Lexique de l'infogérance

Les mots d'un contrat d'infogérance, expliqués simplement. Chaque définition renvoie au dossier du parcours qui traite le sujet en détail.

Infogérance: Le fait de confier tout ou partie de son système d'information à un prestataire. L'ANSSI, dans son guide sur les risques de l'infogérance, la définit comme l'externalisation appliquée aux systèmes d'information. Le parcours complet commence par l'état des lieux.
MSP (Managed Service Provider): Un prestataire de services managés : il gère l'informatique de ses clients en continu, surtout à distance, avec des outils de supervision, plutôt qu'à l'intervention ponctuelle. Comment en trouver : trouver un prestataire d'infogérance en Vaucluse.
RMM (Remote Monitoring and Management): Le logiciel de supervision et de gestion à distance qu'un prestataire installe sur les postes et serveurs : il remonte l'inventaire, l'état des mises à jour et les alertes. Voir inventorier son parc informatique et l'accès à distance du prestataire.
SLA (Service Level Agreement): La convention de niveau de service : les engagements mesurables du prestataire (délais, horaires, disponibilité) et la façon de les mesurer. Voir écrire des niveaux de service vérifiables.
GTI (garantie de temps d'intervention): Le délai maximal, écrit au contrat, entre votre signalement et le début de l'intervention du prestataire. Une GTI ne promet pas que le problème sera réglé dans ce délai. Voir SLA, GTI, GTR.
GTR (garantie de temps de rétablissement): Le délai maximal, écrit au contrat, pour que le service fonctionne de nouveau, éventuellement en mode dégradé. Voir SLA, GTI, GTR.
Réversibilité: La capacité de reprendre l'informatique confiée, soi-même ou avec un autre prestataire, avec ses données, sa documentation et ses accès. Pour l'ANSSI, la réversibilité doit être une préoccupation permanente du donneur d'ordres. Voir la clause de réversibilité et changer de prestataire.
PAS (plan d'assurance sécurité): Le document dans lequel le prestataire décrit comment il répond aux exigences de sécurité de son client, et qui en assure le suivi. L'ANSSI recommande d'y aboutir lors de la consultation. Voir le plan d'assurance sécurité.
Sous-traitant (au sens du RGPD): La personne ou l'entreprise qui traite des données personnelles pour le compte d'un responsable du traitement. Un prestataire d'infogérance qui accède à vos fichiers ou à votre messagerie l'est le plus souvent ; l'article 28 du RGPD encadre son contrat. Voir les clauses de l'article 28.
Responsable du traitement: L'entreprise qui décide pourquoi et comment des données personnelles sont traitées. Elle reste responsable quand elle confie son informatique, et c'est elle qui notifie une violation de données à la CNIL. Voir incident de sécurité : qui fait quoi.
Registre des activités de traitement: Le document qui recense les traitements de données personnelles d'une entreprise et les parties qui y interviennent, prévu par l'article 30 du RGPD selon la CNIL. Il fait partie de l'état des lieux.
PCA (plan de continuité d'activité): L'organisation qui permet de maintenir les activités essentielles pendant une crise. Le guide du SGDSN en décrit la méthode. Voir PCA et PRA.
PRA (plan de reprise d'activité): L'organisation qui permet de redémarrer après un arrêt, en restaurant systèmes et données à partir de sauvegardes. Voir PCA et PRA.
Perte de données admissible et délai de reprise: Les deux valeurs qui définissent un besoin de sauvegarde : la quantité de travail que vous acceptez de perdre (souvent appelée RPO) et le temps que vous acceptez d'attendre avant de repartir (RTO). Voir combien de données pouvez-vous perdre.
Sauvegarde déconnectée: Une copie qui n'est pas reliée en permanence au réseau de l'entreprise, et qu'un logiciel malveillant ne peut donc pas atteindre. Cybermalveillance.gouv.fr recommande de déconnecter le support de sauvegarde quand on ne s'en sert pas. Voir tester ses sauvegardes.
Compte administrateur (compte à privilèges): Un compte qui permet de modifier la configuration d'un système, de créer des utilisateurs ou d'accéder à toutes les données. Voir qui détient les comptes administrateur.
Authentification multifacteur: Une connexion qui exige, en plus du mot de passe, un second élément (application, clé, code). L'ANSSI recommande de la privilégier. Voir les comptes administrateur.
GDAP: Chez Microsoft, les privilèges d'administrateur délégué granulaires : l'accès qu'un client accorde explicitement à son partenaire pour gérer son environnement Microsoft 365, limité à certains rôles et dans le temps, selon la documentation Microsoft. Voir à qui appartient quoi.
ExpertCyber: Le label de Cybermalveillance.gouv.fr qui reconnaît l'expertise de prestataires en sécurisation, maintenance et assistance en cas d'incident, selon sa page de questions et réponses. Voir ce que prouve un label.
Cartographie du système d'information: Une représentation des composants du système d'information et de leurs liaisons, entre eux et avec l'extérieur. Voir cartographier son système d'information.
NIS 2: La directive européenne sur la sécurité des réseaux et des systèmes d'information, publiée au Journal officiel de l'Union européenne en décembre 2022, que l'ANSSI présente au fil de sa transposition. La plateforme MesServicesCyber permet de vérifier si votre organisation est concernée.
Revue de service: La réunion périodique où l'entreprise et le prestataire lisent les indicateurs du contrat et décident des suites. Voir la revue de service.