Comment évaluer un prestataire en cybersécurité avant de signer

Pour évaluer un prestataire en cybersécurité, vérifiez 5 points avant de signer : ce qu'il fera exactement, de quels accès il a besoin, comment il prouve sa propre sécurité, comment il rend compte des constats et des incidents, et ce que deviennent vos données à la fin du contrat. Demandez chaque réponse par écrit et comparez-la au contrat.

C'est important parce qu'un prestataire de sécurité est un fournisseur d'une portée inhabituelle. Certains se contentent de surveiller votre entreprise depuis l'extérieur, d'autres installent des agents sur chaque appareil, d'autres encore détiennent des identifiants administrateur. Le guide de la CISA destiné aux clients de prestataires de services managés le dit sans détour : externaliser la gestion informatique « ne dispense pas une organisation de ses responsabilités en matière de gestion des risques ».

Les questions ci-dessous valent pour les services de surveillance, les testeurs d'intrusion, les services managés de détection et de réponse, et les consultants.

1. Définir le périmètre en langage clair

Demandez au prestataire de décrire, en un paragraphe, ce qu'il fera et ce qu'il ne fera pas. Une bonne réponse nomme les actifs (domaines, plages d'IP, applications, appareils), les activités (surveillance, tests, configuration, réponse) et la fréquence.

Méfiez-vous :

• Des descriptions vagues comme « protection complète » sans liste d'actifs.
• Des activités qui modifient vos systèmes sans étape d'approbation claire.
• Des livrables limités à un score ou à un tableau de bord, sans explication des constats individuels.

2. Comprendre de quels accès il a besoin, et pourquoi

L'accès est la plus grande différence entre les prestataires. Demandez :

• Avez-vous besoin d'identifiants, d'un accès VPN, d'un agent ou d'une clé d'API ? Pour quoi exactement ?
• L'accès est-il en lecture seule ou permet-il de modifier des réglages ?
• Chaque compte est-il nominatif, protégé par une authentification multifacteur et journalisé ?
• En combien de temps pouvons-nous le révoquer ?

La CISA recommande de limiter les comptes du prestataire aux systèmes qu'il gère et de les tenir à l'écart des groupes d'administrateurs. Si un service peut fonctionner avec moins d'accès, préférez cette conception. Certains services, comme la surveillance de la surface d'attaque externe, n'en demandent aucun (voir ce qu'est la surveillance de la surface d'attaque externe).

3. Exiger une autorisation écrite pour tout test

Toute activité qui sonde ou teste vos systèmes nécessite votre autorisation écrite, avec les cibles exactes et la fenêtre de temps. Aux États-Unis, l'accès à un ordinateur sans autorisation relève du Computer Fraud and Abuse Act, 18 U.S.C. 1030, et d'autres pays ont des lois similaires.

Un prestataire professionnel vous demandera ce document avant de commencer. Soyez prudent avec quiconque propose de tester des systèmes qui ne vous appartiennent pas, comme le site web d'un partenaire, ou qui commence à scanner avant la signature des documents. Cela vous indique aussi comment il traitera les systèmes des autres en travaillant pour vous.

4. Demander des preuves, puis les vérifier

Les affirmations d'une présentation commerciale ne sont pas des preuves. Demandez :

• Des rapports d'audit indépendants ou des certifications le cas échéant, comme un rapport SOC 2 ou une certification ISO/IEC 27001. Vérifiez le périmètre : quels services et quels sites sont couverts.
• Un exemple de rapport avec des constats, pour juger si vos développeurs pourraient s'en servir.
• Qui examine les constats : une personne, ou uniquement un résultat automatisé.
• La liste de ses sous-traitants et le lieu de stockage de vos données.

Faites ensuite votre propre vérification rapide de l'hygiène externe du prestataire. Une société de sécurité devrait réussir les bases :

dig +short TXT _dmarc.provider-example.com
curl -sI https://provider-example.com | grep -i -E "strict-transport|content-security"

L'absence d'enregistrement DMARC ou d'en-têtes de sécurité ne prouve pas un mauvais travail, mais c'est une question légitime à poser. Nos articles sur SPF, DKIM et DMARC et sur les en-têtes de sécurité HTTP expliquent ce qu'il faut regarder.

5. S'accorder sur les rapports, les incidents et la sortie

Constats et incidents

Demandez comment un constat vous parvient : par e-mail, ticket, téléphone, portail ? Qui le reçoit, et en combien de temps ? Un bon constat indique ce qui a été observé, pourquoi c'est important et les étapes précises de correction.

Pour les incidents qui vous concernent, inscrivez une obligation de notification dans le contrat. Si vous relevez de NIS2 ou vendez à des entreprises qui en relèvent, le règlement d'exécution (UE) 2024/2690 (annexe, point 5.1.4) liste des clauses contractuelles comme la notification des incidents sans retard injustifié, le droit d'audit ou de recevoir les rapports d'audit, le traitement des vulnérabilités, les règles de sous-traitance et les obligations à la fin du contrat. C'est un modèle utile même hors de son champ d'application ; voir NIS2 pour les fournisseurs.

Prévoir la sortie avant le début

Demandez ce qui se passe à la fin du contrat :

• Quelles données il détient sur vous, et comment elles sont restituées et supprimées.
• Comment ses accès, agents et comptes sont retirés, et comment vous pouvez le confirmer.
• Si les rapports et l'historique restent à votre disposition.
• Les délais de préavis, et la possibilité de changer de prestataire sans perdre vos dossiers.

Une courte liste de contrôle

• Périmètre par écrit : actifs, activités, fréquence.
• Accès minimal, comptes nominatifs, authentification multifacteur, révocation facile.
• Autorisation écrite avant tout test.
• Rapports d'audit ou certifications, périmètre vérifié.
• Exemple de rapport avec des étapes de correction exploitables, examiné par une personne.
• Clauses de notification des incidents dans le contrat.
• Sous-traitants et lieu de stockage des données listés.
• Plan de sortie : restitution des données, suppression et retrait des accès.

Comment travaille Datahorses

Datahorses surveille votre entreprise depuis l'extérieur chaque jour, voit ce qu'un attaquant peut voir et vous envoie chaque constat avec les étapes précises de correction, examiné par une personne. Nous n'entrons pas dans vos systèmes et n'avons besoin d'aucun accès : il n'y a donc aucun compte à révoquer. Vous pouvez lire comment nous surveillons, la FAQ et qui nous sommes, ou consulter le tableau de bord d'exemple complet avant de décider.