Le questionnaire cyber : les déclarations qu’il faut pouvoir prouver

La décision derrière le titre

Cet examen porte sur périmètre MFA, correctifs, comptes privilégiés et déclarations assurantielles. Demandez quel incident bloquerait une journée ordinaire et qui aurait autorité pour intervenir. L’intérêt est de relier activité et clauses : un intitulé séduisant ne crée pas ce lien. Consultez la personne responsable du processus, pas seulement le budget annuel d’assurance.

Préparez registre d’exceptions : accès distant, e-mail, administrateurs, prestataires et comptes techniques avec authentification réelle. Pour correctifs, séparez logiciels supportés et anciens sans mise à jour ordinaire. Faites valider faits par responsable technique et demandez déclaration des exceptions. Projet prévu ne signifie pas contrôle déployé.

Un scénario hypothétique à tester

Une société déclare une MFA universelle alors qu’un accès distant reste protégé par mot de passe seul. Cet exemple est fictif : il ne décrit pas un sinistre réel ni un versement promis. Reconstituez les étapes entre premier signal et retour au service normal. Demandez ce qui arriverait pendant les vacances ou le pic annuel. Le test doit révéler les hypothèses de disponibilité et de calendrier avant de s’y fier.

Pendant migration, décrivez coexistence ancien accès et nouvelle protection au lieu de répondre pour plateforme neuve seule. Gardez questionnaire et précision assureur avec police. Une modification de sécurité doit entraîner vérification des conditions déclarées, pas jugement improvisé d’un commercial non technique. Le questionnaire devient état daté fiable avec responsables, plutôt que réponses optimistes pour réduire prime. Les travaux non terminés doivent rester présentés comme tels jusqu’à vérification documentée.

Identifier la frontière contractuelle

Traduisez les questions absolues en inventaire. « Tous les utilisateurs » peut inclure prestataires, administrateurs et comptes de service selon la définition. En cas de doute, demandez une précision plutôt qu’un oui optimiste ; datez le périmètre contrôlé.

Comparer les clauses, puis le prix

Soumettez le même scénario à chaque assureur et demandez des précisions sur définitions du questionnaire, exceptions déclarées, conditions continues et modifications. Exigez clause et explication écrite des incertitudes. Une extension doit figurer dans la police, pas seulement dans la discussion commerciale. Vérifiez aussi l’entité signataire et les lieux déclarés.

Réduire l’exposition avant de la transférer

Une première mesure consiste à valider les réponses avec le responsable technique avant signature et documenter les exceptions. Nommez un responsable, une date et un test simple d’efficacité. Les procédures comptent si les équipes peuvent les trouver et les utiliser sous pression. Organisez un exercice avec les intervenants réels, en simulant l’absence d’un collaborateur clé. Conservez le résultat du test et les améliorations nécessaires, puis vérifiez leur réalisation.

Les preuves et la prochaine révision

Préparez rapports MFA, tableaux de correctifs, inventaires d’accès et questionnaires signés. Datez les pièces et gardez une copie accessible hors du processus concerné. Gardez hors ligne coordonnées de l’assureur, plan d’incident et escalade fournisseurs. Déclarer un sinistre ne remplace pas une notification réglementaire requise. Revoyez le dispositif lors des changements d’activité, technologie, locaux ou partenaires. Faites valider les points sensibles avant toute résiliation du contrat existant.