Un grand compte exige un audit de sécurité avant signature — existe-t-il une checklist à passer en revue ?

Ce que les auditeurs d'entreprise détestent par-dessus tout, c'est le bluff. Si vous prétendez disposer d'un dispositif de sécurité inexistant et que vous bloquez dès qu'ils demandent une preuve, le dossier s'arrête net. Expliquer que « ce processus est actuellement géré manuellement et son automatisation est planifiée d'ici 6 mois » vous donnera infiniment plus de crédibilité qu'un mensonge.

Exploitez le modèle de responsabilité partagée de votre hébergeur cloud à votre avantage. Pour toutes les questions touchant à la sécurité physique des serveurs, aux certifications des datacenters et à la redondance matérielle, référencez directement la documentation de sécurité publique de votre fournisseur cloud. Cela vous permettra d'évacuer au moins 30 % du questionnaire.

Dès ce week-end, activez le gestionnaire de mots de passe et le MFA obligatoire sur tous les comptes pro utilisés par votre équipe depuis le panneau central. Les captures d'écran du panneau montrant que vous avez fait cette étape sont la preuve la plus solide pour la section authentification du questionnaire.

On a bloqué sur un questionnaire similaire l'an dernier, le contrat a pris 3 mois de retard. On a payé 3 500 livres pour un test d'intrusion en urgence et on a eu un résumé exécutif propre d'une page. En ajoutant ce rapport, l'équipe sécurité a validé directement la moitié des questions techniques du questionnaire.

N'oubliez pas que l'entreprise cliente, en tant que responsable de traitement, vous demandera un Accord de Traitement des Données (DPA). Il est recommandé de revoir avec votre conseiller juridique les clauses sur où sont stockées les données, qui sont vos sous-traitants et le droit d'audit.

Les 180 questions ne vous concernent peut-être pas toutes. Les grandes boîtes envoient le même modèle générique à chaque fournisseur. Pour les questions hors périmètre de votre appli (par exemple la sécurité des bureaux ou les systèmes de badge d'accès), écrivez clairement 'Non Applicable (N/A)' avec une brève justification, ne vous engagez pas inutilement.

pas de panique ces questionnaires sont devenus la routine du process de vente et si vous demandez une réunion de 30 minutes avec le responsable sécurité du client et que vous lui faites clairement sentir que vous êtes une petite équipe agie mais que vous avez pris les mesures de base pour protéger leurs données le process se débloque beaucoup plus vite.

Correction : je me suis trompé sur le chiffre, c'était un peu plus bas.

La solution qui semble bon marché finit souvent par coûter cher. Si c'est une première, commencez petit, l'échelle viendra plus tard.

Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production. J'espère que cela vous sera utile.

Il est rare de trouver un texte qui explique les choses aussi clairement. du coup avant de décider regardez quelles données vous avez en main.

C'est mon avis, je ne l'écris pas comme une vérité absolue.

mon regard a changé après avoir vécu cela. genre si vous grondez les fausses alertes, plus personne ne signalera rien.

si vous grondez les fausses alertes, plus personne ne signalera rien mais du coup c'est confirmé par l'expérience.

J'aurais une question, sans vouloir m'éloigner du sujet. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

Bon courage.

Il faut faire une distinction ici. Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

Commencez par un petit test, ne vous engagez pas sur tout d'un coup. C'est confirmé par l'expérience.

Il y a une erreur fréquente à commettre en faisant cela. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

Quand on essaie de tout changer en même temps rien ne prend. C'est mon avis, je ne l'écris pas comme une vérité absolue.

Je suis du même avis. Avant de décider, regardez quelles données vous avez en main.

Je vais résumer ce qui a été dit jusqu'ici. Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

Le temps que vous mettez à détecter un problème détermine directement son coût. Bon courage.

Il y a un point que je ne comprends pas. Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

À votre place, j'irais par cette voie.

Je suis d'accord. Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

Si vous avez des questions, écrivez-moi, je répondrai au mieux.

J'ai été soulagé en lisant cette réponse donc ce n'est pas seulement mon cas. bon si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

Corrigez-moi si je me trompe.