Infogérance : que confier au prestataire, que garder en interne

Chaque élément du parc reçoit l'une des trois réponses : confié, quand le prestataire en a la charge entière ; gardé, quand l'entreprise ou un tiers continue de s'en occuper ; partagé, quand les deux interviennent et que la frontière doit être écrite. Partez de la liste dressée à l'état des lieux, décrite dans le dossier inventorier son parc informatique, et ajoutez une colonne de répartition.

Le périmètre dit aussi où le travail se fait. Le guide de l'ANSSI sur l'infogérance rappelle que les tâches externalisées peuvent être réalisées chez le prestataire, à distance par une liaison avec votre système, ou dans vos locaux par ses équipes.

Le salarié qui s'occupe de l'informatique en plus de son poste garde ce qu'il fait bien sur place, et transmet ce qui demande une compétence continue. Il reste l'interlocuteur naturel des utilisateurs : il recueille les demandes, accueille les nouveaux arrivants, connaît les habitudes de chaque service. Le prestataire prend ce qui exige une veille et des outils : mises à jour de sécurité, supervision, sauvegardes, administration du réseau.

Les mises à jour illustrent bien la question. Cybermalveillance.gouv.fr recommande de définir des règles de mise à jour en entreprise : comment se fait l'inventaire, où chercher les mises à jour, qui les applique et à quel moment. Si le salarié et le prestataire peuvent tous deux intervenir sur un poste, la règle écrite dit lequel des deux le fait.

Certains prestataires formalisent eux-mêmes ce partage. POWERiti, prestataire d'infogérance installé à Avignon, le met par écrit quand un informaticien déjà présent chez le client reste en place, pour que personne ne croie que l'autre s'occupe d'un sujet. Quel que soit le candidat retenu, exigez ce document, et faites-le relire par le salarié concerné, qui connaît les tâches que personne n'a jamais nommées.

Un intervenant ponctuel, technicien indépendant ou petite boutique appelée en cas de panne, peut rester, mais pas sur les mêmes équipements que le prestataire d'infogérance. La règle à écrire tient en une phrase : un équipement a un seul administrateur responsable. Deux intervenants qui modifient le même pare-feu ou le même serveur sans se concerter rendent toute panne impossible à expliquer.

Trois issues sont possibles. L'intervenant cesse d'intervenir, et la passation de ses accès et de ses connaissances s'organise comme l'explique le dossier consacré à la passation avec un ancien prestataire ou un informaticien qui s'en va. Il reste sur un domaine précis, la téléphonie ou un logiciel métier par exemple, avec une frontière écrite et des comptes à son nom. Ou bien le prestataire retenu le fait intervenir pour son compte, auquel cas il devient un sous-traitant de ce prestataire, que vous devez connaître et pouvoir refuser.

Dans tous les cas, l'intervenant qui reste n'utilise plus de compte partagé. Chacun intervient avec un accès nominatif, que l'entreprise peut retirer sans toucher aux autres.

Pour chaque équipement ou service fourni par un tiers, le périmètre écrit nomme le titulaire du contrat et la personne qui appelle en cas de panne. Sans cette ligne, le prestataire renvoie vers l'opérateur, l'opérateur vers l'éditeur, et la panne dure.

Les services en ligne ne sortent pas du périmètre parce qu'un grand éditeur les héberge. Microsoft documente un modèle de responsabilité partagée dans lequel, quel que soit le type de service en nuage, le client reste propriétaire de ses données et de ses identités, et responsable de leur protection. L'administration des comptes, des droits et de la sécurité de ces services est donc une tâche à attribuer.

Une PME garde toujours les décisions, même quand elle confie toute l'exécution : qui a accès à quoi, quels logiciels sont achetés, quels salariés arrivent ou partent, quel budget est engagé. Le prestataire propose et exécute ; la direction valide. Écrire ces validations dans le périmètre évite qu'un prestataire décide seul d'un achat ou d'une ouverture de droits.

Certaines fonctions peuvent aussi rester en interne pour des raisons de risque. Le guide de l'ANSSI sur l'infogérance compte, parmi les manières de traiter un risque, l'évitement : l'analyse peut montrer que des fonctions ou des informations particulièrement sensibles ne doivent pas être externalisées dans le contexte envisagé. Un fichier de recherche et développement ou des données de santé méritent cette question avant d'être confiés.

Quand le périmètre confié inclut des données personnelles, ce qui est presque toujours le cas dès qu'il touche la messagerie ou les fichiers, le prestataire devient votre sous-traitant au sens de l'article 28 du RGPD, et le contrat doit le dire. Le dossier les clauses de sous-traitance de l'article 28 en détaille le contenu.

Le tableau de répartition devient ensuite une section du cahier des charges, que le dossier rédiger un cahier des charges d'infogérance situe dans son plan. Il passe dans le contrat après la consultation, puis se relit à chaque changement d'outil, d'organisation ou d'intervenant : un périmètre écrit une fois et jamais relu redevient vite une source de malentendus.