Étape du parcours d'externalisation
Inventaire du parc, comptes, sauvegardes, données personnelles : savoir ce qu'on confie avant de le confier.
Un état des lieux informatique répond à trois questions avant toute externalisation : ce que l'entreprise possède, qui peut y accéder, et ce qui s'arrêterait si un élément tombait en panne. Sans ces réponses écrites, aucun prestataire ne peut chiffrer correctement votre parc, et vous ne pourrez pas vérifier plus tard ce qu'il a repris.
Cette première étape ne demande pas d'être informaticien. Elle demande de la méthode, quelques heures, et l'aide de la personne qui s'occupe aujourd'hui de l'informatique, qu'elle soit salariée ou prestataire.
L'état des lieux fixe le point de départ du contrat. Le guide de l'ANSSI consacré aux risques de l'infogérance range la perte de maîtrise du système d'information parmi les premiers risques d'une externalisation : on ne garde la maîtrise que de ce que l'on connaît. L'ANSSI y définit l'infogérance comme l'externalisation appliquée aux systèmes d'information, ce qui suppose de savoir de quel système on parle.
L'état des lieux sert aussi de référence à la sortie. Le jour où vous changerez de prestataire, la liste des comptes, des matériels et des logiciels établie aujourd'hui permettra de vérifier que tout vous a été rendu.
| Inventaire | Ce qu'il contient | Où trouver l'information |
|---|---|---|
| Le parc | Postes, serveurs, imprimantes, équipements réseau, téléphones | Factures, étiquettes, console de l'antivirus ou de l'outil de gestion |
| Les logiciels et abonnements | Logiciels métier, bureautique, services en ligne, noms de domaine | Comptes éditeurs, prélèvements bancaires, grand livre de l'expert-comptable |
| Les comptes et accès | Comptes administrateur, accès à distance, mots de passe partagés | Console Microsoft 365 ou Google, box et pare-feu, fournisseur d'accès |
| Les sauvegardes | Ce qui est sauvegardé, où, à quel rythme, dernier essai de restauration | Logiciel de sauvegarde, rapports, disque ou service externe |
| Les données personnelles | Fichiers clients, paie, données sensibles | Registre des traitements, logiciels de paie et de gestion |
Le dossier inventorier son parc informatique détaille le premier inventaire, et qui détient les comptes administrateur le troisième, le plus souvent oublié.
Une cartographie relie ces inventaires : quel poste se connecte à quel serveur, quel logiciel échange des données avec l'extérieur. Le guide de cartographie du système d'information publié par l'ANSSI propose une démarche en cinq étapes, pensée d'abord pour les opérateurs d'importance vitale mais utile, selon l'ANSSI, à toute organisation quelle que soit sa taille. Pour une PME, un schéma d'une page qui montre les liaisons principales suffit pour commencer.
Une sauvegarde n'est connue que lorsqu'on a essayé de restaurer un fichier. Cybermalveillance.gouv.fr recommande de sauvegarder régulièrement, d'identifier où se trouvent les données et de déconnecter le support de sauvegarde quand on ne s'en sert pas. Notez la date du dernier essai de restauration : si personne ne s'en souvient, c'est une information en soi.
Les données personnelles méritent leur propre colonne, parce que le prestataire deviendra votre sous-traitant au sens du RGPD. Le registre des activités de traitement décrit par la CNIL est le bon point de départ : il recense vos traitements et les parties prenantes qui y interviennent, sous-traitants compris.
Ce dossier d'état des lieux devient la première annexe de votre cahier des charges, à l'étape suivante : définir le besoin. Si vous préférez le faire établir par un tiers, le dossier ce qu'un audit informatique doit vous livrer dit ce qu'il faut exiger du rendu. Les termes techniques sont expliqués dans le lexique.
Un tableau daté, rempli à partir des factures, des consoles existantes et d'un tour des bureaux, suffit pour consulter. L'outil d'inventaire du prestataire prend le relais, si vous pouvez le consulter et le récupérer.
Les comptes administrateur sont les clés de votre informatique : qui les détient peut tout modifier, tout lire et tout bloquer. Avant d'externaliser, sachez qui les détient et gardez-en un sur chaque service.