Combien de temps faut-il pour remplir un questionnaire de cybersécurité ?
Il n'existe pas de délai fixe prescrit pour remplir un questionnaire de cybersécurité. Le délai d'exécution en pratique varie considérablement : d'une demi-journée si les réponses sont déjà disponibles, à plusieurs semaines si les informations doivent d'abord être collectées auprès de différents collègues. La différence réside rarement dans le questionnaire lui-même, mais dans la mesure où la réponse est déjà documentée quelque part.
Le retard le plus important ne survient généralement pas lors de la réponse aux questions, mais lors de la recherche de la bonne personne au sein de l'entreprise et de la vérification qu'un justificatif est toujours valide. Celui qui le sait peut mieux estimer son propre délai d'exécution que celui qui ne regarde que le questionnaire lui-même.
Ce qui détermine le délai d'exécution
Trois éléments déterminent largement la rapidité avec laquelle un questionnaire de cybersécurité est complété. Premièrement : est-ce la première fois que votre entreprise reçoit une telle liste, ou avez-vous déjà répondu à des questions similaires pour un autre client ? Les entreprises confrontées pour la première fois à ces questions doivent déterminer en interne qui peut fournir quelle réponse. Deuxièmement : les justificatifs sous-jacents sont-ils déjà disponibles, ou doivent-ils encore être obtenus auprès d'un fournisseur informatique, d'un auditeur ou de votre propre administrateur système ? Troisièmement : qui au sein de l'entreprise peut confirmer les réponses au nom de l'organisation ? Dans une entreprise individuelle, c'est souvent une seule personne, dans une plus grande entreprise, les questions concernant le contrôle d'accès, les sauvegardes et la réponse aux incidents passent par différents départements.
Où cela pose généralement problème en pratique
Le retard le plus courant n'est pas substantif mais organisationnel : une question sur la politique de mots de passe ou les droits d'accès est transmise à l'administrateur informatique, qui n'examine la question que plusieurs jours plus tard parce qu'il ne sait pas qu'une échéance y est associée. Un deuxième goulot d'étranglement fréquent est un document justificatif qui a entretemps expiré, comme une attestation d'une partie informatique externe ou un aperçu des mesures prises qui ne correspond plus à la situation actuelle. Un troisième goulot d'étranglement est que chaque portail d'un client utilise sa propre structure et sa propre terminologie, ce qui signifie que la même réponse doit être réécrite à chaque fois dans un format légèrement différent.
Une grande partie de ce retard peut être évitée en maintenant les documents justificatifs et les réponses de manière centralisée plutôt que de les recueillir à nouveau pour chaque questionnaire. recherchés dans la base de connaissances par sujet indique quelles sont les éléments les plus demandés et quels documents justificatifs les accompagnent généralement.
Ce qu'un questionnaire de cybersécurité demande souvent
De nombreux clients fondent leur questionnaire, consciemment ou inconsciemment, sur les dix mesures mentionnées dans la directive NIS2. NIS2 est une directive européenne sur la sécurité numérique des organisations ; les dix mesures portent notamment sur la gestion de l'accès, la gestion des incidents, les sauvegardes et la sécurité des chaînes d'approvisionnement. Toutes les entreprises ne relèvent pas de NIS2 lui-même, mais beaucoup de clients qui y relèvent traduisent ces sujets dans le questionnaire qu'ils envoient à leurs propres fournisseurs. Cela explique pourquoi des questions similaires reviennent chez différents clients, même si votre entreprise ne relève pas directement de la directive.
Ce que vous pouvez faire vous-même
Le délai de traitement devient surtout plus court si l'on sait qui, au sein de l'entreprise, peut répondre à quelle partie, et si les documents justificatifs se trouvent à un endroit fixe avec une date d'expiration claire. Cela ne signifie pas que chaque questionnaire est réglé d'un coup : chaque portail pose ses propres questions dans son propre ordre, et un client peut toujours demander un complément. Ce qui aide, c'est que vous ne recommencez pas à zéro avec le même aperçu des mesures et des documents justificatifs pour chaque nouveau questionnaire.
Pour voir quels sujets sont pertinents pour votre situation, vous pouvez en quelques questions voir où vous en êtes. Qui souhaite savoir comment un système comme celui de supplia.eu parvient à une réponse sans que quelqu'un ne suive ou n'évalue quoi que ce soit, trouvera cela expliqué sur la page d'où vient l'information.
Enfin
La durée du remplissage d'un questionnaire de cybersécurité dépend donc principalement de la préparation interne, et non du questionnaire lui-même. Si vous hésitez sur une question spécifique d'un client ou sur ce qui est légalement attendu de votre entreprise, consultez le texte de la directive ou un juriste ; supplia.eu ne donne aucune évaluation des situations particulières. Pour des questions générales sur le fonctionnement de la plateforme, un aperçu est disponible sur la page des questions fréquemment posées. Si vous voulez d'abord vérifier si votre situation correspond aux sujets que les clients demandent généralement, le scan rapide gratuit peut être un bon point de départ.