Les opérateurs d'infrastructures d'importance vitale sont tenus, au titre de la loi 05-20, d'évaluer la sécurité de leurs fournisseurs. Cela se traduit par des questionnaires, des audits et des clauses contractuelles. En tant que fournisseur, mieux vaut préparer ces échéances que les subir. Voici les dix questions qui vous seront posées, et ce qui constitue une réponse recevable.

Pourquoi c'est urgent : les opérateurs engagés dans leur propre mise en conformité adressent déjà ces questionnaires à leurs fournisseurs. La question n'est pas de savoir si vous en recevrez un, mais quand.

1

Avez-vous une politique formelle de sécurité de l'information ?

Votre client cherche à savoir s'il existe un document approuvé par la direction. Une certification ISO 27001 répond à cette question en une seule pièce.

Conseil : même sans certification, un document de politique correctement rédigé satisfait à cette demande.
2

Comment gérez-vous l'accès aux systèmes et données clients ?

Sont attendus : des accès fondés sur le rôle, l'authentification multifacteur, une revue périodique des comptes et une procédure de retrait des droits au départ d'un collaborateur.

Conseil : documentez votre politique d'accès et apportez la preuve que l'authentification multifacteur est effectivement en service.
3

Avez-vous une procédure de réponse aux incidents ?

La loi impose la déclaration au maCERT dans des délais déterminés. Votre client veut donc savoir à quel moment il sera informé si l'incident survient chez vous.

Conseil : un plan bref, comportant un circuit d'escalade et des délais, suffit dès lors qu'il est connu des personnes d'astreinte.
4

Comment sécurisez-vous les accès distants ?

Si vous accédez à distance aux systèmes de votre client, il souhaite connaître les protections en place et la manière dont ces connexions sont tracées.

Conseil : authentification multifacteur, journalisation et accès limité dans le temps constituent le minimum attendu.
5

Effectuez-vous une gestion des vulnérabilités ?

Des analyses sont-elles conduites périodiquement, et dans quel délai les failles critiques sont-elles corrigées ?

Conseil : une analyse mensuelle assortie de délais de correction formalisés convient à la plupart des situations.
6

Quelle est votre stratégie de sauvegarde et de restauration ?

Les sauvegardes sont-elles régulières, conservées hors ligne ou sous forme immuable, et leur restauration est-elle éprouvée ?

Conseil : testez la restauration au moins une fois par an et consignez le résultat. C'est cette consignation que votre client demandera.
7

Formez-vous vos employés à la sensibilisation sécurité ?

L'hameçonnage demeure la voie d'accès la plus utilisée. Votre client veut savoir si vos collaborateurs identifient ces messages et savent où les signaler.

Conseil : une formation annuelle assortie d'une simulation constitue aujourd'hui la pratique courante.
8

Vérifiez-vous les antécédents de vos employés et sous-traitants ?

Cette question se pose surtout lorsque vos intervenants accèdent à des environnements ou à des données sensibles.

Conseil : formalisez vos exigences de vérification dans votre politique de ressources humaines et dans vos contrats de sous-traitance.
9

Acceptez-vous de conférer des droits d'audit ?

La loi impose aux opérateurs de pouvoir auditer leurs fournisseurs. La question porte donc sur votre disposition à y coopérer.

Conseil : intégrez vous-même une clause d'audit à vos contrats types. Cela lève une réserve avant même qu'elle ne soit formulée.
10

Avez-vous un processus d'amélioration continue de votre sécurité ?

La sécurité n'est pas un projet à échéance. Vos clients cherchent à établir que vous ajustez votre dispositif : revues périodiques, retours d'expérience après incident et adaptation aux menaces nouvelles.

Conseil : documentez votre cycle d'amélioration et montrez ce que vous avez tiré des incidents et des audits précédents.

Pouvez-vous répondre à ces questions ?

Si trois réponses ou plus se soldent par une négation ou une hésitation, le moment est venu d'agir. Non parce que la loi vous l'impose directement, mais parce que vos clients le feront. Le fournisseur qui dispose déjà de ces réponses aborde le même questionnaire comme une formalité administrative.

Besoin d'aide pour vous préparer ?

Resotech accompagne les fournisseurs selon une approche progressive : du diagnostic rapide à la certification ISO 27001. Nous commençons par les exigences que vos donneurs d'ordre formulent déjà.

Nous contacter