Des responsabilités claires facilitent la collaboration entre l’entreprise, son prestataire informatique et son partenaire de sécurité.
Lorsque vous êtes satisfait de votre prestataire informatique, entendre qu’il vous faudrait un service supplémentaire peut agacer. Vos ordinateurs fonctionnent. Quelqu’un répond en cas de problème. Vous payez déjà un abonnement mensuel qui comprend des prestations présentées comme de la sécurité.
Pourquoi en ajouter ?
La question est légitime. Avant de prendre un engagement supplémentaire, une entreprise doit comprendre la valeur de ce qu’elle achète déjà. Et un cabinet de conseil en cybersécurité doit pouvoir expliquer ce qu’un accompagnement complémentaire changerait concrètement.
Chez WinTech Security, notre approche est simple : commencez par vérifier ce qui est déjà couvert. La sécurité gérée mérite d’être envisagée lorsqu’elle répond à une lacune importante que vos dispositifs actuels laissent subsister.
Votre prestataire informatique doit participer à la discussion
Un bon accompagnement informatique permet à l’entreprise de fonctionner. Il peut comprendre la maintenance des systèmes, l’assistance aux équipes, la gestion des accès, les mises à jour et la résolution des problèmes courants. Selon le contrat, il peut aussi inclure des capacités de sécurité importantes.
Certains prestataires disposent de leurs propres spécialistes en cybersécurité. D’autres travaillent avec un partenaire dédié. D’autres encore proposent un service plus limité, adapté aux besoins de leur clientèle.
Les seuls termes « assistance informatique » ou « services gérés » ne permettent pas de savoir dans quelle situation vous vous trouvez. Le contrat et la manière dont les prestations sont réalisées vous en apprendront davantage.
Le National Cyber Security Centre britannique insiste sur un point similaire dans son guide pour choisir un prestataire de services gérés (en anglais): comprendre les services fournis et préciser les responsabilités dans le contrat.
Associez donc votre prestataire actuel dès le départ. Il connaît votre environnement et dispose peut-être déjà de réponses solides aux questions que vous allez poser.
Suivez le parcours d’une alerte jusqu’au bout
Imaginez un petit cabinet de services professionnels. Les salariés sont rentrés chez eux et un ordinateur portable professionnel est resté connecté. À 22 h 17, un logiciel de sécurité détecte une activité suspecte.
Une alerte a été déclenchée. Que se passe-t-il ensuite ?
Quelqu’un doit déterminer si cette activité nécessite une intervention. Si c’est le cas, il peut être nécessaire d’isoler l’ordinateur, d’examiner les activités associées et de mobiliser les bons interlocuteurs. Il faudra ensuite traiter la cause du problème et déterminer quand l’appareil pourra être réutilisé en toute sécurité.
Cet exemple fictif permet de mettre à l’épreuve une description de service. Demandez à votre prestataire de vous expliquer le déroulement prévu. Une personne examinerait-elle l’alerte le soir même ? Une action automatique serait-elle déclenchée ? Une demande d’intervention attendrait-elle le lendemain matin ? Qui pourrait autoriser le confinement de la menace et qui vous tiendrait informé ?
Les recommandations du NIST sur la réponse aux incidents (en anglais) prévoient de définir à l’avance la coordination avec les prestataires et leur autorité pour agir. Ces précisions ont des conséquences très concrètes lorsqu’une décision ne peut pas attendre la prochaine réunion.
Traduisez les descriptions de services en responsabilités précises
La sécurité gérée apporte généralement un suivi de sécurité dans un périmètre convenu : surveiller certains systèmes, analyser les activités suspectes, mener des actions de réponse définies et rendre compte des points qui nécessitent une attention. Le contenu varie sensiblement d’une offre à l’autre.
Pour faire le point utilement, il faut entrer dans le détail :
| Domaine | Ce qu’il faut préciser |
|---|---|
| Appareils et comptes | Quels ordinateurs portables, serveurs, comptes cloud et autres ressources sont inclus ? |
| Surveillance | Quelles activités sont collectées et examinées, et à quels horaires ? |
| Réponse | Quelles actions le prestataire peut-il mener et dans quels cas votre accord est-il nécessaire ? |
| Correction | Qui applique les correctifs, modifie les paramètres et vérifie que les faiblesses identifiées ont été traitées ? |
| Reprise | Qui mène l’investigation, rétablit les services et autorise le retour au fonctionnement normal ? |
Le guide du Centre canadien pour la cybersécurité destiné aux clients de services gérés recommande de convenir des attentes de service, des responsabilités en cas d’incident, des modalités d’escalade et de l’accès aux journaux techniques avant de signer.
Portez une attention particulière aux passages de relais. Un prestataire peut identifier une vulnérabilité et transmettre un rapport, tout en laissant à votre équipe informatique le soin d’appliquer le correctif. Cette organisation peut très bien fonctionner. Encore faut-il qu’une personne, à réception du rapport, dispose du temps, des accès et de la responsabilité nécessaires pour aller au bout du travail.
Vérifiez ce que couvre réellement le « 24 h/24 et 7 j/7 »
Une proposition peut annoncer une protection, une surveillance ou une assistance disponible en permanence. Demandez au prestataire de préciser quelles activités se poursuivent effectivement à toute heure.
La détection automatique, l’analyse humaine, le confinement technique, la communication avec le client et l’aide à la reprise sont des activités distinctes. Un service peut assurer une surveillance continue et certaines actions de confinement convenues, tout en réalisant d’autres travaux pendant les heures ouvrées.
Vous devez savoir ce qui se passera pendant la nuit et ce qui sera pris en charge ensuite. Demandez qui contactera votre entreprise, par quel moyen et selon quelle procédure si le premier interlocuteur est indisponible.
Vérifiez également si les délais annoncés constituent des engagements contractuels ou des objectifs de service. Les recommandations du Centre canadien pour la cybersécurité sur l’acquisition de services de centre opérationnel de sécurité, ou SOC , abordent le périmètre, les responsabilités et les attentes de performance. Elles offrent des repères utiles pour comparer des offres dont le vocabulaire se ressemble.
Les services cloud ont aussi besoin d’être administrés
Un dirigeant peut raisonnablement penser que le recours à une grande plateforme cloud lui épargne une bonne partie du travail de sécurité. Certaines responsabilités passent effectivement au fournisseur. D’autres restent à la charge de l’entreprise et des personnes qui l’accompagnent.
La documentation de Microsoft sur le partage des responsabilités explique que les clients conservent notamment des responsabilités sur les identités, les accès, les données et les paramètres qu’ils contrôlent.
Pour une petite entreprise, cela conduit à des questions pratiques. Qui vérifie les droits d’accès ? Qui réexamine les paramètres de sécurité à mesure que l’équipe grandit ? Qui repère un compte qui aurait dû être désactivé ?
Votre prestataire actuel s’en charge peut-être. Confirmez-le et déterminez comment vous pourrez vérifier que ce travail se poursuit dans la durée.
Quand un accompagnement complémentaire devient-il pertinent ?
Le besoin se précise lorsque l’examen fait apparaître une lacune susceptible d’avoir une conséquence importante sur l’activité.
Peut-être que personne n’analyse les alertes de sécurité en dehors des heures de bureau. Peut-être que votre équipe informatique reçoit des rapports de vulnérabilités sans avoir la capacité de les traiter. Ou que l’entreprise détient désormais davantage d’informations clients sensibles, alors que ses dispositifs de sécurité ont peu évolué.
Ces situations appellent des réponses différentes. Une entreprise aura besoin de surveillance et de réponse aux incidents. Une autre cherchera de l’aide pour mener les corrections à terme. Une troisième devra d’abord faire évaluer sa situation pour savoir où concentrer ses efforts.
Pour une première approche plus générale, consultez notre article Cybersécurité : par où commencer quand on dirige une petite entreprise ?
La taille de l’entreprise, à elle seule, est un mauvais critère d’achat. Une petite structure qui traite des dossiers clients sensibles peut avoir un réel besoin de compétences spécialisées. Une organisation plus grande, dotée d’une équipe interne compétente, peut déjà assurer le travail nécessaire.
Si votre prestataire actuel peut démontrer une couverture adaptée, des responsabilités claires et un suivi fiable, un service supplémentaire ne se justifie peut-être pas. Un examen utile doit aussi pouvoir aboutir à cette conclusion.
Préparez un échange concret
Reprenez votre contrat actuel et demandez à votre prestataire de parcourir avec vous le scénario d’une alerte en soirée. Notez qui repère le problème, qui intervient, qui vous informe et qui termine le travail par la suite.
Comparez ensuite ce fonctionnement aux besoins de votre entreprise. S’il reste une lacune, demandez une proposition qui y réponde directement et qui précise comment les différents intervenants travailleront ensemble.
Chez WinTech Security, c’est la discussion que nous souhaitons avoir avant de recommander une protection complémentaire. L’offre de sécurité gérée de WinTech Security peut s’intégrer à votre organisation informatique existante, avec un périmètre et une répartition des responsabilités définis pour votre environnement.
La valeur d’un service supplémentaire doit apparaître dans cette explication : une tâche importante est prise en charge, un passage de relais délicat devient clair ou un risque bénéficie enfin de l’attention qui lui manquait.
La sécurité gérée de WinTech Security
Elle s’intègre à votre organisation informatique existante, avec un périmètre et une répartition des responsabilités définis pour votre environnement.