemble avec le contrat que vous allez signer.

Le sponsor métier, celui qui veut réellement votre produit, cherche surtout à savoir si l'affaire va être douloureuse. C'est votre allié : donnez-lui quelque chose qu'il puisse transmettre tel quel.

Le bon modèle mental, au fond, c'est que personne ne demande « êtes-vous sécurisés ». On demande « si cela tourne mal, ma décision de valider aura-t-elle l'air négligente ».

Le volet périmètre : ce que voit un scan, et quoi en faire

Grossièrement par ordre de fréquence, et de coût pour vous.

Sécurité du transport. TLS 1.2 et 1.3 uniquement, protocoles anciens désactivés, pas de suites faibles, HTTPS forcé et HSTS ajouté (Strict-Transport-Security: max-age=31536000; includeSubDomains). Une réserve honnête tirée de la pratique : forcer complètement TLS 1.3 peut casser des logiciels clients anciens, donc vérifiez avec quoi vos clients se connectent réellement avant de l'activer. C'est un arbitrage de compatibilité, pas une excuse, et il vaut la peine d'écrire noir sur blanc quels clients vous contraignent.

En-têtes de réponse. X-Content-Type-Options: nosniff, X-Frame-Options: SAMEORIGIN, Referrer-Policy, plus une Content-Security-Policy que vous démarrerez en mode report-only pour ne la passer en application qu'après une semaine de rapports propres, faute de quoi vous casserez votre propre interface un vendredi soir. Si votre panneau d'hébergement régénère les configurations de vhost depuis des gabarits, posez les en-têtes dans un include global, puis vérifiez avec curl -I qu'ils apparaissent vraiment, car une directive au niveau du vhost les écrasera sans rien dire.

Surface exposée. Chaque port ouvert est une question qui vous sera posée. Les interfaces d'administration se limitent à des IP de confiance et ne s'ouvrent jamais sur internet, les bases de données restent liées à localhost, et les protocoles de messagerie en clair (110, 143) cèdent la place aux ports TLS (993, 995). Quant au pare-feu, activez-le réellement, mais autorisez SSH avant de le faire et gardez une seconde session ouverte pendant l'opération : la façon classique de perdre une machine de production consiste à activer un pare-feu qui bloque votre propre porte d'entrée.

SSH. Authentification par clé uniquement, PasswordAuthentication no. Beaucoup d'équipes le prévoient sans jamais l'appliquer, et la question tombe aussi bien dans le scan que dans le questionnaire.

Niveau de correctifs. C'est le point qui fait échouer des audits sans bruit : une machine peut avoir tous les correctifs installés sur disque et aucun actif, simplement parce qu'elle n'a pas redémarré depuis le remplacement du noyau. Une machine qui affiche des mois de fonctionnement ininterrompu n'impressionne pas l'auditeur, elle lui signale des correctifs jamais appliqués. Vérifiez donc si un redémarrage est en attente, prenez un instantané, confirmez que vous disposez d'un accès console et d'un mode secours chez votre hébergeur, puis posez la fenêtre de maintenance.

DNS et authentification des emails. SPF, DKIM et DMARC, en ne passant DMARC de p=quarantine à p=reject qu'après avoir dépouillé une semaine de rapports agrégés, le temps de repérer les expéditeurs légitimes que vous aviez oubliés. Ajoutez enfin un enregistrement CAA nommant les autorités de certification autorisées à émettre pour votre domaine.

Certificats : de confiance, et solvables

Deux exigences distinctes, que l'on confond souvent.

De confiance signifie que le certificat remonte à une autorité présente dans les magasins de confiance de l'acheteur, ce que satisfait en pratique n'importe quelle autorité automatisée grand public. Le renouvellement automatique compte d'ailleurs bien plus que la marque, puisqu'un certificat expiré cumule une interruption de service, un constat de scan et un incident à expliquer.

Solvable relève des achats et concerne vos fournisseurs plutôt que votre certificat. Quand le questionnaire interroge l'hébergement, le stockage et les sous-traitants, la bonne réponse nomme des fournisseurs dont les certifications et les rapports d'audit sont déjà acceptés par le service achats en face, et dont vous pouvez effectivement transmettre les rapports. C'est le seul endroit où vous héritez du travail de conformité de quelqu'un d'autre : les certifications de votre hébergeur travaillent vraiment pour vous, et cela ne vous coûte que de les nommer avec exactitude.

Le corollaire vaut d'être dit. Un fournisseur dont personne n'a entendu parler, ou une infrastructure logée sous le compte personnel d'un dirigeant, constitue un constat qu'aucun durcissement technique ne compense. La propriété compte donc autant que la technique : des comptes au nom de la société, pas d'une personne.

Le volet questionnaire : quatre sujets qui bloquent vraiment

La plupart des lignes servent à s'éclaircir la voix ; quatre sujets font le vrai travail.

1. Identités et accès

C'est le plus gros bloc, et celui où les petites entreprises n'ont le plus souvent rien à montrer.

Mettez tout le monde sur un annuaire d'identités d'entreprise, ni comptes personnels ni entrée partagée dans un gestionnaire de mots de passe. La raison n'a rien à voir avec l'ordre : un annuaire d'entreprise est ce qui vous permet d'imposer le MFA, de désactiver le SMS comme second facteur (le SIM swap est une attaque réelle et non théorique), d'exiger une rotation et de tout révoquer d'un seul geste. Une connexion fédérée à un outil hérite de la politique du compte qui se trouve derrière, si bien qu'un compte personnel vous laisse sans aucun contrôle. Comptez quelques centaines à mille euros par an, ce qui en fait le contrôle le moins cher de cette page au regard de ce qu'il débloque.

Il en existe une variante plus modeste qui compte aussi : si vos prestataires se connectent avec l'adresse email de leur propre société, l'auditeur demandera légitimement s'ils sont internes, et vous passerez un paragraphe à expliquer votre organigramme. Des identités sur votre domaine répondent à la question avant qu'elle soit posée.

Accès réseau par ACL plutôt que par identifiant partagé. Un VPN maillé comme Tailscale, avec des règles écrites par personne, par port et par protocole, vous donne une réponse défendable à « qui peut atteindre la production » et, surtout, un endroit unique où couper l'accès au départ de quelqu'un. Attention à la dépendance : le SSO d'un réseau overlay ne vaut que ce que vaut l'annuaire d'identités placé derrière, d'où l'ordre de ces deux points.

Moindre privilège, évalué honnêtement. Un sudo sans mot de passe sur un compte d'exploitation partagé est commode, et c'est exactement ce que l'auditeur cherche. Séparez les rôles humains des rôles d'automatisation, supprimez l'accès permanent à la production pour ceux qui n'en ont pas besoin quotidiennement, et prévoyez un circuit de validation pour les exceptions.

Arrivées, mobilités, départs. Écrit, et réellement appliqué. L'étape mobilité est celle que tout le monde oublie, alors que c'est elle qui fait accumuler les accès au fil des changements de rôle sans que rien ne soit jamais retiré. Une revue trimestrielle de qui détient quoi, dont la sortie est conservée comme preuve, répond à plusieurs questions d'un coup.

Rotation. Identifiants, clés d'API et jetons de service selon un calendrier, et immédiatement à tout départ. Si votre réponse honnête ressemble à « nous changerions le mot de passe partagé si quelqu'un partait », dites-le clairement et annoncez une date de changement : les auditeurs voient des petites entreprises toutes les semaines et attendent des contrôles proportionnés, ce qu'ils n'acceptent pas étant l'ignorance.

2. Données, localisation et sous-traitants

La région d'hébergement, et la liste complète des tiers qui touchent aux données clients. L'exercice s'est compliqué avec la diffusion des fonctions d'IA, puisqu'une fonction de résumé ajoutée l'an dernier envoie peut-être du texte client à un fournisseur de modèle que personne n'a jamais listé. Si vous ne pouvez pas nommer chaque tiers qui voit des données clients, c'est cela le constat, et mieux vaut le trouver avant l'auditeur.

Deux clauses intéressent spécifiquement le juriste : la restitution et la destruction des données en fin de contrat, et la notification en cas d'ajout d'un sous-traitant. Peu coûteuses à accorder, très chères à ne pas avoir.

3. Journalisation, piste d'audit et incidents

La question qui se cache derrière tout cela est simple : si quelque chose s'était produit, sauriez-vous le reconstituer ?

Une piste d'audit consiste à savoir qui a fait quoi et quand, sur les données comme sur l'infrastructure : événements d'authentification, actions privilégiées, changements de permissions, accès aux dossiers clients. Elle doit être infalsifiable et conservée assez longtemps pour servir, ce qui suppose en général de l'expédier hors de la machine qui l'a produite.

Soyez honnête sur la centralisation et la fréquence de revue, parce que l'écart est grand entre « nous avons des journaux » et « nous le remarquerions » : beaucoup de petites équipes voient les connexions sans avoir la moindre alerte dessus. Écrire « journaux conservés et revus chaque semaine, système d'alerte prévu au premier trimestre » est une réponse tout à fait respectable, là où revendiquer une supervision continue que vous n'avez pas ne l'est pas.

Pour la réponse aux incidents, on vous demandera qui est appelé, comment on le joint, et à quoi vous vous êtes engagés contractuellement sur les délais de notification. C'est ce dernier point qui piège : une clause de notification sous 24 heures se signe facilement et se tient difficilement quand personne ne surveille le week-end.

4. Dépendances et vulnérabilités

Un scan automatique des dépendances avec Renovate ou Dependabot, des alertes revues à une fréquence annoncée, un responsable nommé. Une après-midi de configuration suffit, et cela transforme l'une des réponses les plus faibles qui soient (« nous mettons à jour quand nous le remarquons ») en l'une des plus solides.

La règle qui gouverne toutes les réponses

Oui déclenche une demande de documentation. Sur une revue en plateforme, répondre oui à une question de politique génère une relance qui vous demande d'attacher ladite politique, si bien qu'un oui que vous ne pouvez pas prouver se révèle pire qu'un non daté : il transforme un petit écart en problème de crédibilité, dans le même fil de discussion.

Les conséquences pratiques suivent.

• Répondez à la question posée, puis ajoutez le contrôle compensatoire. À « imposez-vous le MFA à tous les collaborateurs ? », si la réponse honnête est « sur tout ce qui touche aux données clients, oui ; sur les outils internes, pas encore, et voici la date », écrivez exactement cela.
• Ne revendiquez jamais une certification que vous n'avez pas, parce que c'est la seule erreur irrattrapable : surestimer un contrôle se corrige, revendiquer un certificat inexistant met fin à la conversation.
• Distinguez « sans objet » de « non », et dites pourquoi. Douze « sans objet » sans explication se lisent comme une esquive.
• Contestez les faux positifs, preuves à l'appui. Les scans automatiques en produisent, les plateformes prévoient un mécanisme pour cela, et un constat dont vous démontrez l'inexactitude mérite d'être contesté plutôt que corrigé.
• Rassemblez les manques dans une seule note d'accompagnement, avec dates et responsables. Les auditeurs valident des plans ; ce sont les surprises qu'ils font remonter.

Corriger, documenter, ou décliner

Triez chaque manque selon deux critères : le temps qu'il demande, et le risque qu'un auditeur y voie un motif de disqualification.

À corriger avant de répondre. MFA partout où l'on touche à la production, accès retirés aux personnes parties, alertes de dépendances activées, SSH par clé uniquement, en-têtes de sécurité et HSTS, interfaces d'administration derrière une liste d'autorisation, ports de messagerie en clair fermés, correctifs appliqués et machine redémarrée. Chacun se compte en heures plutôt qu'en semaines, et chacun vous sera redemandé à chaque questionnaire.

À documenter plutôt qu'à corriger. Tout ce qui est structurel : une architecture mono client que l'acheteur préférerait, une région que vous ne proposez pas encore, une piste d'audit qui couvre certaines actions et pas d'autres, des vérifications d'antécédents qu'une équipe de prestataires répartie sur plusieurs pays rend partiellement impossibles. Énoncez la situation clairement et, quand c'est vrai, dites quand elle change, car une migration structurelle menée dans l'urgence à cause d'un questionnaire est le meilleur moyen de se retrouver avec une demi-migration que personne ne pilote.

À décliner pour l'instant, et à assumer. Détection et réponse managées, agents sur chaque poste, détection d'intrusion réseau, SIEM complet : raisonnables pris un par un, hors de portée collectivement pour une entreprise jeune, et l'auditeur le sait parfaitement. « Pas en place aujourd'hui, contrôles compensatoires X et Y, à revoir avec la croissance » constitue une réponse normale. Décliner un test d'intrusion à ce stade également : un vrai test coûte de l'ordre de 15 000 à 30 000 €, mobilise vos développeurs et un environnement dédié pendant des semaines, et reste le mauvais achat tant que votre architecture n'est pas assez stabilisée pour que ses conclusions soient encore vraies dans six mois.

N'achetez pas une plateforme d'automatisation de la conformité sous le coup de la peur. Ces outils justifient leur coût une fois la certification formelle décidée ; achetés dans la panique, ils produisent un tableau de bord et aucun changement de posture.

Constituez le socle de réponses une bonne fois

Le vrai bénéfice du premier questionnaire, c'est qu'il doit rester le plus lent que vous ferez jamais.

Tenez un document interne unique, rédigé dans vos propres mots et organisé par thème plutôt que selon le format d'un client : contrôle d'accès et identités, accès réseau, traitement et localisation des données, sous-traitants, chiffrement au repos et en transit, journalisation et piste d'audit, réponse aux incidents, continuité et reprise d'activité, développement sécurisé, gestion des dépendances, pratiques internes et prestataires, sécurité physique. Chaque réponse s'écrit une fois, porte une date et un responsable nommé, et s'accompagne de la preuve elle-même plutôt que d'une description de la preuve.

Chaque nouveau questionnaire devient alors un exercice de correspondance et non une recherche : vous reprenez la référence unique, vous adaptez la réponse à la question posée, et vous notez ce que la référence ne couvrait pas. Ces manques constituent votre liste de tâches.

Conservez deux documents à part, parce qu'ils sont toujours demandés et presque toujours manquants : un plan de continuité et de reprise d'activité avec de vrais objectifs de reprise plutôt que des intentions, et des accords de confidentialité signés par tout le monde, prestataires compris. Les deux relèvent de la rédaction et non de l'ingénierie, et les deux bloquent des revues pendant des semaines quand ils font défaut.

Revoyez ce socle chaque trimestre, ainsi qu'après tout changement important. Un socle qui ne correspond plus à la réalité est pire que pas de socle du tout, puisque vous affirmerez désormais à un client, avec assurance, quelque chose de faux.

L'économie de l'exercice est simple : le premier questionnaire vous coûte une quinzaine de jours de vos gens les plus seniors, le cinquième devrait coûter une journée, et c'est justement le cinquième qui arrivera pendant un trimestre où vous n'avez personne de disponible.

Préparation, certification et test d'intrusion sont trois choses différentes

Il vaut la peine d'être précis ici, parce que les termes circulent librement alors que la différence se chiffre.

La préparation, que décrit cet article, consiste à comprendre votre posture, à corriger ce qui compte et à pouvoir répondre vite et juste. Elle ne produit aucun certificat.

La certification formelle, ISO 27001 ou rapport SOC 2, est un processus audité mené par un tiers accrédité, sur un calendrier défini et à un coût réel. Engagez-la quand les acheteurs réclament le certificat par son nom au lieu d'envoyer des questionnaires, ou quand vous perdez des affaires précisément faute de l'avoir, mais pas avant.

Le test d'intrusion est une prestation spécialisée où quelqu'un attaque réellement vos systèmes sous contrat, et il répond à une autre question : non pas « quels sont vos contrôles » mais « tiennent-ils ».

Nous faisons le premier de ces trois. Nous vous dirons quand vous avez besoin de l'un des deux autres, et nous préférons le dire tôt plutôt que de vous vendre un audit qui n'est pas celui qu'il vous faut.

---

Si une revue de sécurité se trouve aujourd'hui entre vous et une affaire, c'est l'une des raisons les plus fréquentes pour lesquelles on nous demande un audit technique à périmètre fixe : la posture de sécurité examinée en même temps que l'architecture, les coûts cloud, le contrôle d'accès et la livraison, avec une feuille de route priorisée plutôt qu'un rapport.

Si le problème de fond tient plutôt à ce que personne d'assez senior ne porte ces décisions, la question relève du CTO à temps partagé et non du questionnaire. Et si vous traitez le sujet depuis le Golfe, notre page conseil aux Émirats et dans le Golfe explique comment nous travaillons entre les deux régions.