Sécurité numérique du Louvre : ce qu'un audit qui refait surface enseigne sur le choix d'un prestataire web

D'après Siècle Digital, un audit portant sur la sécurité numérique du musée du Louvre, qualifié d'accablant par la presse, est revenu dans l'actualité. Sans entrer dans le détail des constats, qui relèvent de la dépêche d'origine, cette affaire illustre une réalité que beaucoup d'entreprises découvrent trop tard : un système d'information peut fonctionner en apparence tout en accumulant des vulnérabilités connues mais non traitées.

Pour une entreprise qui s'apprête à confier son site, sa boutique en ligne ou ses outils métiers à une agence web, la leçon est directe. La qualité visible d'un livrable, une interface soignée, un site rapide, ne dit rien de sa robustesse face aux risques informatiques. La sécurité se joue dans des choix techniques peu spectaculaires : mises à jour, gestion des accès, sauvegardes, hébergement, chiffrement des échanges.

Premier critère de décision : interrogez chaque agence candidate sur sa politique de maintenance et de mise à jour. Un site livré puis laissé sans suivi devient progressivement vulnérable, car les composants qu'il utilise, système de gestion de contenu, extensions, bibliothèques, font l'objet de correctifs réguliers. Demandez ce que couvre concrètement le contrat de maintenance et à quelle fréquence les mises à jour sont appliquées.

Deuxième critère : la gestion des comptes et des mots de passe. Demandez comment l'agence gère les accès à votre hébergement, qui détient les identifiants d'administration et ce qui est prévu en fin de contrat. Un prestataire sérieux documente les accès, applique le principe du moindre privilège et vous restitue l'ensemble des identifiants sans difficulté si la collaboration s'arrête.

Troisième critère : la capacité à faire auditer son travail. Une agence de confiance ne craint pas qu'un tiers examine son code ou sa configuration. Vous pouvez prévoir, dans le contrat, la possibilité de faire réaliser un audit de sécurité indépendant, surtout si votre site traite des données personnelles ou des paiements. La réaction du prestataire à cette simple demande est déjà un indicateur.

Quatrième critère : le plan de réaction en cas d'incident. Demandez ce qui se passe concrètement si votre site est compromis : délais d'intervention, existence de sauvegardes testées, procédure de restauration, communication. En France, des ressources publiques comme le dispositif Cybermalveillance.gouv.fr aident les organisations à se préparer ; une agence qui connaît ces référentiels montre qu'elle prend le sujet au sérieux.

Enfin, gardez à l'esprit que la sécurité est un processus, pas un état. L'exemple relayé par la presse à propos du Louvre montre qu'un audit n'a de valeur que si ses recommandations sont suivies d'effet. Lors de vos échanges avec les agences, privilégiez celles qui parlent d'amélioration continue et de suivi dans le temps plutôt que celles qui promettent une sécurité totale, promesse qu'aucun professionnel honnête ne peut tenir.