Externaliser sa cybersécurité ne veut pas dire confier tout le sujet à votre prestataire informatique habituel : un infogérant maintient votre SI en état de marche, un MSSP (fournisseur de services de sécurité managés) surveille ce qui s’y passe et réagit aux attaques. La bonne réponse pour une PME est rarement l’un ou l’autre, mais une répartition claire des rôles entre les deux, que vous pouvez établir en six étapes.
Ce tutoriel vous guide pas à pas, de l’inventaire de ce que fait déjà votre prestataire jusqu’à la clause de réversibilité du contrat. Comptez une à deux demi-journées de travail interne, réparties sur quelques semaines.
Infogérant et MSSP : deux métiers qui ne se recouvrent pas
L’infogérant (ou prestataire IT généraliste) installe, met à jour et dépanne : postes de travail, serveurs, messagerie, sauvegardes, réseau. Sa mission est la disponibilité. Il intervient quand quelque chose est cassé, souvent aux heures ouvrées, selon un niveau de service défini au contrat.
Le MSSP surveille en continu les journaux, les alertes EDR et les connexions pour repérer une intrusion, puis la contient. Sa mission est la détection et la réponse. Il intervient quand quelque chose est anormal, y compris la nuit et le week-end, parce que c’est à ce moment que les rançongiciels se déclenchent le plus souvent.
La confusion vient du fait que beaucoup d’infogérants revendent un antivirus, un pare-feu ou un EDR. Revendre un outil n’est pas surveiller : un EDR dont personne ne lit les alertes à 3 h du matin protège peu. C’est cette zone grise qu’il faut éclaircir avant de signer quoi que ce soit.
Étape 1 : listez ce que votre prestataire fait réellement
Reprenez votre contrat d’infogérance et votre dernière facture. Pour chaque ligne, notez si elle relève de la maintenance (faire fonctionner) ou de la sécurité (détecter et réagir). Posez ensuite à votre prestataire ces questions précises, par écrit :
- Qui reçoit les alertes de l’antivirus ou de l’EDR, et sous quel délai sont-elles traitées ?
- Les alertes sont-elles lues la nuit, le week-end et pendant les congés d’août ?
- Les journaux de connexion Microsoft 365 ou Google Workspace sont-ils conservés et analysés ?
- Que se passe-t-il concrètement si un poste chiffre des fichiers un samedi à 2 h ?
Des réponses vagues (« on a un outil pour ça », « on est prévenus ») indiquent qu’il n’existe pas de surveillance réelle. Ce n’est pas un reproche : ce n’est simplement pas le métier de l’infogérant.
Étape 2 : identifiez vos obligations et celles de vos clients
Le besoin de surveillance ne dépend pas seulement de votre appétit pour le risque. Trois sources d’exigences s’imposent souvent à une PME :
- La directive NIS2, dont l’article 21 impose aux entités concernées des mesures de gestion des incidents et de sécurité de la chaîne d’approvisionnement, y compris vis-à-vis de leurs prestataires.
- Vos grands clients, qui répercutent ces exigences dans leurs questionnaires fournisseurs, même si vous n’êtes pas vous-même dans le périmètre.
- Votre assureur cyber, qui demande de plus en plus la preuve d’une détection active et d’une capacité de réponse.
Notez pour chacune ce qui est exigé noir sur blanc : délai de notification, conservation des journaux, surveillance continue. Ces exigences deviendront les critères de votre cahier des charges.
Étape 3 : répartissez les responsabilités dans une matrice simple
Dessinez un tableau à quatre colonnes : activité, infogérant, MSSP, vous. Remplissez-le ligne par ligne :
- Application des correctifs : infogérant.
- Sauvegardes et tests de restauration : infogérant, avec un contrôle de votre part.
- Surveillance des alertes 24 h/24 : MSSP.
- Isolement d’un poste compromis : MSSP, avec accès technique prévu à l’avance.
- Reconstruction après incident : infogérant, guidé par le MSSP.
- Décision de couper l’activité ou de prévenir les autorités : vous, toujours.
Cette matrice est le document qui évite le pire scénario : un incident où chacun pense que l’autre s’en occupe. Elle doit figurer en annexe des deux contrats.
Étape 4 : choisissez le bon modèle pour votre taille
Trois configurations reviennent dans la plupart des PME et ETI :
- Infogérant seul : envisageable pour une très petite structure sans données sensibles ni exigence client, à condition d’accepter qu’aucune attaque ne sera détectée en dehors des heures ouvrées.
- Infogérant + MSSP : le modèle le plus courant. L’infogérant garde l’exploitation, le MSSP apporte la surveillance et la réponse. Il exige une bonne coordination entre les deux, d’où la matrice de l’étape 3.
- Infogérant qui sous-traite à un MSSP : un seul interlocuteur pour vous, mais vérifiez qui est réellement derrière la surveillance et ce que dit le contrat en cas d’incident.
Si vous hésitez entre plusieurs formes de service managé, notre article SOC managé, MDR ou MSSP : lequel choisir en PME détaille les différences de périmètre.
Étape 5 : vérifiez les garanties du prestataire choisi
Avant de signer, demandez des preuves plutôt que des promesses :
- Qualifications et labels : l’ANSSI publie la liste des prestataires qualifiés (PDIS pour la détection, PRIS pour la réponse à incident). Le label ExpertCyber repère les prestataires de proximité compétents en sécurité.
- Localisation des données et des équipes : où sont stockés vos journaux, qui y accède, depuis quel pays.
- Conformité RGPD : le prestataire traite des données personnelles pour votre compte ; le contrat doit encadrer cette sous-traitance, comme le rappelle le guide de la CNIL.
- Un exemple réel de rapport d’incident anonymisé : il montre mieux qu’une plaquette la qualité de l’analyse.
Pour l’assureur, ces éléments font partie des preuves attendues : voir aussi notre article sur les mesures exigées par la cyber-assurance.
Étape 6 : verrouillez le contrat sur quatre points
Quatre clauses font la différence le jour où un incident survient :
- Délais de prise en charge : chiffrés, distincts selon la gravité, valables la nuit et le week-end.
- Droit d’agir : le MSSP peut-il isoler un poste ou désactiver un compte sans attendre votre accord écrit ? Décidez-le maintenant, pas pendant l’attaque.
- Accès aux journaux : vous restez propriétaire de vos données et pouvez les récupérer à tout moment.
- Réversibilité : la procédure pour changer de prestataire sans perdre l’historique ni la configuration.
Vous comparez plusieurs offres ? Notre guide pour choisir un SOC managé liste les critères et les questions à poser à chaque prestataire.
Les pièges les plus fréquents
Le premier piège est de croire qu’un outil acheté équivaut à un service rendu : un EDR sans surveillance humaine ou automatisée continue génère des alertes que personne ne traite. Le deuxième est l’absence de coordination entre infogérant et MSSP, qui se découvre au pire moment, quand le MSSP demande un accès administrateur que l’infogérant met six heures à fournir. Le troisième est de déléguer aussi la décision : un prestataire peut contenir une attaque, mais seule la direction peut décider d’arrêter la production ou de notifier une autorité.
Testez enfin le dispositif une fois par an avec un exercice simple : simulez une alerte un vendredi soir et chronométrez qui réagit, et comment.
Ce qu’il faut retenir
- L’infogérant fait fonctionner votre SI, le MSSP détecte et répond aux attaques : ce sont deux métiers distincts.
- Posez par écrit la question « qui lit les alertes à 3 h du matin ? » avant toute autre.
- Une matrice de responsabilités annexée aux deux contrats évite les angles morts.
- Vérifiez qualifications, localisation des données et clauses de réversibilité avant de signer.
- La décision de couper l’activité ou de notifier reste toujours à la direction.