Étape du parcours d'externalisation
Périmètre, niveaux de service, horaires, sauvegarde, sécurité : écrire le besoin avant de lire une offre.
Définir le besoin, c'est écrire ce que vous confiez, avec quel niveau de service et sous quelles exigences de sécurité, avant de lire la moindre offre. Un besoin écrit permet de comparer des propositions qui, sans lui, ne parlent pas de la même chose : l'une chiffre une assistance aux utilisateurs, l'autre une supervision de serveurs, une troisième un forfait qui mélange les deux.
Le périmètre se décrit à partir de l'état des lieux de l'étape précédente. Pour chaque élément (postes, serveurs, messagerie, logiciels métier, téléphonie, sauvegardes), indiquez s'il est confié au prestataire, gardé en interne ou partagé. Le guide de l'ANSSI sur l'infogérance distingue trois grandes catégories : la gestion d'infrastructures, la gestion des applications et l'hébergement de service. Une PME confie souvent la première, et une partie de la deuxième.
Ce qui n'est pas écrit dans le périmètre n'est pas couvert. Un logiciel métier maintenu par son éditeur, une imprimante louée, une box fournie par l'opérateur : précisez qui appelle qui en cas de panne. Le dossier que confier, et que garder en interne propose une grille.
Un niveau de service, ou SLA, est un engagement mesurable : un délai de prise en charge, un délai de rétablissement, une plage horaire. Les sigles GTI et GTR sont expliqués dans le lexique. Ce qui compte pour vous n'est pas un chiffre type, mais l'heure à laquelle votre activité commence et ce qu'une heure d'arrêt vous coûte.
| Question à trancher | Pourquoi elle compte |
|---|---|
| À quelle heure votre activité commence-t-elle, et quels jours ? | Un support qui ouvre après votre première livraison ne couvre pas votre risque principal. |
| Quels postes ou logiciels arrêtent toute l'entreprise s'ils tombent ? | Ce sont eux qui justifient les délais les plus courts. |
| Combien de travail pouvez-vous perdre sans dommage ? | La réponse fixe le rythme des sauvegardes. |
| Votre activité a-t-elle des pics saisonniers ? | Les arrivées et départs de renforts créent des comptes à ouvrir et à fermer vite. |
Le dossier SLA, GTI, GTR : écrire des niveaux de service vérifiables détaille la manière de les formuler.
La sauvegarde se définit par deux réponses : combien de données vous acceptez de perdre, et en combien de temps vous devez repartir. Le guide de l'ANSSI sur la sauvegarde des systèmes d'information la replace face à la menace des rançongiciels. Le guide du SGDSN pour réaliser un plan de continuité d'activité aide à aller plus loin, en commençant par identifier les objectifs et les activités essentielles de l'entreprise.
Vous n'avez pas à inventer vos exigences de sécurité. Le guide d'hygiène informatique de l'ANSSI présente 42 mesures, et le guide d'externalisation de l'ANSSI fournit des clauses types et une base d'exigences à adapter à chaque projet. Retenir quelques mesures prioritaires (mises à jour, authentification multifacteur, sauvegardes déconnectées, comptes administrateur séparés) et les écrire dans le cahier des charges suffit à faire réagir les candidats.
Un cahier des charges de quelques pages : le périmètre, les horaires et niveaux de service attendus, les exigences de sauvegarde et de sécurité, avec l'état des lieux en annexe. C'est ce document que vous enverrez aux prestataires à l'étape suivante, consulter et choisir. Le dossier rédiger un cahier des charges d'infogérance en donne un plan.
Le périmètre se décrit élément par élément : confié au prestataire, gardé en interne ou partagé, avec pour chaque équipement de tiers le nom de celui qui appelle l'opérateur, l'éditeur ou le loueur.