Sécurité d'un site web : les questions à poser à une agence avant de signer

Selon une dépêche du Monde.fr, un audit approfondi a été demandé à l'Anssi, l'agence française de cybersécurité, à la suite d'un piratage du site des impôts. Nous ne connaissons de cette affaire que ce qu'indique ce titre et nous n'en tirons aucune conclusion technique. Elle rappelle en revanche une évidence utile pour toute entreprise : aucun site n'est à l'abri, et la question pertinente n'est pas seulement de prévenir, mais de savoir réagir.

Le premier sujet à aborder avec une agence est l'hébergement. Qui héberge, dans quel pays sont stockées les données, quelle est la disponibilité annoncée, existe-t-il un environnement de test distinct de la production ? Demandez également si l'hébergement est facturé en direct par le fournisseur ou refacturé par l'agence, et à quel nom le contrat est ouvert. Cette dernière question conditionne votre capacité à reprendre la main.

Le deuxième sujet est la maintenance. Un site reposant sur un gestionnaire de contenu et des extensions doit être mis à jour régulièrement, faute de quoi les vulnérabilités connues restent ouvertes. Le contrat doit préciser la fréquence des mises à jour, ce qu'elles couvrent, qui vérifie que le site fonctionne toujours après application, et ce qui se passe si une mise à jour casse une fonctionnalité.

Le troisième sujet est la sauvegarde. Une sauvegarde n'a de valeur que si elle est stockée séparément du serveur de production, qu'elle couvre à la fois les fichiers et la base de données, et qu'elle a déjà été restaurée avec succès au moins une fois. Demandez la fréquence, la durée de conservation et surtout le délai de remise en ligne annoncé en cas d'incident majeur.

Le quatrième sujet est le plan de réponse à incident. Qui prévenir, dans quel délai, quel numéro ou quelle adresse joindre en dehors des heures ouvrées, qui pilote les opérations techniques et qui rédige la communication vers vos clients. Ce plan doit exister sur papier avant l'incident : improviser un dimanche soir coûte beaucoup plus cher que de l'écrire à froid.

Le volet données personnelles complète l'ensemble. Si l'agence traite des données pour votre compte, un contrat de sous-traitance au sens du règlement général sur la protection des données doit préciser les finalités, les mesures de sécurité, le recours éventuel à d'autres sous-traitants et l'obligation de vous alerter sans délai en cas de violation de données. La CNIL met à disposition des ressources pour cadrer cette relation.

Ajoutez quelques vérifications simples que vous pouvez mener vous-même : la gestion des accès administrateurs, avec des comptes nominatifs plutôt qu'un identifiant partagé, la suppression des accès des anciens prestataires et salariés, l'activation d'une double authentification, et la présence d'une assurance de responsabilité professionnelle chez le prestataire.

Enfin, méfiez-vous des offres où la sécurité n'apparaît nulle part dans le devis. Un site livré sans maintenance ni sauvegarde n'est pas moins cher : la dépense est simplement reportée, et elle arrivera au pire moment. Faites chiffrer le coût récurrent dès la consultation et comparez les offres sur ce total, pas sur le seul prix de création.