Ce qui fait un bon Trust Center
Un Trust Center répond aux questions que les services achats et sécurité posent sans cesse, avant même qu’elles ne soient posées. Quels frameworks suivez-vous, et existe-t-il un certificat ou une attestation ? Qui est l’interlocuteur pour les questions de sécurité ? Comment les données sont-elles chiffrées, où sont-elles hébergées, comment gérez-vous les incidents ? Quels sous-traitants interviennent ?
Un Trust Center est bon lorsqu’il répond à ces questions de façon concrète et actuelle. Les phrases générales sur l’importance de la sécurité n’aident personne. Mieux vaut des informations courtes et vérifiables : quels domaines sont couverts, quels documents existent, quand ils ont été mis à jour pour la dernière fois.
L’actualité est le point le plus important. Une page avec un certificat expiré nuit davantage que l’absence de page. Dans Sightadel, les contenus proviennent du système dans lequel vous travaillez de toute façon. Les frameworks, les preuves et les sous-traitants y sont tenus à jour, et les actualités apparaissent datées sur la page.
Enfin, la visibilité compte. Ajoutez l’adresse à votre site web, à vos offres et à votre signature e-mail. Les commerciaux peuvent la mentionner tôt dans les échanges, et non seulement à l’arrivée du questionnaire.
Ce que vous publiez, et ce que vous ne publiez pas
Tout ce que vous approuvez dans le Trust Center est public. C’est la raison d’être de la page, et en même temps sa limite la plus importante. Avant approbation, vérifiez chaque document à la recherche d’informations qui pourraient aider des attaquants : noms de systèmes internes, adresses IP, plans de réseau, noms et numéros directs d’administrateurs, détails sur les produits de sécurité utilisés.
Conviennent bien les certificats, une version abrégée de la politique de sécurité de l’information, une présentation générale des mesures techniques et organisationnelles et la liste des sous-traitants. Les réponses aux questions fréquentes sont également appropriées, par exemple sur l’hébergement, le chiffrement ou la gestion des incidents de sécurité.
N’ont pas leur place sur la page publique les rapports d’audit complets, les politiques internes en texte intégral, les résultats de tests d’intrusion et les plans de crise. Ces documents, vous les communiquez sur demande à des clients individuels, en cas de doute uniquement après un accord de confidentialité.
Consultez la page hors connexion avant la publication et après chaque modification. C’est la seule façon de voir ce qu’un visiteur voit réellement. Chaque document est approuvé individuellement. Ce qui doit rester interne reste interne.
Comment le Trust Center raccourcit les questionnaires
Les questionnaires de sécurité des clients sont souvent longs, et la plupart des questions se répètent d’un client à l’autre. Lieu d’hébergement, chiffrement, contrôle d’accès, sauvegarde, gestion des incidents, formation des collaborateurs, sous-traitants : les réponses changent à peine.
Le Trust Center absorbe ces questions standard. De nombreux clients acceptent un lien comme réponse ou comme annexe au questionnaire. Vous ne répondez alors plus qu’aux questions réellement spécifiques, par exemple des particularités contractuelles ou des questions sur l’interconnexion avec les systèmes du client.
Pour que cela fonctionne, les informations du Trust Center et les réponses aux questionnaires doivent concorder. Tenez donc les réponses standard à jour en un seul endroit. Si quelque chose change, par exemple avec un nouveau sous-traitant, mettez d’abord à jour le Trust Center.
Pour les commerciaux, cela signifie que le lien doit intervenir tôt dans les échanges. Un prospect qui voit dès la phase de sélection quels frameworks vous suivez et quelles preuves existent pose moins de questions lors de l’achat. Les deux parties gagnent du temps.
Utile même sans certificat
Un Trust Center ne suppose pas de certificat. NIS2 n’impose aucune certification, et un certificat est également inhabituel pour le RGPD. Les clients demandent pourtant comment vous mettez en œuvre les exigences. Le Trust Center montre quels frameworks vous suivez activement et quelles mesures sont mises en œuvre.
Il est également utile sur le chemin d’une certification. Vous montrez que vous travaillez selon ISO 27001 et prévoyez un audit, sans revendiquer un certificat que vous n’avez pas encore. Soyez précis dans vos formulations. Ne parlez de certification qu’une fois que le certificat a été délivré par un organisme accrédité. Auparavant, une formulation comme « management de la sécurité de l’information inspiré de l’ISO 27001 » convient.
Sightadel ne certifie pas lui-même. L’audit est réalisé par un organisme externe et indépendant, issu du réseau de partenaires dans l’application ou librement choisi. Une fois le certificat obtenu, vous le chargez dans la bibliothèque de preuves, l’approuvez dans le Trust Center et publiez une actualité datée. Vos clients voient alors d’un coup d’œil depuis quand il est valable.
