L’infogérance s’impose depuis plusieurs années comme une réponse pragmatique à la complexité croissante de la gestion informatique. Elle permet aux entreprises, petites comme grandes, de déléguer tout ou partie de leur système d’information à un prestataire externe. Gain de temps, accès à des compétences rares, réduction des coûts… les arguments sont nombreux. Mais dès qu’on touche à l’externalisation, une question essentielle revient comme un boomerang : et la sécurité dans tout ça ?
Dans cet article, je propose un tour d’horizon — technique et stratégique — des enjeux liés à la sécurité en contexte d’infogérance, sans filtre marketing, sans langue de bois. Juste une analyse lucide, nourrie de 20 ans d’expérience dans l’IT.
Sommaire
1. Définition et périmètre de l’infogérance
L’infogérance, ou outsourcing informatique, peut prendre plusieurs formes :
-
Infogérance totale : gestion complète du SI, des serveurs aux postes clients.
-
Infogérance partielle : gestion ciblée (ex : maintenance serveur, supervision, helpdesk).
-
Infogérance applicative : supervision et maintenance des applications métiers.
-
Infogérance cloud : pilotage d’infrastructures externalisées (IaaS, PaaS).
Ces prestations s’appuient généralement sur un contrat de services (SLA), définissant le périmètre, les engagements de disponibilité, les délais d’intervention, les responsabilités, etc.
Merci à https://acitechnology.eu/ pour ces informations précieuses.
2. Les risques spécifiques liés à la sécurité
Quand une entreprise délègue son SI, elle ne délègue pas ses obligations réglementaires, ni ses responsabilités légales. Et les risques sont bien réels :
a. Fuite de données
Le prestataire a potentiellement accès à des données sensibles (RH, financières, clients…). Une faille, une erreur humaine ou un comportement malveillant peut compromettre des informations critiques.
b. Mauvaise séparation des environnements
Des prestataires multi-clients mal isolés peuvent créer des failles inter-entreprises. Des VM ou bases de données mal cloisonnées peuvent exposer des données d’un client à un autre.
c. Dépendance excessive
Un prestataire unique, mal documenté, avec des accès non répertoriés, devient un single point of failure. Si la relation se dégrade ou si le prestataire disparaît, l’entreprise peut se retrouver paralysée.
d. Problèmes de conformité
RGPD, ISO 27001, directives sectorielles… L’infogérance ne dispense pas d’être conforme. Elle peut même compliquer les audits, la traçabilité et la justification des accès.
3. Bonnes pratiques pour une infogérance sécurisée
Voici, selon moi, les piliers d’une infogérance maîtrisée et sécurisée.
a. Clauses contractuelles précises
-
Obligation de confidentialité
-
Traçabilité des accès et des opérations
-
Engagements de sécurité concrets
-
Procédures de réversibilité en fin de contrat
b. Gestion fine des accès
-
Accès limités au strict nécessaire (principe de moindre privilège)
-
Journalisation et auditabilité des actions
-
Renouvellement régulier des mots de passe et des clés
c. Supervision conjointe
Même si le prestataire « gère », vous devez surveiller. Dashboards, alertes de sécurité, accès à la supervision : gardez la main.
d. Réversibilité et documentation
Ayez toujours un plan B. Assurez-vous que tout est documenté : procédures, schémas d’architecture, accès. Un bon prestataire ne garde rien sous clé.
e. Tests réguliers
-
Tests de PRA/PCA
-
Tests d’intrusion (interne ou externe)
-
Audit sécurité par un tiers (et pas toujours le prestataire…)
4. Cas particuliers : cloud, DevOps, TPE
Cloud public
La responsabilité partagée (shared responsibility model) doit être bien comprise. Ce n’est pas parce que c’est sur Azure ou AWS que c’est sécurisé par défaut. L’infogérant n’est pas toujours responsable de la configuration initiale.
DevOps externalisé
Quand une équipe DevOps externe gère vos déploiements CI/CD, les erreurs vont plus vite… mais les failles aussi. Pipeline sécurisé, secrets gérés via vault, logs… tout doit être sous contrôle.
TPE/PME
Ces structures ont souvent peu de moyens et font confiance « les yeux fermés ». C’est une erreur. Même pour une TPE, une charte de sécurité et un minimum de suivi sont indispensables.
5. Infogérance ≠ abandon
L’infogérance ne doit jamais être un prétexte à l’abandon du pilotage. La sécurité est une culture, pas un bouton qu’on délègue. On peut déléguer l’opérationnel, pas la responsabilité.
Les dirigeants, les DSI, les RSSI doivent continuer à :
-
Poser des questions
-
Lire les rapports
-
Exiger de la transparence
-
Mettre en place des audits externes
Conclusion
Infogérance et sécurité ne sont pas incompatibles. Mais leur alliance exige maturité, vigilance, et exigence. L’équilibre est délicat : trop de confiance aveugle crée des vulnérabilités, trop de défiance empêche une relation saine et efficace.
En tant qu’informaticien, je vois dans l’infogérance une formidable opportunité d’optimisation… mais aussi un champ de mines, si elle est abordée avec naïveté. La clé ? Connaître ses données, connaître ses risques, connaître ses partenaires.
