La dépendance croissante des entreprises envers les prestataires de services informatiques (MSP) expose ces dernières à des risques cyber majeurs. Des décisions de justice récentes soulignent la responsabilité partagée et la nécessité pour les dirigeants de PME d'imposer des garde-fous stricts pour protéger leurs infrastructures et leurs données.
Contrôler les accès et la traçabilité des interventions
Les prestataires disposant d'accès administrateur, ils constituent une cible privilégiée pour les attaquants cherchant à infiltrer les systèmes clients. Il est impératif d'exiger que chaque technicien utilise un compte nominatif protégé par une double authentification, proscrivant ainsi les identifiants partagés. La transparence sur les journaux de connexion est également cruciale : ces fichiers, qui recensent les accès avec horodatage et adresse IP, sont indispensables pour reconstituer le cheminement d'une intrusion. Les entreprises doivent contractualiser la durée de conservation de ces logs et leur droit d'accès immédiat en cas d'incident.
Vérifier les qualifications et la réalité des certifications
Si les labels comme ExpertCyber, délivré par Cybermalveillance.gouv.fr, offrent une garantie de compétence, ils ne doivent pas être les seuls critères de sélection. Pour les structures manipulant des données sensibles, la qualification PAMS de l'ANSSI représente un niveau d'exigence supérieur. Concernant la norme ISO 27001, la vigilance est de mise : il est nécessaire de vérifier le périmètre exact de la certification, car elle peut couvrir un centre de données sans garantir la sécurité des pratiques opérationnelles de l'équipe de support intervenant sur vos machines.
Sécuriser les sauvegardes et la configuration technique
Les erreurs de configuration, telles que la livraison de serveurs sans pare-feu ou l'absence de tests de restauration des sauvegardes, sont à l'origine de préjudices financiers lourds. Les contrats doivent être exempts d'ambiguïté sur la responsabilité de la surveillance des sauvegardes. Par ailleurs, la liste des sous-traitants du prestataire doit être exigée, conformément aux obligations du RGPD, pour éviter toute fuite de données non autorisée vers des tiers inconnus.
Formaliser les besoins par un cahier des charges rigoureux
L'absence de cahier des charges formel fragilise la position juridique du client en cas de litige. Ce document doit lister précisément les actifs critiques, les délais d'intervention attendus et les modalités de sortie de contrat, incluant la restitution impérative de tous les mots de passe administrateur. Alors que le cadre législatif européen, notamment via la directive NIS2, renforce les obligations de sécurité sur la chaîne d'approvisionnement, la responsabilité finale de la résilience numérique demeure une prérogative du dirigeant d'entreprise.