choisirsonagence· 3 min de lecture
Cyberattaque et phishing : ce qu'une PME doit exiger de son prestataire digital
Une actualité destinée aux dirigeants de PME rappelle que la cybersécurité n'est plus un sujet réservé aux grands groupes. Pour une entreprise qui externalise son site ou son informatique, cela se traduit par des exigences précises à inscrire dans le contrat.
Selon le média, qui s'adresse aux dirigeants de petites et moyennes entreprises, les PME doivent se saisir des sujets de cyberattaque, de phishing et de fraude. Le constat est connu, mais il laisse une question ouverte pour beaucoup de dirigeants : que faire concrètement lorsque le site, la messagerie ou l'infrastructure sont gérés par un prestataire extérieur ?
Première clarification à obtenir : qui est responsable de quoi. Dans la plupart des relations avec une agence web ou une ESN, la sécurité est un angle mort contractuel. Faites établir une répartition écrite : mises à jour du site et des extensions, sauvegardes, gestion des accès, surveillance, réponse en cas d'incident. Tant que ce tableau n'existe pas, chacun supposera que c'est l'autre qui s'en occupe.
Deuxième point : les sauvegardes. Demandez leur fréquence, leur durée de rétention, leur emplacement, et surtout la dernière date à laquelle une restauration complète a été testée. Une sauvegarde jamais restaurée n'est pas une sauvegarde, c'est une hypothèse. Un prestataire sérieux vous donnera une date, pas une intention.
Troisième point : la gestion des accès. Combien de personnes chez le prestataire disposent d'un accès administrateur à votre site, à votre hébergement, à vos comptes publicitaires ? L'authentification à deux facteurs est-elle imposée ? Que se passe-t-il quand un collaborateur quitte l'agence ? Demandez la procédure de révocation des accès, et faites-la appliquer aussi de votre côté.
Quatrième point : le phishing vise d'abord vos équipes, pas vos serveurs. Les fraudes au faux fournisseur ou au faux dirigeant reposent sur des procédures internes faibles, en particulier sur les changements de coordonnées bancaires. Aucun prestataire technique ne vous protégera de cela : c'est une règle interne à écrire, du type double validation par un canal différent pour tout changement de RIB.
Cinquième point : le scénario d'incident. Demandez à votre prestataire ce qui se passe un samedi matin si votre site est compromis. Qui appelez-vous, sous quel délai obtenez-vous une réponse, qui décide de couper le service, qui communique ? Un engagement de délai, même modeste, vaut mieux qu'une assistance implicite.
Sixième point : la conformité. Une violation de données personnelles entraîne des obligations, notamment de notification, et la relation avec un sous-traitant qui traite des données pour vous doit être encadrée par un contrat conforme au RGPD. Vérifiez que ce document existe et qu'il correspond à ce que le prestataire fait réellement.
En pratique, ces exigences ne coûtent presque rien si elles sont posées avant la signature, et deviennent très coûteuses après un incident. Les dispositifs publics gratuits, comme les ressources de Cybermalveillance.gouv.fr et les guides de l'ANSSI destinés aux petites structures, permettent de bâtir cette grille sans budget de conseil.
Questions fréquentes
Une PME est-elle vraiment concernée par les cyberattaques ?
Oui. Les attaques les plus fréquentes, comme le phishing et la fraude au virement, ne visent pas une taille d'entreprise mais une faiblesse de procédure. Les dispositifs publics d'accompagnement s'adressent explicitement aux petites structures.
Que doit contenir le volet sécurité d'un contrat avec une agence web ?
La répartition des responsabilités, les mises à jour, la fréquence et le test des sauvegardes, la gestion et la révocation des accès, un délai de réaction en cas d'incident, et le contrat de sous-traitance RGPD.
Vers qui se tourner en cas d'incident quand on n'a pas de service informatique ?
Le dispositif public Cybermalveillance.gouv.fr oriente les entreprises victimes vers les démarches et les prestataires référencés. Prévoyez aussi le contact de votre hébergeur et de votre banque avant d'en avoir besoin.