Infogérance et cybersécurité : ce que votre prestataire doit vraiment garantir

La cybersécurité n'est plus un sujet réservé aux grandes entreprises. Selon le Panorama de la cybermenace 2024 de l'ANSSI, les TPE, PME et ETI représentent 37 % des victimes de rançongiciels en France, la première catégorie d'organisations touchées. Et d'après le rapport Hiscox 2024, 67 % des entreprises françaises ont subi au moins une cyberattaque en 2024, contre 53 % en 2023. Une PME de 50 salariés en Île-de-France gère des données clients, des accès Microsoft 365, des VPN ouverts sur internet, autant de portes d'entrée que les attaquants connaissent mieux que certains dirigeants. Ce que votre prestataire d'infogérance doit vous garantir en matière de sécurité, c'est précisément le sujet que nous traitons ici, avec les réponses issues de notre expérience terrain.

Infogérance et cybersécurité : deux disciplines, une seule responsabilité

Confier son système d'information à un prestataire d'infogérance, c'est lui confier bien plus que la maintenance des serveurs. C'est lui confier la continuité de votre activité. À ce titre, la cybersécurité ne peut pas être une option ou un module complémentaire tarifé à part : elle doit être intégrée dès la conception du contrat d'infogérance.

Un infogérant qui ne surveille que les pannes, CPU à 100 %, disque plein, service tombé, n'assure pas la sécurité de votre SI. Il assure sa disponibilité technique. Ce sont deux choses différentes.

 La supervision proactive : ne pas attendre que le client appelle

L'une des premières questions à poser à un prestataire d'infogérance est simple : *comment apprenez-vous qu'il se passe quelque chose d'anormal sur mon SI ?

La mauvaise réponse : "quand un utilisateur appelle le support" ou "quand un équipement tombe en panne".

La bonne réponse implique une supervision proactive en continu, capable de détecter des signaux faibles, des anomalies qui, individuellement, ne déclenchent aucune alerte critique mais qui, mises bout à bout, indiquent une compromission en cours ou imminente.

C'est d'autant plus critique que l'ANSSI a observé en 2024 des campagnes massives ciblant les équipements de bordure, pare-feu, passerelles VPN, souvent attaqués dans les jours qui suivent la publication d'une vulnérabilité. Sur les quelque 29 000 nouvelles CVE publiées en 2024, des milliers ont été jugées critiques. Ces failles ne sont exploitables que si elles ne sont pas détectées et corrigées à temps. Un prestataire qui supervise en réaction, et non en anticipation, expose ses clients à une fenêtre de vulnérabilité souvent fatale.

Concrètement, cela signifie surveiller des comportements et non simplement des états. Un serveur qui répond, c'est bien. Mais un compte administrateur qui se connecte à 3h du matin depuis un pays inhabituel, c'est une anomalie qui mérite une investigation immédiate, même si aucun antivirus ne l'a signalé.C'est ici qu'intervient la notion d'EDR (Endpoint Detection and Response) : là où un antivirus cherche des signatures connues, un EDR analyse les comportements. Il détectera par exemple une connexion Microsoft 365 depuis Bordeaux à 14h, suivie 15 minutes plus tard d'une connexion depuis Montréal — un déplacement physiquement impossible. Ce n'est pas nécessairement une attaque confirmée, c'est un indicateur avant-coureur d'intrusion (IoC) qui justifie un blocage préventif immédiat. C'est exactement ce que nous avons traité chez Skaizen Group, SSII intervenant dans le secteur bancaire, où ce type de détection précoce a permis d'éviter une compromission de compte. 

Autre exemple concret : un fichier `rapport.doc` qui est renommé `rapport.doc.exe`. Aucun antivirus ne le signale forcément. Mais ce comportement peut indiquer la présence d'un attaquant qui teste ses capacités d'exécution avant de lancer une charge utile. Un EDR couplé à une analyse comportementale le détecte.

SIEM et SOC : la détection sans intervention n'est pas de la sécurité

Détecter une anomalie, c'est nécessaire. Intervenir dans les minutes qui suivent, c'est ce qui fait la différence entre un incident contenu et une catastrophe.

Un SIEM (Security Information and Event Management) centralise et corrèle les journaux d'événements de l'ensemble du SI, serveurs, équipements réseau, postes, solutions cloud. Il permet de détecter dynamiquement les vulnérabilités : une CVE critique est publiée sur un composant que vous utilisez ? Le SIEM évalue si la faille est effectivement présente dans votre environnement et déclenche une alerte de remédiation. C'est la différence entre une veille passive sur les bulletins de sécurité et une gestion active des vulnérabilités adaptée à votre infrastructure réelle.

Mais un SIEM sans capacité d'intervention reste un outil d'observation. Pour que la sécurité soit opérationnelle, il doit être complété par un **SOC (Security Operations Center)** disponible 24h/24, 7j/7, capable d'appliquer des actions bloquantes en moins de 30 minutes : isolation d'un poste, blocage d'un compte compromis, coupure d'un flux réseau suspect.

Pour les clients qui l'exigent, notamment ceux qui doivent en apporter la preuve à leurs propres clients, ce dispositif doit être auditable et documenté. Nous hébergeons par exemple des services applicatifs pour le compte d'une banque comme Barclays dans un datacenter souverain opéré par Digital Realty (anciennement Interxion), en France. Ce type de prestation fait l'objet d'audits de sécurité annuels conduits par le client bancaire lui-même, auxquels nous répondons avec succès. La traçabilité des actions, la disponibilité des journaux et la réactivité des interventions ne sont pas seulement des engagements contractuels : ce sont des preuves que nous produisons à la demande.

La certification ISO 27001 : un indicateur sérieux, pas une garantie absolue

Lorsque vous évaluez un prestataire d'infogérance, la certification ISO 27001 est l'un des rares indicateurs objectifs de maturité en sécurité. Elle atteste que le prestataire a structuré son Système de Management de la Sécurité de l'Information (SMSI), identifié ses risques, mis en place des contrôles et accepté d'être audité par un organisme tiers.

Ce n'est pas une garantie d'invulnérabilité — aucune certification ne l'est — mais c'est la preuve que la démarche de sécurité est organisée, documentée et contrôlée. Pour des clients aux exigences élevées (secteur financier, santé, industrie), c'est souvent un prérequis non négociable.

À l'inverse, un prestataire sans aucune démarche formalisée en sécurité — ni ISO 27001, ni autre référentiel — ne peut pas sérieusement vous promettre un niveau de protection adapté aux menaces actuelles.

NIS2 et RGPD : ce que votre prestataire doit faire concrètement

Plan de continuité et reprise d'activité (PCA/PRA)

La directive NIS2, entrée en vigueur au niveau européen et en cours de transposition en droit français, impose aux organisations — et à leurs prestataires de services numérique de démontrer leur capacité à maintenir et reprendre l'activité après un incident.

Le contexte réglementaire justifie pleinement cet investissement : la CNIL a enregistré 5 629 violations de données en 2024, soit une hausse de 20 % en un an. Et selon les données consolidées par Surfshark, les sanctions RGPD ont atteint 1,15 milliard d'euros en 2025 au niveau européen. Pour les dirigeants, NIS2 va plus loin encore : sa transposition française prévoit des sanctions pénales personnelles en plus des amendes pour l'entreprise.

Concrètement, votre prestataire d'infogérance doit être en mesure de vous fournir :