Quelle est la conformité en cybersécurité exigée pour un appel d'offres en Arabie saoudite et combien ça coûte ?

Les points qui bloquent le plus souvent lors de l'audit technique : le chiffrement des données au repos dans la base, l'authentification multifacteur (MFA) sur l'ensemble des consoles d'administration et un serveur de logs centralisé. De plus, votre hébergeur cloud doit obligatoirement disposer d'un centre de données local en Arabie saoudite conformément aux règles de souveraineté des données.

Joindre ces documents à votre offre peut débloquer la situation : 1) Le formulaire d'auto-évaluation rempli selon le modèle officiel, 2) Une synthèse de la politique de sécurité de l'information de votre entreprise, 3) Si besoin, un engagement de mise en conformité sous 60 jours avec calendrier pour les points non couverts. Les organismes publics acceptent souvent cet engagement au lieu de rejeter directement l'offre.

On a eu exactement le même cas l'année dernière à Dammam sur un marché public à 500.000 SAR. Le cabinet d'audit demandait 60.000 SAR, c'était hors budget. On a pris un consultant local pour 18.000 SAR : il a fait l'analyse d'écart, rédigé les politiques et on a décroché l'appel d'offres. Ils sont venus vérifier les contrôles sur place avant la livraison finale.

Si cette clause figure dans l'appel d'offres et que vous remportez le marché le donneur d'ordre se réserve le droit de mener des audits inopinés pendant toute la durée du contrat. Signer une déclaration de conformité juste pour remporter l'offre sans appliquer de mesures concrètes est extrêmement risqué. En cas de faille, vous perdrez votre caution bancaire et vous serez exclu de la liste des fournisseurs officiels.

Est-ce que le cahier des charges exige explicitement un rapport certifié par un cabinet d'audit accrédité tiers, ou est-ce qu'un simple engagement sur l'honneur du fournisseur suffit ? Ce détail peut facilement tripler vos coûts.

Sur le marché saoudien, les réglementations en matière de cybersécurité sont devenues obligatoires ces deux dernières années pour les fournisseurs d'infrastructures critiques. Il serait judicieux de ne pas considérer les exigences du cahier des charges comme un simple coût ponctuel lié à l'appel d'offres, mais plutôt comme un investissement qui renforcera votre potentiel commercial dans la région.

Pas de panique, avec une équipe de 14 personnes, mettre les processus en ordre se fait bien plus vite que dans les grandes boîtes. Au lieu d'acheter des logiciels de sécurité d'entreprise hors de prix, vous pouvez rapidement valider la plupart des contrôles en chiffrant votre infrastructure actuelle et en clarifiant les règles d'accès et de journalisation des logs.

Je partage mon expérience. Avant de décider, regardez quelles données vous avez en main.

Avant de décider, regardez quelles données vous avez en main. Bon courage.

Je me permets une petite mise en garde. La plupart des incidents ne viennent pas d'une faille mais d'un mot de passe divulgué.

Si vous avez des questions écrivez-moi je répondrai au mieux.

oui, la situation est exactement ainsi concernant conformité en cybersécurité et du coup une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

corrigez-moi si je me trompe.

J'aimerais poser une question. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

J'espère que cela vous sera utile.

Je vais raconter ce qui m'est arrivé ça pourrait vous servir. Tous ceux qui se pressent sur conformité en cybersécurité se heurtent au même obstacle.

Je suis aussi curieux de savoir si d'autres font autrement.

Trois avis différents sont sortis, ils se complètent tous. Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement.

Je suis passé par là, laissez-moi vous raconter. Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard.

Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé. C'est confirmé par l'expérience.

J'ai travaillé longtemps sur ce sujet. Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

Bien sûr, cela change si votre situation est différente.

Oui, la situation est exactement ainsi concernant conformité en cybersécurité. Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

Si c'est une première commencez petit l'échelle viendra plus tard. Voilà, désolé si je me suis étendu.

c'est exactement ça. si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

bien sûr cela change si votre situation est différente.

Je vais résumer ce qui a été dit jusqu'ici. Si l'autorisation et le périmètre ne sont pas écrits ne lancez pas ce test.