choisirsonagence· 2 min de lecture
Cybersécurité et données sensibles : les garanties à exiger d'un prestataire
Un rappel récent sur la cybersécurité des établissements de santé, relayé par l'Agence du Numérique en Santé, remet en lumière une question que toute entreprise manipulant des données sensibles devrait se poser avant de choisir un prestataire. Santé, juridique, finance : dans ces secteurs, la sécurité numérique n'est plus un détail technique mais un critère de sélection à part entière.
Selon l'Agence du Numérique en Santé, la cybersécurité des établissements de santé fait l'objet d'un effort de renforcement. Ce type de signal, même limité au secteur de la santé, concerne en réalité toute organisation qui confie des données sensibles à un prestataire externe : cabinets juridiques, acteurs de la finance, ressources humaines, ou toute entreprise gérant des données clients à caractère personnel.
La première question à poser à un prestataire numérique est simple : où sont hébergées les données, et par qui. Un hébergement en France ou dans l'Union européenne, chez un acteur clairement identifié, facilite le contrôle et la conformité réglementaire. Demandez le nom de l'hébergeur, son lieu d'implantation et le type de contrat qui vous lie à lui, même indirectement.
Les certifications constituent un deuxième niveau de vérification, à condition de comprendre ce qu'elles couvrent réellement. Une certification ISO 27001, par exemple, porte sur un système de management de la sécurité de l'information, pas sur un produit précis. Demandez systématiquement le périmètre exact certifié, sa date de validité et l'organisme qui l'a délivrée, plutôt que de vous contenter d'un logo sur un site.
La sous-traitance est souvent le maillon le plus fragile de la chaîne. Une agence peut elle-même s'appuyer sur des outils tiers, des hébergeurs cloud ou des prestataires techniques externes. Exigez une liste des sous-traitants impliqués dans le traitement de vos données, ainsi que les garanties contractuelles qui les lient à votre prestataire principal.
Sur le plan contractuel, un accord de traitement des données conforme au RGPD doit préciser les finalités, la durée de conservation, les mesures de sécurité mises en œuvre et les modalités en cas d'incident. Un prestataire sérieux dispose de ce document type et peut vous le fournir sans délai, sans avoir à le rédiger sur mesure pour vous convaincre.
Il est également utile de demander comment le prestataire gère les incidents : existe-t-il une procédure de notification, un délai d'alerte, un plan de continuité d'activité en cas de compromission. L'absence de réponse claire à cette question est souvent plus révélatrice que la réponse elle-même.
Enfin, pour les secteurs les plus exposés, il peut être pertinent de faire réaliser un audit de sécurité indépendant avant la signature, en particulier pour les projets impliquant des volumes importants de données sensibles. Ce coût, souvent limité au regard de l'enjeu, permet d'objectiver la solidité réelle du prestataire plutôt que de s'appuyer uniquement sur son discours commercial.
Questions fréquentes
Une certification ISO 27001 suffit-elle à garantir la sécurité des données ?
Non, elle atteste d'un système de gestion de la sécurité sur un périmètre donné. Il faut vérifier ce périmètre, sa date de validité et le compléter par des questions concrètes sur l'hébergement et la sous-traitance.
Faut-il un hébergement en France pour des données de santé ou juridiques ?
Ce n'est pas une obligation générale, mais un hébergement en France ou dans l'UE facilite la conformité réglementaire et le contrôle, notamment pour les données de santé qui relèvent d'un régime spécifique.
Comment vérifier la chaîne de sous-traitance d'un prestataire numérique ?
Demandez la liste écrite des sous-traitants impliqués dans le traitement de vos données ainsi que les clauses contractuelles qui encadrent leurs obligations vis-à-vis du prestataire principal.