Comment choisir un prestataire de cybersécurité : labels, qualifications et questions à poser
Critères pour choisir un prestataire de cybersécurité en France : qualifications ANSSI (PASSI, PRIS, PDIS), labels, références, contrat, accès et clauses de sortie.
Pour choisir un prestataire de cybersécurité, vérifiez d'abord ce qu'il sait faire de façon démontrable (qualifications, références, méthodes), puis ce qu'il s'engage à faire par écrit (périmètre, délais, responsabilité, réversibilité). Un prestataire de confiance accepte de détailler son périmètre, de limiter ses accès à ce qui est nécessaire et de documenter ses interventions. Méfiez-vous des promesses de protection totale, des prix très inférieurs à la concurrence sans explication et des contrats qui vous rendent dépendant de lui.
Définir le besoin avant de chercher
Beaucoup de mauvais choix viennent d'un besoin mal cadré. Avant de contacter des prestataires, rédigez une page qui précise :
- Le résultat attendu : un audit, la mise en place d'un EDR, la gestion quotidienne, l'accompagnement à une conformité, une aide en cas d'incident.
- Le périmètre : nombre de postes, de serveurs, de sites, d'applications, environnements cloud.
- Les contraintes : budget, délais, horaires de fonctionnement de l'entreprise, exigences clients ou réglementaires.
- Le niveau de service souhaité : heures ouvrées ou continu, délai de réponse.
Ce document sert de base identique pour tous les prestataires, ce qui rend les devis comparables.
Qualifications et labels : des repères officiels
Plusieurs dispositifs existent en France. Ils ne sont pas obligatoires pour toutes les prestations, mais ils donnent des repères vérifiables.
| Repère | Qui le délivre | Ce qu'il atteste | Utilité principale |
|---|---|---|---|
| PASSI (prestataires d'audit de la sécurité des systèmes d'information) | ANSSI | Qualification pour des audits (architecture, configuration, tests d'intrusion, audit organisationnel) | Audits exigés ou recommandés dans certains cadres réglementaires |
| PRIS (prestataires de réponse aux incidents de sécurité) | ANSSI | Capacité à intervenir en cas d'incident | Choisir un partenaire de réponse à incident |
| PDIS (prestataires de détection des incidents de sécurité) | ANSSI | Capacité de surveillance et de détection | Services de surveillance de type SOC |
| ExpertCyber | Cybermalveillance.gouv.fr | Label destiné aux professionnels de proximité en sécurité numérique, avec un référentiel de compétences et de service | Accompagnement des TPE, PME et collectivités |
| ISO 27001 | Organismes de certification accrédités | Système de management de la sécurité de l'information de l'organisation du prestataire | Garantie sur les pratiques internes du prestataire |
Les listes à jour figurent sur les sites officiels : ne vous fiez pas à un logo affiché sur une plaquette, vérifiez l'inscription sur la liste de l'ANSSI ou de Cybermalveillance.gouv.fr. Une qualification porte sur un périmètre et une durée précis. Certaines offres s'adressent aussi aux entités soumises à des exigences particulières de souveraineté, avec des qualifications spécifiques comme SecNumCloud pour les services d'informatique en nuage.
Les questions décisives à poser
Sur la compétence
- Quelles prestations réalisez-vous vous-mêmes et lesquelles sous-traitez-vous ?
- Pouvez-vous fournir des références comparables à ma taille et à mon secteur, que je peux contacter ?
- Qui interviendra concrètement chez moi, avec quel profil ?
Sur le contrat
- Quel est le périmètre exact, et que contient la liste d'exclusions ?
- Quels délais de réponse sont garantis, avec quelles pénalités en cas de manquement ?
- Quelle est votre limite de responsabilité et quelle assurance de responsabilité civile professionnelle détenez-vous ?
- Quelles sont les conditions de résiliation et de reprise des données et des configurations ?
Sur la sécurité de leur propre organisation
- Comment protégez-vous les accès dont vous disposez à mon système ?
- Utilisez-vous l'authentification multifacteur et des comptes nominatifs pour vos intervenants ?
- Où sont stockées les données collectées chez moi et sous quelle juridiction ?
Le risque de dépendance et d'accès excessifs
Un prestataire d'infogérance ou de sécurité dispose souvent de privilèges élevés. S'il est compromis, vous l'êtes aussi. Appliquez quelques principes :
- Comptes nominatifs pour chaque intervenant, jamais un compte partagé.
- Authentification forte obligatoire pour tous les accès d'administration.
- Droits limités à ce qui est nécessaire, révisés régulièrement.
- Journalisation des actions d'administration, accessible à vous.
- Copie des documents clés : schéma réseau, inventaire, mots de passe d'urgence dans un coffre, sauvegardes que vous maîtrisez.
Comparer les devis : une méthode simple
Demandez au moins trois devis sur le même cahier des charges et remplissez un tableau avec les mêmes lignes :
- périmètre inclus et exclu ;
- coût initial, coût récurrent, coûts d'intervention hors forfait ;
- durée d'engagement et préavis ;
- délais de réponse et horaires ;
- livrables (rapports, réunions) ;
- qualifications ou labels vérifiés ;
- clauses de réversibilité et de confidentialité.
Attribuez une note à chaque critère selon vos priorités. Le moins cher n'est pas toujours le meilleur, mais le plus cher non plus. Voir aussi les guides sur le prix d'un audit et sur le SOC externalisé.
Exemple illustratif d'analyse
Trois prestataires proposent une gestion de la sécurité des postes pour 30 postes. Le prestataire A demande 6 000 euros par an, sans astreinte et sans réponse à incident incluse. Le prestataire B demande 9 000 euros par an, avec intervention en quatre heures ouvrées et deux journées d'incident incluses. Le prestataire C demande 5 000 euros mais seulement sur les postes, serveurs exclus. Après correction du périmètre, C devient plus cher que A, et B offre le meilleur rapport selon ce critère de réponse. Les montants sont fictifs, illustrant l'importance de comparer à périmètre égal.
Signaux d'alerte
- Garantie de résultat absolue (« aucune attaque ne passera »).
- Urgence artificielle pour signer.
- Refus de préciser la sous-traitance.
- Contrat de longue durée sans clause de sortie claire.
- Démarchage insistant après l'annonce publique d'une attaque dans votre secteur.
Après la signature
Fixez un point de démarrage avec les rôles de chacun, une revue trimestrielle des indicateurs, un exercice annuel d'incident, et une revue annuelle du contrat. Conservez la preuve des interventions pour votre assureur et, si nécessaire, pour vos clients.
Questions fréquentes
Un prestataire non qualifié est-il à écarter ?
Pas forcément : les qualifications ne sont pas obligatoires pour toutes les missions. Mais elles offrent une garantie de méthode. Pour un audit exigé par un cadre réglementaire, elles peuvent être demandées.
Faut-il un prestataire local ?
La proximité facilite certaines interventions, mais la plupart des services sont réalisés à distance. Choisissez surtout selon la compétence, la réactivité contractuelle et les références.
Mon informaticien habituel peut-il assurer la sécurité ?
Cela dépend de sa compétence spécifique en sécurité. Demandez-lui ce qu'il met en œuvre et faites-le valider par un tiers, par exemple par un audit ponctuel.
Sources et références
- ANSSI — listes des prestataires qualifiés (PASSI, PRIS, PDIS) et SecNumCloud.
- Cybermalveillance.gouv.fr — label ExpertCyber et annuaire de professionnels.
- CNIL — encadrement de la sous-traitance de données personnelles.
