Inventorier son parc informatique avant d'externaliser

L'inventaire du parc qui sert à consulter un prestataire contient ce qu'un candidat doit savoir pour chiffrer son offre : quels équipements, à qui ils servent, dans quel état et sous quel contrat. Le niveau de détail d'un outil de gestion n'est pas nécessaire ; une information juste et datée l'est.

Ajoutez une colonne de remarques pour ce qui pose problème au quotidien : un poste lent, une imprimante capricieuse, un logiciel que seul un salarié sait faire fonctionner. Ces remarques orientent la visite d'un candidat mieux qu'une liste de numéros de série.

Trois sources suffisent à remplir l'inventaire du parc d'une PME, et chacune corrige les oublis des autres. Les factures et le grand livre de l'expert-comptable donnent les achats et les abonnements prélevés, y compris ceux que plus personne n'utilise. Les consoles déjà en place donnent l'état réel : la console de Microsoft 365 ou de Google Workspace liste les utilisateurs et les licences attribuées, celle de l'antivirus les postes protégés, l'interface de la box les appareils connectés.

Cybermalveillance.gouv.fr conseille d'identifier l'ensemble des appareils et logiciels utilisés pour pouvoir les tenir à jour, et signale que certains fournisseurs d'accès proposent une application d'inventaire des appareils connectés au réseau. Une telle application aide à repérer un équipement que personne ne pensait à citer.

Le tour des bureaux comble le reste. Il fait apparaître ce qu'aucune facture ne montre : un ancien serveur resté sous un bureau, un disque de sauvegarde branché en permanence, un ordinateur personnel qui sert à la comptabilité le soir. Notez sur place les étiquettes, les numéros de série et l'utilisateur de chaque appareil.

Un inventaire tenu à la main vieillit vite. POWERiti, qui fait de l'infogérance depuis Avignon, le constate chez beaucoup de PME : la gestion des équipements s'y résume à un fichier Excel rarement mis à jour. D'où l'intérêt de croiser factures, consoles et tour des bureaux plutôt que de repartir du dernier tableau en date.

Les logiciels et les abonnements forment la partie de l'inventaire la plus facile à laisser incomplète, parce qu'ils ne se voient pas en faisant le tour des bureaux. Pour chacun, notez l'éditeur, le titulaire du compte, le moyen de paiement, la date de renouvellement et la personne qui l'administre. Le nom de domaine, qui porte la messagerie et le site, figure sur la liste au même titre que les logiciels métier.

Le titulaire du compte est la colonne qui compte le plus. Un abonnement souscrit au nom d'un salarié ou d'un ancien prestataire, ou payé avec sa carte, devient un obstacle le jour où il faut le transférer : le dossier données, comptes, licences : à qui appartient quoi explique ce que le contrat doit prévoir. Les comptes administrateur de ces services font l'objet d'une liste distincte, décrite dans le dossier qui détient les comptes administrateur.

Indiquez enfin, pour chaque système et logiciel, s'il reçoit encore des mises à jour de son éditeur. Le guide d'hygiène informatique de l'ANSSI recommande d'établir et de tenir à jour un inventaire des systèmes et applications, et de suivre les dates de fin de support des logiciels. Un poste dont le système n'est plus mis à jour est une information que le prestataire doit connaître avant de chiffrer. Regardez aussi, dès la consultation, comment chaque candidat tiendra cette liste ensuite : une gestion de parc externalisée dont l'inventaire reste consultable vous laisse voir à tout moment ce qu'elle recense.

L'inventaire du parc porte une date, parce qu'il décrit l'informatique de ce jour-là et qu'un candidat chiffrera ce qu'il lit. Désignez une personne pour le tenir jusqu'à la signature, et reportez-y chaque achat, départ ou résiliation. Après la consultation, il sert aussi de référence au démarrage du contrat : c'est sur lui que le nouveau prestataire vérifiera ce qu'il reprend.

L'inventaire rejoint le cahier des charges comme annexe, avec les autres pièces de l'état des lieux ; le dossier rédiger un cahier des charges d'infogérance montre où il se place. Ne transmettez aux candidats que ce qui leur sert à chiffrer. Les mots de passe, les codes d'accès et le détail de la configuration du pare-feu n'ont rien à faire dans un document envoyé à plusieurs entreprises, dont une seule sera retenue.

Après la signature, l'inventaire peut être tenu par l'outil de supervision et de gestion à distance du prestataire, appelé RMM et expliqué dans le lexique. Installé sur chaque poste et serveur, cet outil remonte en continu le matériel, les logiciels installés et l'état des mises à jour. Il remplace avantageusement le tableau tenu à la main, à deux conditions à écrire au contrat : vous le consultez quand vous le voulez, et vous en récupérez le contenu.

La récupération compte autant que la consultation. Le guide de l'ANSSI sur l'infogérance demande de vérifier que les données restent restituables à tout moment, dans un format standard et si possible ouvert, et sa clause type prévoit qu'à l'arrêt des prestations les documentations confiées au titulaire soient restituées. Demandez un export de l'inventaire dans un format courant, comme un fichier tableur, à chaque revue de service et en fin de contrat.

Les offres des prestataires décrivent cet outil, et c'est là qu'il faut lire ce qui vous sera montré ; l'export, lui, se demande à chaque candidat, avec la recommandation de l'ANSSI sur la restitution des données à l'appui. Posez la même question à tous : que verrez-vous de votre parc, et sous quelle forme le récupérerez-vous ?