Ce que le client veut réellement valider
Un périmètre lisible
L'acheteur veut comprendre ce qui est réellement couvert : produit, API, portail client, sauvegardes, supervision ou SSO. Une réponse floue déclenche des relances.
Des preuves vérifiables
Politique, rapport, date de test, correctif, responsable. Une promesse sans trace est traitée comme une déclaration marketing.
Une posture honnête
Dire « ce point n'est pas encore couvert, voici le plan » rassure plus qu'un « oui » fragile contredit ensuite par le produit ou l'IT.
Les réponses qui rassurent le plus
Les meilleures réponses sont courtes, bornées et accompagnées d'une preuve simple. Un « pentest web et API réalisé en février 2026, périmètre portail client et endpoints exposés, remédiation en cours sur 2 points moyens » vaut plus qu'un « oui, nous faisons des tests réguliers ».
Même logique pour la gestion des accès, les sauvegardes ou la supervision : un acheteur cherche moins des slogans qu'une réponse datée, cohérente avec le service vendu et réutilisable dans le processus d'achat.
Les erreurs qui font perdre la main
- Répondre oui partout sans distinguer ce qui est en place, partiel ou en cours.
- Mélanger gouvernance générale et sécurité réelle du service vendu.
- Promettre un pentest ou un PRA sans date ni livrable exploitable.
- Laisser la réponse à la seule équipe commerciale.
Modèle de réponse : affirmation, preuve et limite
Télécharger le modèle de questionnaire sécurité (CSV). Les six lignes sont des exemples à compléter, jamais des réponses prévalidées pour votre entreprise.
| Question | Réponse à documenter | Preuve et limite |
|---|---|---|
| Avez-vous réalisé un pentest ? | Date, version et périmètre testés | Synthèse partageable ; exclure les composants non testés |
| Les accès sont-ils revus ? | Fréquence et responsable de la revue | Compte rendu et retraits ; signaler les revues en retard |
| Les sauvegardes sont-elles restaurables ? | Date et résultat du dernier test | Journal de restauration ; ne pas confondre sauvegarde et reprise testée |
| Utilisez-vous une IA sur nos données ? | Service, données, sous-traitants et droits | Architecture et réglages ; préciser les usages exclus |
Ajoutez pour chaque contrôle un propriétaire, une date de revue et un emplacement de preuve. Partagez les documents sensibles par un canal convenu et contrôlé, pas dans un fichier librement transférable. Retrouvez les situations qui justifient un audit ciblé.
Exemple fictif : répondre à une question sur les tests d'intrusion
Un test a porté sur la version et les parcours précisés dans le dossier de mission. La synthèse décrit les dates, les exclusions et les constats. Les corrections ont les statuts indiqués dans le compte rendu de contre-test. Les fonctions non testées ne sont pas couvertes par cette réponse.
Remplacez chaque élément par une preuve disponible dans votre entreprise. Si aucun test n'a été réalisé, indiquez-le et précisez l'action prévue plutôt que de répondre oui. Quand le client demande un pentest avant signature, faites confirmer ses critères avant de commander la mission.
Quand passer à une préparation structurée
Si le questionnaire porte sur une API exposée, un portail client, une isolation tenant, des comptes support ou un SSO, le sujet n'est plus purement administratif. Il faut alors raccorder la réponse à des preuves produit et parfois à un test ciblé.
C'est là qu'une préparation dédiée fait gagner du temps : cadrage du périmètre, consolidation des preuves, arbitrage des zones floues et formulation de réponses réutilisables. Voir la page service questionnaire sécurité client.
Pour approfondir : CIS Controls : socle de mesures sur lequel adosser vos réponses de questionnaire.