Modèle gratuit de questionnaire de sécurité fournisseur
Répondez à trois questions sur un fournisseur et obtenez un questionnaire de sécurité adapté à son risque : court pour les fournisseurs à faible risque, approfondi pour ceux qui détiennent vos données ou se connectent à vos systèmes.
Pourquoi adapter le questionnaire au fournisseur ?
Envoyer le même tableur de 300 questions à chaque fournisseur fait perdre du temps à tout le monde : les petits fournisseurs abandonnent ou répondent à la légère, et votre équipe ne peut pas tout examiner. Un classement par niveau de risque pose quelques questions aux fournisseurs à faible risque et réserve l’évaluation complète à ceux qui détiennent des données sensibles, se connectent à vos systèmes ou font tourner votre activité.
Comment le niveau de risque est déterminé
- Données : plus les données vues par le fournisseur sont sensibles, plus le risque est élevé. Les données de santé, financières et d’identité placent toujours un fournisseur au niveau 1.
- Accès : des droits administrateur ou une connexion à votre réseau font du problème de sécurité d’un fournisseur votre propre problème. Une connexion réseau signifie toujours le niveau 1.
- Criticité : l’impact qu’une panne chez le fournisseur aurait sur votre activité ou vos clients.
Ce que couvre un bon questionnaire fournisseur
Gouvernance et certifications, contrôle d’accès, protection des données et vie privée, infrastructure et exploitation, sécurité applicative, réponse aux incidents et continuité, ainsi que les propres sous-traitants et le personnel du fournisseur. Ajoutez des questions sur la santé ou les cartes de paiement quand le fournisseur touche ces données. Demandez des justificatifs pour les réponses les plus importantes, pas seulement un oui ou un non.
Accepter SOC 2 ou ISO 27001 à la place
Un rapport SOC 2 Type 2 ou un certificat ISO 27001 en cours de validité couvre déjà de nombreux contrôles généraux. L’accepter à la place de ces questions accélère l’évaluation pour les deux parties. Vérifiez le périmètre et les dates, lisez les exceptions d’un rapport SOC 2, et posez quand même les questions propres à vos données et au service.
Questions fréquentes
Ce modèle de questionnaire fournisseur est-il gratuit ?
Oui. Créez et téléchargez autant de questionnaires que vous le souhaitez, en PDF ou en CSV à envoyer aux fournisseurs, sans créer de compte.
Est-ce la même chose que CAIQ, SIG ou HECVAT ?
Non. Ce sont des questionnaires standard publiés par d’autres organisations. Ce générateur utilise ses propres questions et les garde proportionnées au risque du fournisseur ; beaucoup de fournisseurs ayant déjà rempli un questionnaire standard peuvent y répondre rapidement à partir de ce travail.
À quelle fréquence réévaluer les fournisseurs ?
Une pratique courante : chaque année pour le niveau 1, tous les deux ans pour le niveau 2, et lorsque le périmètre du service change pour le niveau 3. Réévaluez plus tôt après un incident ou un changement important chez le fournisseur.
Mes informations sont-elles envoyées en ligne ?
Non. Le questionnaire est créé dans votre navigateur. Si vous ajoutez vos coordonnées et le téléchargez, Sourceably enregistre ces coordonnées pour que notre équipe puisse vous aider, sauf si vous cochez « Ne pas me contacter ».