Pour quiconque reçoit des questions de sécurité de la part d'acheteurs
Un client vous a demandé une notation de sécurité. Voici ce qu'il verra.
Les acheteurs effectuent de plus en plus une vérification externe avant d'envoyer le questionnaire, et s'en servent pour décider quoi approfondir. Les constats deviennent des questions, et les questions arrivent en pleine vente.
Les résultats d'analyse et l'application sont en anglais pour le moment.
Lorsqu'un client potentiel mène un audit de sécurité préalable sur vous, il utilise des vérifications externes, car c'est tout ce dont il dispose. Cette page montre ce que contient cette vue, afin que vous puissiez voir votre organisation comme la verra l'équipe achats ou sécurité d'un acheteur, avant qu'elle ne soulève la question dans un questionnaire.
Pourquoi les acheteurs vérifient avant de demander
Les questionnaires de sécurité sont lents et déclaratifs : les acheteurs lancent donc de plus en plus une vérification externe d'abord, et s'en servent pour décider quoi approfondir. La vue externe oriente ainsi souvent la conversation avant même que vous sachiez qu'elle a commencé, et tout ce qui paraît anormal de l'extérieur devient une question à laquelle vous devez répondre dans l'urgence, en pleine vente.
- La vérification externe a généralement lieu avant le questionnaire, pas après
- Les constats deviennent des questions, et les questions deviennent des retards
- Vous ne pouvez pas corriger une impression que vous n'avez jamais vue
Ce que peuvent montrer les vérifications externes
Nos analyses reposent sur des vérifications externes, limitées et non intrusives. Elles ne tentent aucune exploitation, aucun test d'identifiants ni aucune modification intentionnelle des systèmes ciblés.
- La sécurité du transport et l'état des certificats, y compris les certificats sur le point d'expirer
- L'authentification des e-mails, qui leur indique avec quelle facilité quelqu'un pourrait se faire passer pour vos collaborateurs
- Les services exposés à Internet et les vulnérabilités connues qui les touchent
- La présence d'identifiants associés à votre domaine dans des données publiques de fuites et d'infostealers
- Les informations d'enregistrement du domaine et la manière dont il est administré
Ce qu'il faut corriger avant le prochain appel d'offres
Les acheteurs écartent rarement un fournisseur pour un seul constat. Ce qui vous nuit, c'est un ensemble de petits éléments visibles et peu coûteux à corriger, car ensemble ils traduisent un manque de rigueur au quotidien, et c'est justement cette rigueur que l'exercice cherche à évaluer.
- Des certificats proches de l'expiration donnent l'impression que personne ne surveille
- Une politique de messagerie faible ou absente est facile à repérer et facile à corriger
- Les services exposés sur des hôtes oubliés sont la catégorie la plus dommageable, car ils laissent penser que personne ne sait ce qui tourne
Questions fréquentes
›Est-ce la même vérification que celle qu'effectuerait un acheteur ?
Elle lit la même catégorie de signaux publics : sécurité du transport, authentification des e-mails, services exposés, exposition aux fuites et administration du domaine. Les acheteurs utilisent des outils variés et les pondèrent différemment, mais les éléments sous-jacents sont publics et en grande partie les mêmes.
›Pouvons-nous voir à quoi ressemble l'un de nos fournisseurs ?
Oui, et c'est un parcours distinct : cette page porte sur votre propre image vue de l'extérieur. Le parcours de vérification des fournisseurs est conçu pour évaluer le domaine de quelqu'un d'autre avant de signer avec lui.
›À quelle fréquence devrions-nous consulter ces éléments ?
Avant chaque appel d'offres ou renouvellement, et sinon de façon planifiée. Les certificats expirent, de nouveaux services apparaissent et des données de fuites sont publiées en continu : un bon résultat a une durée de validité limitée.
Indicatif uniquement. Ceci présente des signaux observables de l'extérieur concernant un domaine. Ce n'est ni un audit de sécurité ni une certification, et cela ne permet pas de voir les contrôles internes, les contrats ou les processus.
Également utile : vérifier l'un de vos propres fournisseurs.