Cybersécurité : comment évaluer un prestataire avant de lui confier vos données

Le média spécialisé ICTjournal a publié une dépêche intitulée « Dans quelle mesure les PME suisses se sentent prêtes face aux cybermenaces ? ». Nous ne disposons pas ici du détail des résultats, et nous n'en inventerons pas. Mais la formulation même du titre pointe quelque chose d'utile pour toute entreprise française : il y a un écart possible entre le sentiment de préparation et la préparation réelle. Cet écart se retrouve à l'identique chez les prestataires à qui vous confiez vos systèmes.

Or, une agence web, une agence SEO, un intégrateur ERP ou une régie infogérance détiennent en pratique des accès très larges : hébergement, base de données clients, messagerie, comptes publicitaires, outils analytiques, parfois les identifiants de votre nom de domaine. Le maillon faible d'une PME est régulièrement un compte prestataire mal protégé, et non son propre système d'information. La sécurité n'est donc pas un sujet technique annexe : c'est un critère de choix au même titre que le prix ou la créativité.

Vous n'avez pas besoin d'être expert pour poser les bonnes questions. Demandez à chaque candidat comment sont stockés vos mots de passe et vos clés d'accès, si l'authentification à deux facteurs est imposée à l'ensemble de ses collaborateurs, comment les accès sont révoqués lorsqu'un salarié quitte l'agence, et où sont hébergées les données. La qualité de la réponse est en elle-même un signal : un prestataire structuré répond en quelques minutes, sans se troubler, et vous montre son outil de gestion des secrets.

Interrogez ensuite la chaîne de sous-traitance. Beaucoup d'agences s'appuient sur des freelances, des studios offshore ou des hébergeurs tiers. Vous avez le droit de savoir qui accède à vos données et depuis quel pays. Si des données personnelles de vos clients ou salariés sont concernées, le cadre du RGPD s'applique : un contrat de sous-traitance conforme, une localisation identifiée des traitements et une information claire sur les transferts hors Union européenne ne sont pas des options de confort.

Traitez aussi l'après-incident, car il arrivera un jour à quelqu'un. Faites préciser dans le contrat le délai dans lequel le prestataire s'engage à vous notifier une compromission, la personne à joindre en dehors des heures ouvrées, la fréquence des sauvegardes, leur durée de rétention et surtout la date du dernier test de restauration. Une sauvegarde jamais restaurée n'est pas une sauvegarde, c'est une hypothèse.

Attention à un biais fréquent en appel d'offres : le prestataire qui parle le mieux de sécurité n'est pas toujours le plus sûr, et l'inverse est vrai aussi. Privilégiez le vérifiable au déclaratif. Demandez des éléments concrets : une procédure écrite, une politique de mots de passe, un registre des accès, le nom de l'hébergeur et de son centre de données, la mention d'audits ou de tests d'intrusion réalisés. Les certifications sont un indice, jamais une garantie à elles seules.

Enfin, gardez la main sur ce qui vous appartient. Votre nom de domaine, vos comptes publicitaires, votre compte d'analyse d'audience et votre hébergement doivent être détenus par votre entreprise, le prestataire y étant simplement invité avec les droits nécessaires. C'est la mesure la plus simple, la moins coûteuse, et celle qui vous évitera le plus de difficultés le jour où la relation prendra fin, quelle qu'en soit la raison.

En pratique, une page de questions de sécurité annexée à votre cahier des charges suffit à départager les candidats. Vous n'évaluez pas leur niveau technique absolu : vous évaluez leur sérieux, leur transparence et leur capacité à documenter ce qu'ils font de vos données.