Security Questionnaires et automatisation

Les questionnaires de sécurité proviennent de deux directions : dans la gestion des risques tiers (TPRM), les acheteurs évaluent leurs fournisseurs, tandis que dans la vente, les questionnaires complétés sont de plus en plus une condition préalable à la conclusion du contrat. La réglementation est également un moteur – NIS2 (directive (UE) 2022/2555) exige à l'art. 21(2)(d) des mesures de sécurité de la chaîne d'approvisionnement, y compris les relations avec les fournisseurs directs, et DORA (règlement (UE) 2022/2554) oblige les entités financières, à l'art. 28(3), à tenir un registre d'informations sur tous les accords contractuels conclus avec des prestataires tiers de services TIC. Pour la partie qui répond, il en résulte une charge récurrente considérable, car les questions se recoupent fortement sur le fond mais varient dans leur format et leur formulation. S'y ajoute l'engagement juridique : les réponses sont des déclarations précontractuelles sur lesquelles clients et auditeurs peuvent s'appuyer ultérieurement.

Deux catalogues se sont imposés comme standards de fait. Le Consensus Assessment Initiative Questionnaire (CAIQ) de la Cloud Security Alliance comprend, dans sa version 4.1, 283 questions oui/non et est synchronisé avec la Cloud Controls Matrix (CCM) v4.1, qui définit 207 contrôles répartis en 17 domaines (publiée fin janvier 2026) ; il existe en outre une variante abrégée, le CAIQ-Lite. Le Standardized Information Gathering Questionnaire (SIG) de Shared Assessments couvre des domaines de risque allant de la cybersécurité à la résilience opérationnelle, en passant par l'IT, la protection des données et la gouvernance des données ; il est mis à jour chaque année et formalise, avec le millésime 2026, des presets de périmètre (Lite, Core, Detail) pour une profondeur de questionnement adaptée au risque – complétés entre autres par un mapping vers ISO/IEC 42001 pour la gouvernance de l'IA. Parallèlement, les questionnaires Excel propriétaires de certains clients restent répandus et interrogent la même matière dans des structures individuelles.

Sur le fond, la plupart des questionnaires couvrent les mêmes thématiques : gouvernance et preuves du SMSI (par exemple certificat ISO/IEC 27001 ou rapport SOC 2), gestion des identités et des accès, chiffrement, développement sécurisé, gestion des vulnérabilités et des correctifs, réponse aux incidents et canaux de notification, continuité d'activité, protection des données et sous-traitance, ainsi que sous-traitants ultérieurs – de plus en plus complétées par des questions sur l'utilisation de l'IA. On attend non seulement des réponses oui/non, mais des preuves solides : certificats, rapports d'audit et de tests d'intrusion, extraits de politiques. Le critère de qualité est la cohérence – les réponses doivent correspondre à l'environnement de contrôle réel, au périmètre des certificats et aux engagements contractuels, faute de quoi elles deviennent un risque lors d'un audit ou en cas de sinistre.

Le fondement de toute automatisation est une bibliothèque de réponses curatée : des paires question-réponse validées, avec versionnage, responsabilité métier, période de validité et références aux contrôles et politiques sous-jacents. Les outils assistés par IA s'appuient dessus, reconnaissent les questions sémantiquement similaires malgré des formulations différentes et proposent des projets de réponse à partir de la bibliothèque et de la documentation de sécurité. Une revue humaine avant envoi reste impérative : les modèles de langage peuvent produire des réponses plausibles mais inexactes, et chaque réponse constitue un engagement vis-à-vis du client. L'approche ne devient viable qu'avec une gouvernance – processus d'approbation, piste d'audit par réponse et rapprochement régulier de la bibliothèque avec l'état réel des contrôles.

Un trust center inverse la logique : au lieu de répondre individuellement à chaque questionnaire, le fournisseur met proactivement à disposition dans un portail ses certificats, rapports d'audit, synthèses de politiques, listes de sous-traitants et questionnaires standards complétés comme le CAIQ ou le SIG – les documents sensibles étant généralement accessibles après validation d'un NDA. Des trust centers bien entretenus peuvent remplacer entièrement une partie des questionnaires entrants et réduire les autres aux points réellement ouverts. Le pendant public standardisé pour les fournisseurs cloud est le registre STAR de la Cloud Security Alliance : le niveau 1 est une auto-évaluation basée sur le CAIQ, le niveau 2 une évaluation par un tiers sous forme de STAR Attestation (SOC 2) ou de STAR Certification (ISO/IEC 27001). L'actualité est déterminante – un trust center obsolète génère plus de questions complémentaires qu'il n'en évite.

Pour la partie qui interroge, le questionnaire n'est qu'une étape du cycle de vie TPRM : la classification de criticité du fournisseur détermine la profondeur de questionnement appropriée, suivie de l'évaluation des réponses et des preuves, des contrôles contractuels et d'une surveillance continue ; NIS2 exige expressément, à l'art. 21(3), de prendre en compte les vulnérabilités spécifiques et les pratiques de cybersécurité des fournisseurs directs. Accepter des catalogues standards comme le CAIQ ou le SIG plutôt que ses propres modèles Excel réduit la charge des deux côtés sans perte de valeur informative. Pour la partie qui répond, cela suppose un processus d'intake défini avec responsabilités et délais, ainsi que le retour des enseignements dans son propre SMSI – des lacunes récurrentes dans les questionnaires sont un bon indicateur d'un réel besoin d'action. Les exigences applicables aux deux rôles sont décrites dans ISO/IEC 27036-2:2022 pour la gestion de la sécurité de l'information dans les relations avec les fournisseurs.