choisirsonagence· 2 min de lecture
Cybersécurité : quelles garanties demander à votre prestataire numérique
Selon Le Monde, à la suite d'un piratage visant le site des impôts, le ministre Sébastien Lecornu a demandé à l'ANSSI, l'agence française de cybersécurité, un audit approfondi. Cet épisode rappelle qu'aucune entreprise n'est à l'abri, et qu'exiger des garanties de sécurité de ses prestataires numériques devrait être un réflexe systématique.
L'information rapportée par Le Monde concernant la demande d'un audit approfondi confié à l'ANSSI après le piratage du site des impôts illustre une réalité que toute entreprise devrait intégrer : la sécurité numérique n'est jamais acquise, même pour des systèmes sensibles et surveillés. Face à ce type d'actualité, la question à se poser n'est pas seulement défensive, elle concerne aussi la manière dont on choisit ses propres prestataires.
Lorsqu'une entreprise confie son site, son hébergement ou ses outils à une agence, elle lui délègue une partie de sa sécurité. Or la sécurité est trop souvent un critère secondaire dans le choix d'un prestataire, reléguée derrière le prix ou le design, alors qu'elle devrait faire partie du cahier des charges dès le départ.
Avant de signer, il est raisonnable de demander à un prestataire numérique comment il gère les mises à jour de sécurité, le chiffrement des données, la gestion des accès et des mots de passe, ainsi que la journalisation des connexions. Ces éléments donnent une première indication du sérieux de son organisation.
Il est également légitime de demander des preuves concrètes plutôt que des déclarations d'intention : certifications obtenues, résultats d'un test d'intrusion récent, ou référence aux bonnes pratiques publiées par l'ANSSI sur cyber.gouv.fr. Un prestataire sérieux ne devrait pas être surpris par ce type de questions.
Sur le plan contractuel, plusieurs clauses méritent d'être négociées : l'obligation de notifier tout incident de sécurité dans un délai précis, la répartition des responsabilités en cas de faille, et un droit d'audit permettant de vérifier périodiquement les pratiques du prestataire pendant toute la durée du contrat.
Pour une PME, l'enjeu n'est pas de devenir experte en cybersécurité, mais de savoir poser les bonnes questions et de s'appuyer sur des repères reconnus. L'ANSSI met à disposition des guides accessibles, utilisables comme grille de lecture pour évaluer un prestataire, même sans compétence technique poussée en interne.
En définitive, intégrer la sécurité dès le cahier des charges coûte moins cher que de la découvrir après un incident. Un audit préalable, même léger, et des clauses claires dans le contrat constituent une protection minimale que toute entreprise devrait exiger avant de confier ses systèmes numériques à un tiers.
Questions fréquentes
Qu'est-ce qu'un audit de sécurité approfondi ?
Un examen technique et organisationnel visant à identifier les vulnérabilités d'un système d'information et les mesures nécessaires pour les corriger.
Où trouver des repères officiels en cybersécurité ?
L'ANSSI, agence française de cybersécurité, publie des guides et référentiels accessibles sur cyber.gouv.fr.
Quelles clauses de sécurité intégrer dans un contrat avec une agence ?
La notification d'incident, la gestion des accès, les sauvegardes et un droit d'audit périodique des pratiques du prestataire.