Le directeur des systèmes d'information (DSI) a demandé à un fournisseur de lui fournir une documentation détaillant les objectifs spécifiques du cadre de conformité que les services du fournisseur respectent. Le fournisseur a fourni un rapport et une lettre signée indiquant que les services respectent 17 des 21 objectifs. Le fournisseur a fourni quoi au DSI ?

L'attestation de conformité est le document correct car elle représente une déclaration formelle d'un fournisseur confirmant que ses services respectent certains objectifs ou normes de conformité, souvent avec une indication du niveau de conformité atteint (ici, 17 sur 21 objectifs). Les résultats des tests d'intrusion sont des documents techniques détaillant les vulnérabilités trouvées lors d'un test de sécurité, pas une déclaration de conformité générale. Les conclusions d'auto-évaluation sont des rapports internes générés par le fournisseur lui-même, mais l'attestation est une déclaration plus formelle et souvent destinée à des tiers. Un rapport d'audit tiers serait un document généré par une entité indépendante ayant effectué un audit, ce qui n'est pas le cas ici puisque le fournisseur a fourni la lettre signée.