Questionnaire de sécurité fournisseur

Définition

Le questionnaire de sécurité fournisseur est l'outil standardisé qu'une organisation soumet à un prestataire candidat ou existant pour recueillir de manière structurée des informations sur ses pratiques de sécurité de l'information, ses certifications détenues, sa gestion des incidents et sa conformité réglementaire, permettant une première évaluation de son niveau de maturité avant, le cas échéant, un audit plus approfondi pour les relations jugées les plus critiques. Ce questionnaire couvre généralement des thématiques telles que la gouvernance de la sécurité de l'information, la gestion des accès et des habilitations, le chiffrement des données au repos et en transit, la gestion des incidents et les délais de notification applicables, la sous-traitance ultérieure éventuellement mobilisée par le fournisseur, ainsi que les modalités de restitution ou de suppression des données à l'issue de la relation contractuelle. De nombreuses organisations s'appuient désormais sur des référentiels standardisés reconnus, comme le questionnaire de la Cloud Security Alliance dit CAIQ, plutôt que de développer leur propre questionnaire spécifique, réduisant ainsi la charge de réponse répétitive imposée aux fournisseurs sollicités simultanément par de nombreux clients avec des questionnaires différents mais couvrant des sujets substantiellement similaires. La fiabilité des réponses déclaratives obtenues via ce questionnaire reste néanmoins limitée sans vérification indépendante complémentaire, ce qui justifie de le compléter par des preuves documentaires ou des certifications tierces pour les relations les plus sensibles.