Cybersécurité : les exigences à inscrire dans un contrat de prestation

L'information rapportée par l'Agence du Numérique en Santé porte sur le renforcement de la cybersécurité des établissements de santé. Nous n'en connaissons que l'intitulé et ne prétendons donc pas résumer le détail du dispositif. En revanche, le sujet qu'elle met en avant concerne toutes les entreprises qui confient un site, une application, un CRM ou des données clients à un prestataire extérieur. La question n'est pas de savoir si votre agence est « sérieuse » : c'est de savoir ce que le contrat prévoit précisément, et ce qui se passe le jour où quelque chose tombe.

Le premier point à traiter est l'hébergement. Demandez où sont physiquement stockées les données que le prestataire va manipuler, qui est l'hébergeur réel derrière l'offre commerciale, et sous quel régime juridique il opère. Une agence qui revend une infrastructure sans savoir vous dire qui l'exploite n'est pas en mesure de vous garantir grand-chose. Si vos données comportent des informations personnelles sensibles, la question de l'hébergement devient une question de conformité autant que de sécurité, et elle mérite une réponse écrite dans la proposition commerciale.

Le deuxième point est la gestion des accès. Combien de personnes chez le prestataire disposent d'un accès à votre environnement de production ? Ces accès sont-ils nominatifs ou partagés ? Existe-t-il une authentification à double facteur ? Et surtout, quelle est la procédure quand un collaborateur quitte l'agence ou que la mission se termine ? Un compte administrateur oublié pendant deux ans après la fin d'un contrat est un scénario banal et parfaitement évitable. Exigez que la restitution et la révocation des accès figurent explicitement dans les conditions de fin de mission.

Le troisième point est la sauvegarde. Une phrase du type « les sauvegardes sont assurées » ne vaut rien. Ce que vous devez obtenir, c'est une fréquence, une durée de rétention, un lieu de stockage distinct de la production, et surtout la preuve qu'une restauration a déjà été testée. Une sauvegarde que personne n'a jamais restaurée est une hypothèse, pas une protection. Demandez à quelle date le dernier test de restauration a été réalisé : la qualité de la réponse vous en dira long sur le niveau de maturité opérationnelle du prestataire.

Le quatrième point est le plan de réaction en cas d'incident. Qui appelez-vous, à quel numéro, dans quel délai obtenez-vous une réponse, et qui prend la décision de couper un service compromis ? Ces éléments doivent être écrits avant l'incident, parce qu'au moment où il survient, personne n'a le temps de les négocier. Prévoyez également l'obligation pour le prestataire de vous notifier tout incident de sécurité le concernant, y compris lorsqu'il touche un autre de ses clients sur une infrastructure mutualisée.

Ces exigences ne sont pas réservées aux grandes structures ni aux secteurs réglementés. Une TPE qui perd son site e-commerce, sa base clients ou ses accès de messagerie subit un dommage proportionnellement plus lourd qu'un grand groupe, parce qu'elle n'a ni équipe interne ni plan de continuité. Le coût de ces clauses dans un contrat est nul : il s'agit de questions posées et de réponses consignées, pas de prestations supplémentaires à acheter.

En pratique, préparez une liste de six à huit questions et posez-les à chaque candidat lors de la consultation, avant même de comparer les prix. Vous verrez immédiatement se dessiner deux catégories de prestataires : ceux qui répondent avec précision parce qu'ils ont déjà formalisé ces sujets, et ceux qui répondent par des généralités rassurantes. Ce tri, à lui seul, vaut plus qu'une longue grille d'évaluation technique.

Enfin, gardez à l'esprit que la sécurité reste une responsabilité partagée. Même avec un contrat solide, vos propres pratiques comptent : mots de passe, gestion des comptes internes, mises à jour, sensibilisation des équipes. Les dispositifs publics d'accompagnement, notamment ceux portés par Cybermalveillance.gouv.fr et l'ANSSI, proposent des ressources gratuites pour structurer cette partie sans expertise préalable.