Conformité au SSPA de Microsoft
Si vous fournissez des services à Microsoft et que vous avez accès à ses données, à ses systèmes ou aux données de ses clients, vous êtes probablement tenu de suivre le programme d’assurance de la sécurité et de la confidentialité des fournisseurs (SSPA). C’est la manière dont Microsoft veille à ce que ses propres normes de sécurité et de confidentialité soient respectées tout au long de sa chaîne d’approvisionnement : vous acceptez les exigences en matière de protection des données, vous remplissez le profil approprié dans l’outil d’évaluation et, en fonction de vos activités pour Microsoft, vous devrez peut-être vous soumettre à une évaluation indépendante en plus de l’auto-attestation.
C’est là que les choses se compliquent
La difficulté du SSPA ne réside généralement pas dans une mesure de contrôle en particulier, mais dans le fait de déterminer quelles exigences en matière de protection des données s’appliquent réellement à votre mission spécifique, puis d’être en mesure d’étayer vos réponses par des preuves concrètes plutôt que par de simples bonnes intentions. Les exigences en matière de protection des données (DPR) couvrent un large éventail de domaines : le traitement et la classification des données, le contrôle d’accès, la réponse aux incidents, la gestion des sous-traitants et les obligations en matière de confidentialité, qui correspondent étroitement aux exigences de type RGPD. Si vous vous trompez dans la délimitation du champ d’application, soit vous répondez à des questions qui ne vous concernent pas, soit, pire encore, vous passez à côté de celles qui vous concernent et vous vous exposez à des sanctions.
Mon approche
Je commence par déterminer précisément quels types de données et d’accès sont réellement concernés par votre contrat avec Microsoft, car cela permet de définir quelles parties du DPR entrent dans le champ d’application et de déterminer si vous devez procéder à une auto-évaluation ou à un audit indépendant. À partir de là, je compare les exigences à vos pratiques réelles — et non à ce que votre document de politique indique que vous faites — et je constitue la piste de preuves qu’un évaluateur ou le service d’audit de Microsoft souhaitera examiner : journaux d’accès, contrats de sous-traitance, registres de réponse aux incidents, procédures de traitement des données.
Si une évaluation indépendante s’avère nécessaire, je vous aide à vous y préparer comme je le ferais pour tout audit formel : en comblant d’abord les lacunes connues, en veillant à ce que les personnes qui seront interrogées connaissent les mesures effectivement en place, et en m’assurant que vos réponses dans l’outil d’évaluation correspondent à ce qu’un évaluateur constatera lors de son examen.
À qui s'adresse ce document ?
Les entreprises entretenant une relation active ou potentielle avec Microsoft en tant que fournisseur, impliquant des données ou des systèmes Microsoft, ainsi que les équipes chargées des achats ou de la sécurité auxquelles une exigence SSPA assortie d’un délai a été confiée et qui ont besoin d’une personne ayant déjà géré le DPR.
Si une échéance SSPA figure dans votre agenda, contactez-nous afin que nous puissions nous y préparer à l’avance.