Piloter et changer

Piloter un contrat d'infogérance consiste à vérifier régulièrement que le service rendu correspond à ce qui a été écrit, et à garder prête la possibilité d'en changer. Un contrat qu'on ne relit qu'au moment du renouvellement se juge sur des impressions ; un contrat suivi se juge sur des faits.

La revue de service : une réunion, des indicateurs

La revue de service réunit l'entreprise et le prestataire à intervalle fixe pour lire les mêmes données : demandes ouvertes et résolues, délais réels comparés aux niveaux de service, incidents, état des sauvegardes et des mises à jour. Le guide de l'ANSSI sur l'infogérance prévoit un comité de suivi de la sécurité dont la fréquence, les participants et le périmètre sont fixés au contrat. Pour une PME, une réunion courte et un compte rendu écrit suffisent, à condition de ne pas la sauter. Le dossier la revue de service propose un ordre du jour.

Les règles internes : arrivées, départs, charte

Une partie du pilotage revient à l'entreprise, pas au prestataire : déclarer les arrivées et les départs, décider qui a droit à quoi, fixer les règles d'usage. Le compte d'un salarié parti, s'il reste ouvert, est une porte d'entrée. Le dossier gouvernance informatique en PME explique comment écrire ces règles et les tenir.

Les incidents : savoir qui fait quoi

Un incident de sécurité se prépare avant d'arriver. Le contrat doit dire qui prévient qui, dans quel délai, et qui décide de couper un accès ou une connexion. En cas de violation de données personnelles, la CNIL indique une notification initiale dans un délai de 72 heures si possible après la constatation : c'est vous, responsable du traitement, qui notifiez, avec l'aide de votre prestataire. Cybermalveillance.gouv.fr publie une fiche réflexe sur la conduite à tenir face à un rançongiciel, et 17Cyber oriente les victimes. Le dossier incident de sécurité : qui fait quoi détaille la répartition.

Tester la reprise

Une sauvegarde qui n'a jamais été restaurée reste une hypothèse. Demandez des essais de restauration réguliers, sur des données que vous choisissez, et faites-les noter dans le compte rendu de revue. France Num présente la formation du SGDSN consacrée au plan de continuité d'activité, utile pour décider ce qu'il faut tester en priorité. Le dossier PCA et PRA explique la différence entre continuité et reprise.

Changer de prestataire : la réversibilité en pratique

Changer de prestataire est une procédure, pas une rupture. Elle commence par la relecture de la clause de réversibilité et de la date limite de dénonciation, continue par une nouvelle consultation sur la base de votre cahier des charges mis à jour, et se termine par une passation encadrée. Dans la clause type de l'ANSSI, la réversibilité peut être activée à tout moment, dans le délai stipulé au contrat, sans justification particulière, et la phase de réversibilité ne doit pas, en principe, dégrader les services définis dans le SLA. Le dossier changer de prestataire informatique en donne les étapes.

Ce que vous avez en main

Des comptes rendus de revue datés, des règles internes écrites, un plan de réaction aux incidents, des essais de restauration notés et un plan de sortie prêt à servir. Ce dossier de pilotage sert aussi lors d'un changement : il montre à chaque candidat ce que vous attendez, preuves à l'appui. Le parcours complet se relit depuis l'état des lieux.