Prestataires et cybersécurité : les clauses à exiger avant d’ouvrir vos accès

D’après le titre publié par Cybermalveillance.gouv.fr, le dispositif public consacre une entrée dédiée aux prestataires. Le message de fond intéresse toute entreprise qui externalise : votre exposition au risque numérique ne s’arrête pas à votre propre système d’information. Une agence web, un prestataire marketing ou un intégrateur manipule des accès, des bases de contacts, parfois des données de paiement. Le sujet doit donc apparaître explicitement dans votre consultation, au même titre que le prix et le délai.

Commencez par cartographier ce que le prestataire va réellement toucher. Listez les systèmes concernés, les catégories de données auxquelles il accédera, les personnes de son équipe qui auront des droits et la durée de ces accès. Cette liste tient sur une page et change complètement la nature de la discussion commerciale. Elle vous permet aussi de calibrer votre exigence : un prestataire qui produit des visuels n’a pas besoin des mêmes droits qu’un intégrateur qui déploie en production.

Envoyez ensuite un questionnaire sécurité court avec votre appel d’offres, dix à quinze questions maximum. Demandez qui héberge les données et dans quel pays, comment sont gérés les mots de passe et l’authentification multifacteur, si la sous-traitance est pratiquée et auprès de qui, quelle est la politique de sauvegarde, et s’il existe une procédure documentée en cas d’incident. Vous n’attendez pas des réponses parfaites, vous mesurez le niveau de maturité. Une agence incapable de répondre en quelques jours n’a probablement pas de pratique établie.

Sur la gestion des accès, appliquez trois règles simples et non négociables. Des comptes nominatifs pour chaque intervenant, jamais un compte partagé transmis par message. Le principe du moindre privilège, c’est-à-dire uniquement les droits nécessaires à la mission en cours. Et une procédure de révocation immédiate quand une personne quitte le projet ou quand la mission se termine. Tenez un tableau des accès ouverts, avec la date d’ouverture et la date de fermeture prévue, et relisez-le à chaque jalon.

Si le prestataire traite des données personnelles pour votre compte, le cadre juridique impose un contrat de sous-traitance écrit, précisant l’objet, la durée, la nature du traitement, les obligations de sécurité et le sort des données en fin de contrat. Ce document n’est pas une formalité administrative : c’est ce qui vous permet d’exiger la suppression ou la restitution des données à la fin de la mission. Faites-le signer avant l’ouverture des premiers accès, pas en fin de projet. Exigez aussi l’accord préalable écrit avant toute sous-traitance en cascade.

Traitez la question des sauvegardes et de la continuité comme un livrable, pas comme une bonne intention. Demandez la fréquence des sauvegardes, leur lieu de stockage, leur durée de conservation et, surtout, la dernière date à laquelle une restauration a été testée. Une sauvegarde qui n’a jamais été restaurée n’est pas une sauvegarde. Faites préciser le délai de remise en service en cas de panne majeure et vérifiez que ce délai est compatible avec votre activité réelle.

Prévoyez enfin le scénario d’incident avant qu’il n’arrive. Le contrat doit indiquer un délai maximal de notification en cas de compromission, un contact identifié et joignable, et l’engagement de vous transmettre les éléments techniques nécessaires à vos propres démarches. Ajoutez une clause de coopération en cas de dépôt de plainte ou de déclaration à l’autorité compétente. Ce niveau de détail est standard chez les prestataires sérieux, et son absence est en soi une information.

Terminez par la réversibilité, qui est la clause la plus souvent oubliée. Exigez la restitution des données dans un format exploitable, la remise des codes sources et de la documentation, le transfert des comptes et noms de domaine à votre nom, puis la suppression attestée des copies détenues par le prestataire. Chiffrez cette prestation de sortie dès le devis initial, sinon elle vous sera facturée au prix fort au pire moment. Une sortie propre prévue à la signature vaut mieux qu’une négociation en urgence après une rupture.