Il arrive souvent dans la vie d’une entreprise de signer un contrat significativement plus gros que les autres : on parle bien DU contrat qui va faire décoller le business. Malheureusement, ce genre de contrat est accompagné de multiples difficultés annexes, dont les exigences de sécurité.
En tant que CTO, la sécurité n’est qu’un pilier parmi tous les différents aspects techniques et organisationnels à gérer. C’est une énorme source de charge mentale et d’ennui qui va souvent à l’encontre de la productivité des développeurs.
Légende : Les mesures techniques et organisationnelles adéquates afin de garantir un niveau de sécurité adapté au risque associé pour préserver les droits et libertés des personnes physiques formulaire A-38 - Les douze travaux d’Asterix.
La plupart des grands groupes attendent de leurs prestataires, la mise en place de mesures techniques et organisationnelles adéquates. Cela vise à garantir un niveau de sécurité adapté au risque associé pour préserver les droits et libertés des personnes physiques.
Il n’y a jamais eu de consensus général quant aux exigences précises qui doivent être remplies. Chaque grand groupe possède son propre référentiel, issu généralement de la norme ISO 27001, des recommandations de l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) ainsi que des exigences du RGPD.
Ces référentiels sont plus ou moins longs, pertinents et complexes à remplir. Si certaines cases ne sont pas cochées, le client pourra même exiger, avant signature du contrat, des actions correctives à mettre en place et des points d'avancement de mise en conformité réguliers.
Le but est donc de trouver le moyen le plus rapide de répondre à ces référentiels, en mettant en œuvre le contrôle nécessaire, tout en assumant la non-conformité sur certains choix. Par exemple, on n’attend pas vraiment d’une entreprise de 10 personnes de posséder un IDS (système de détection d’intrusion).
⚠️ Le client peut même engager un tiers pour effectuer un audit de sécurité avant signature. Il est donc de mise de répondre en toute franchise à ces questionnaires.
Pour réduire la masse de travail, la première démarche est de réduire le scope des questions auxquelles répondre.
Il est souvent possible d’éviter de mettre en place de nombreux process humains via l’automatisation. De nombreux checks peuvent s’avérer inutiles ou non applicables si votre système interdit de facto certains comportements.
Les formulaires étant souvent extrêmement longs et complets, les prestataires ne peuvent pas s’attendre à 100% de conformité. Réfléchissez aux facteurs qui peuvent vraiment causer un deal-breaker. Qu’est-ce qui est absolument primordial pour votre prospect ?
Si votre prospect attend de vous une PSSI complète et que vous ne savez pas par où commencer, une bonne solution peut être l’achat d’un outil SaaS comme Vanta.
Vanta est une plateforme conçue pour simplifier et rationaliser le processus de mise en place de pratiques de sécurité informatique solides. Elle offre un éventail d'outils et de fonctionnalités conçus pour vous aider à évaluer, surveiller et améliorer en continu votre posture en matière de sécurité.
La compliance d’une infrastructure à certaines normes peut être assez facilement monitorée via les outils des cloud providers, ou des outils open source.
Si on prend l’exemple d’AWS, AWS SecurityHub permet d’avoir en quelques clics un dashboard présentant toutes les non-conformités de l’infrastructure.
Si votre infrastructure est codée en IaC, des outils comme Checkov permettent également de scanner la codebase à la recherche de non-conformité.
Vous avez coché une bonne partie des exigences, mais il reste en encore qui nécessitent au préalable des changements profonds ou la mise en place d’outillage ? C’est normal. Aucune entreprise n’est sécurisée à 100%, l’important est d’avoir une roadmap de sécurité pour montrer que l’effort fourni est constant et que les choses s’améliorent.
Synthétisez tous les gros chantiers dans une roadmap priorisée, et ajoutez-la à votre liasse de réponse.
Il y a de fortes chances que votre prospect prenne en compte votre roadmap sécurité dans son appréciation.
Réaliser un test d’intrusion annuel sur votre applicatif est toujours une bonne idée. Il y a de fortes chances pour que ce soit exigé par un prospect, une norme de sécurité ou par un fonds d’investissement. Deux avantages à le faire en amont :
Répondre aux exigences des grands comptes lorsqu’on n'a pas d’équipe ou de moyen illimité peu s’avérer complexe et rébarbatif. Ces quelques conseils devraient vous permettre de vous acquitter plus efficacement cette tâche : réduire le scope, traiter une partie via des moyens techniques, de s’outiller pour automatiser ou planifier d’autres actions dans une roadmap.
Sans compter les contrats décrochés, cette démarche vous permettra dans tous les cas d’améliorer votre niveau de sécurité et de réduire les risques d’attaques dans le futur.