En bref : le mieux est de trouver un prestataire de sécurité informatique avant d'en avoir un besoin urgent. Comparez les prestataires à l'aide de questions concrètes : comment procèdent-ils, qui travaille sur vos systèmes, comment les preuves sont-elles conservées, que contient le rapport et où se situent les limites de leur offre. Les prestataires sérieux répondent à ces questions clairement et par écrit. Les promesses absolues, la pression et les descriptions de prestations floues sont des signaux d'alerte.
Pourquoi le choix est difficile en ce moment
Après une situation comme PHP2Shell, la demande de services de sécurité grimpe brutalement. En même temps apparaissent des offres qui sonnent rapides, complètes et bon marché. Pour les entreprises sans service de sécurité propre, il est difficile de distinguer la qualité du bon marketing.
S'y ajoute la pression du temps. Celui qui soupçonne une intrusion veut de l'aide tout de suite et n'a pas une semaine pour comparer. C'est pourquoi il vaut la peine de faire le choix en période calme et de clarifier les points essentiels à l'avance. Savoir si vous avez besoin d'un prestataire, notre article Corriger soi-même ou faire appel à un prestataire ? y répond. Ici, il s'agit de la manière de trouver le bon.
Trouver un prestataire de sécurité informatique : les 12 questions
Posez ces questions à chaque prestataire que vous envisagez. Les réponses devraient être concrètes et si possible écrites.
- Quels systèmes connaissez-vous par votre propre travail ? Un prestataire en sécurité réseau n'est pas automatiquement expérimenté avec PHP-FPM, Plesk ou les conteneurs. Demandez dans quels environnements l'équipe travaille régulièrement.
- Qui travaille concrètement sur nos systèmes ? Des collaborateurs propres, des partenaires ou des sous-traitants ? Avec des partenaires, il devrait être clair qui assume quelle tâche et qui reste responsable envers vous.
- À quoi ressemblent vos premières étapes ? De bonnes réponses citent endiguement, conservation des preuves et état des lieux avant tout nettoyage, comme le prévoit aussi la liste de contrôle après un piratage.
- Comment conservez-vous les preuves ? Les journaux et les fichiers sont-ils sauvegardés avant modification, avec horodatage et somme de contrôle ? C'est important pour l'assurance, les notifications et une éventuelle plainte.
- De quels accès avez-vous besoin, et comment les traitez-vous ? Les prestataires sérieux ne demandent que les droits nécessaires, utilisent des comptes personnels et restituent les accès à la fin.
- Y a-t-il un accord écrit avant l'accès ? Il comprend le périmètre, les pouvoirs et, pour des données personnelles, un contrat de sous-traitance. Plus de détails dans Sous-traitance de données lorsque des prestataires accèdent aux serveurs.
- Qui décide des étapes lourdes de conséquences ? Couper, supprimer, réinstaller : le prestataire devrait proposer et justifier de telles étapes, la décision reste chez vous.
- Que contient le rapport final ? Demandez un exemple sans données clients. Un bon rapport sépare ce qui est établi, probable et inconnu, et nomme les points ouverts.
- Comment communiquez-vous pendant la mission ? Y a-t-il des interlocuteurs fixes, des points d'étape réguliers et un canal clair pour les questions urgentes ?
- Où se situent les limites de votre offre ? Le conseil juridique, la communication avec les autorités ou les expertises forensiques pour les tribunaux ne sont pas assurés par tous. Un prestataire sérieux le dit de lui-même.
- Comment facturez-vous ? Au temps passé, au forfait ou en contrat-cadre ? Faites-vous expliquer ce qui est inclus et ce qui ne l'est pas, pour éviter les surprises ensuite.
- Que se passe-t-il après l'incident ? Le prestataire soutient-il le suivi, le durcissement et un accompagnement durable, ou la mission s'arrête-t-elle avec le nettoyage ?
Signaux d'alerte dans les offres
Certaines formulations devraient vous alerter. Parmi elles : les promesses de sécurité absolue, l'affirmation qu'après un nettoyage il n'y aurait « plus du tout » rien sur le serveur, et des déclarations qui connaissent déjà le résultat sans état des lieux. Les bons prestataires parlent de probabilités et de preuves.
La prudence s'impose aussi lorsqu'un prestataire insiste pour obtenir des accès avant que le périmètre et les pouvoirs soient clarifiés, ou lorsqu'il vous contacte sans y avoir été invité par e-mail ou par téléphone en prétendant que votre serveur est piraté. Pendant les semaines de crise, des fraudeurs utilisent de telles ruses. Vérifiez l'expéditeur par une voie indépendante avant de réagir.
Autre indication : logos, labels et distinctions se placent facilement sur un site web. En cas de doute, demandez qui a décerné un label et ce qui a été vérifié pour cela.
Repères publics
Le BSI publie des listes de prestataires qualifiés pour certains domaines, par exemple pour la réponse aux attaques dites APT, c'est-à-dire des attaques ciblées et de longue durée, et pour la défense contre les attaques DDoS. Ces listes sont un bon repère pour les organisations ayant un besoin correspondant. Un incident typique sur un seul serveur web n'entre souvent pas dans ces catégories ; des prestataires qui n'y figurent pas entrent alors aussi en ligne de compte.
Les recommandations issues de votre propre réseau sont en outre utiles, par exemple des fédérations professionnelles, des chambres, de votre assureur ou d'autres entreprises qui ont vécu un incident. Certains cyberassureurs mentionnent dans leurs conditions leurs propres interlocuteurs ou prestataires pour le sinistre. Vérifiez votre police avant de mandater vous-même.
Consignez les réponses aux douze questions dans un court tableau et joignez-le au plan d'urgence. En situation de crise, vous savez alors immédiatement qui appeler et ce qui est convenu.
Fixer par contrat ce qui compte
Même avec un bon choix, les points essentiels devraient être réglés par écrit : périmètre des prestations, accès et leur restitution, confidentialité, traitement des preuves, obligations de rapport et facturation. Les clauses judicieuses sont décrites dans Contrats avec les prestataires informatiques : fixer clairement les obligations de sécurité. Si votre contrat est juridiquement adapté, un avocat le vérifie ; nous fournissons pour cela les points techniques.
Comment PHP SOS aide-t-il concrètement ?
- Nous répondons par écrit aux douze questions pour notre propre offre avant que vous ne nous mandatiez, y compris sur les limites de notre prestation.
- Nous indiquons ouvertement quelles tâches nous assumons nous-mêmes et où nous travaillons avec des partenaires spécialisés, par exemple pour l'analyse forensique ou les tests d'intrusion.
- Nous convenons du périmètre, des pouvoirs et, au besoin, de la sous-traitance de données avant le premier accès.
- En cas d'incident, nous travaillons selon le déroulement de notre réponse aux incidents : endiguer, conserver, nettoyer, documenter.
Conclusion
Le bon prestataire de sécurité ne se reconnaît pas à la promesse la plus forte, mais à des réponses claires à des questions concrètes. Celui qui pose les douze questions en période calme et consigne les résultats décide plus vite et mieux en cas de crise.
Questions fréquentes
À quoi reconnais-je un prestataire de sécurité informatique sérieux ?
À des déclarations claires sur la démarche, les responsabilités et les limites, à un accord écrit avant l'accès et à un rapport qui sépare ce qui est établi de ce qui est supposé. La méfiance est de mise face à des promesses absolues et à la pression pour remettre immédiatement des accès.
Le BSI tient-il une liste de prestataires ?
Le BSI publie des listes de prestataires qualifiés pour certains domaines, par exemple pour la réponse aux attaques APT et pour la défense contre les attaques DDoS. Ces listes concernent des situations spécifiques ; pour un incident typique de serveur web, d'autres prestataires entrent aussi en ligne de compte.
Devrais-je demander plusieurs offres ?
Pour les missions planifiables comme le durcissement, l'audit ou le contrat de maintenance, oui. En urgence, le temps manque souvent pour cela. Il est d'autant plus important de choisir un prestataire à l'avance et de clarifier les points essentiels avant qu'il n'arrive quelque chose.
Le prestataire peut-il couper lui-même des systèmes ou supprimer des données ?
Seulement si vous l'avez expressément convenu. Un bon prestataire demande avant les étapes lourdes de conséquences et documente votre décision. Fixez à l'avance qui, de votre côté, peut prendre de telles décisions.