Agence du Numérique de Défense : le rappel utile pour évaluer la sécurité de vos prestataires

Disons-le franchement : cette actualité ne parle pas d'agences de communication ni de prestataires du secteur privé. Il s'agit d'une page du ministère des Armées consacrée à l'Agence du Numérique de Défense, et l'extrait dont nous disposons se limite au titre. Nous n'en tirerons donc aucune affirmation sur son périmètre, ses effectifs ou ses missions.

Ce que le sujet rappelle en revanche, c'est que le mot agence désigne des réalités très différentes, et que le numérique est aujourd'hui traité comme une infrastructure critique jusqu'au plus haut niveau de l'État. Une entreprise qui confie son site, ses données clients ou ses accès à un prestataire externe manipule, à son échelle, la même matière. Le niveau d'exigence, lui, est rarement au rendez-vous.

Traduction concrète pour votre prochaine consultation : ajoutez une section sécurité à votre brief, même pour un projet modeste. Précisez quelles données seront traitées, où elles seront hébergées, qui y aura accès et pendant combien de temps. Indiquez aussi si des sous-traitants interviennent, car c'est souvent par là que les accès fuient.

En rendez-vous, posez cinq questions simples. Comment gérez-vous les mots de passe et les accès partagés au sein de votre équipe ? L'authentification à deux facteurs est-elle activée sur tous les comptes clients ? Que faites-vous quand un collaborateur quitte l'agence ? Avez-vous déjà géré un incident de sécurité chez un client, et comment ? Quelles données de nos systèmes vos développeurs manipulent-ils réellement ?

Les réponses vous en apprendront plus qu'une certification affichée en pied de page. Une agence mature répond avec des procédures, cite un outil de gestion des accès et sait décrire ce qu'elle fait dans les vingt-quatre heures suivant un incident. Une agence fragile répond que tout va bien parce que rien n'est jamais arrivé.

Côté contrat, exigez au minimum : la propriété de vos noms de domaine, de vos hébergements et de vos comptes par votre entreprise, avec délégation d'accès révocable ; une clause de notification d'incident avec un délai chiffré ; l'interdiction de sous-traiter sans accord écrit ; la restitution complète des données et des sources en fin de contrat ; et la suppression documentée des copies détenues par l'agence.

Les signaux d'alerte sont nets. Un prestataire qui vous envoie des identifiants en clair par messagerie, qui utilise un compte administrateur unique partagé par toute l'équipe, ou qui refuse de préciser où sont hébergées vos données, prend des risques à votre place. Le fait que ce soit courant dans le métier n'en fait pas une norme acceptable.

Enfin, budgétez la sécurité comme une ligne à part : sauvegardes testées, mises à jour, supervision, plan de reprise. C'est le poste qu'on coupe en premier et qu'on regrette en dernier. Si vous consultez plusieurs agences, faites-leur remplir le même questionnaire de sécurité : la comparaison est souvent plus discriminante que les maquettes.