On nous demande des contrôles de cybersécurité de base avant de signer — de quoi s'agit-il et lesquels doit-on vraiment appliquer ?

on a reçu exactement le meme questionnaire sur un projet logistique similaire a riyad. y avait 40 points la moitié n'avait aucun sens pour une equipe de 10 personnes. on a fourni les screens du mfa et des backups, pour le reste on a mis un calendrier d'engagement et c'est passé tout seul, pas de stress.

Côté technique, leur bête noire ce sont les ports SSH et RDP ouverts sur le web public. Coupez tout accès direct via IP publique sur vos serveurs et passez a minima par un VPN ou une restriction par liste blanche d'IP. Si vous documentez ce point et l'activation du MFA, vous passerez l'audit technique sans difficulté.

Les grands comptes savent très bien que vous n'avez pas un SOC d'entreprise à disposition. Ce qu'ils vérifient avant tout, c'est que votre infrastructure ne puisse pas servir de passerelle pour infiltrer leurs propres serveurs. Si vous formalisez l'isolation logique entre votre réseau interne et le tunnel d'intégration dédié au client, leur niveau d'alerte baissera immédiatement.

L'année dernière, on a dépensé environ 18.000 SAR pour se conformer à une checklist fournisseur similaire. Sur cette somme, 6.000 SAR sont partis dans les licences d'un gestionnaire centralisé de mots de passe et d'identités, et le reste dans une architecture de sauvegarde automatique isolée sur le cloud. On a validé 19 des 28 points du formulaire directement, et les 9 restants lors de l'audit 3 mois plus tard.

La plupart des questionnaires fournisseurs sont malheureusement de simples copier-coller. L'acheteur en face ne comprend rien aux détails techniques, il veut juste que les cases soient cochées et que ce soit signé en bas. Mais s'il y a une fuite de données un jour, ces engagements se retournent contre vous juridiquement ; ne cochez surtout pas « fait » pour des choses que vous n'avez pas mises en place.

Avant de commencer à remplir le formulaire, demandez un point de 15 minutes avec le responsable de la sécurité informatique d'en face. Expliquez-lui : « Nous sommes une PME, nos contrôles techniques de base sont en place mais nous souhaitons étaler les volets de politiques d'entreprise sur le calendrier du projet ». Dans 90 % des cas ils trouvent ça raisonnable et valident la feuille de route.

pour le point sur la sensibilisation du personnel à la cybersécurité, est-ce qu'il faut obligatoirement une certification payante délivrée par un organisme agréé, ou bien une présentation de base faite en interne avec une feuille d'émargement sufft comme preuve ?

450.000 SAR, c'est un très beau contrat, ne vous prenez pas la tête. Les grandes boîtes renouvellent cette paperasse tous les ans par pure procédure. Ça fait peur au début mais une fois que les bases sont solides le reste n'est que de la bureaucratie.

En regardant le processus, le tableau change. Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

Je suis aussi curieux de savoir si d'autres font autrement.

J'aurais une question, sans vouloir m'éloigner du sujet. L'erreur commise du côté de contrôles de cybersécurité de base est généralement réversible, mais coûteuse.

Les décisions hâtives finissent par être corrigées six mois plus tard. Bien sûr, cela change si votre situation est différente.

Il est rare de trouver un texte qui explique les choses aussi clairement.

merci beaucoup, cela m'a été très utile.

Je ne savais pas ça.

beau travail.

Il faut y aller étape par étape. Commencez par un petit test, ne vous engagez pas sur tout d'un coup.

Je le note au cas où.

Je suis d'accord en partie, pas en partie. Les gens défendent l'habitude, pas le processus. La résistance vient de là.

La plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué. Voilà, désolé si je me suis étendu.

Je suis une petite entreprise, laissez-moi expliquer de mon point de vue. La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

Ce que tout le monde fait ne signifie pas que c'est la bonne chose. Je suis aussi curieux de savoir si d'autres font autrement.

Il est rare de trouver un texte qui explique les choses aussi clairement. Le temps que vous mettez à détecter un problème détermine directement son coût.