// CLUBIC — MODA & SOCIETÀ
Choisir son prestataire informatique ou son MSP : la grille d'évaluation cybersécurité que tout dirigeant de PME devrait utiliser
Votre prestataire informatique détient les accès administrateur de vos serveurs et de vos sauvegardes. En 2026, deux juridictions françaises ont condamné des prestataires pour une sauvegarde jamais vérifiée et pour un serveur livré sans pare-feu. Dans les deux dossiers, l'entreprise cliente avait d'abord payé la remise en route de son activité, avant d'attendre des années une indemnisation.
Dans l'exemple le plus récent d'incident cyber, jusqu'à 1,7 million de dossiers de l'Afpa ont pu être exposés à cause d'une faille dans l'outil de gestion des hébergements d'un éditeur tiers. L'organisme de formation n'hébergeait pas cet outil, a précisé son directeur adjoint, Pierre Prady.
Vous prenez ce risque dès que vous confiez votre parc informatique à une ESN, une entreprise de services du numérique locale ou à un MSP. Un MSP (pour managed service provider) est un fournisseur de services informatiques gérés. Contre un abonnement mensuel, il administre à distance vos serveurs et vos postes de travail, grâce à un logiciel de supervision et de prise en main à distance installé sur chacune de vos machines. Avec ce logiciel, son technicien peut avoir accès à vos systèmes à toute heure. Si un pirate dérobe ses identifiants, il obtient exactement les mêmes droits.
Donc avant de lui confier ces accès, quelles questions lui poser et quelles certifications exiger ? Et à quels signaux d'alerte reconnaître un prestataire à écarter ?
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Comme on l'apprend dans le Panorama de la cybermenace 2025 de l'ANSSI, les pirates installent des logiciels commerciaux de prise en main à distance à toutes les étapes d'une attaque, du déplacement d'une machine à l'autre jusqu'au vol de données. Dans la majorité des incidents recensés par l'agence, il s'agissait d'AnyDesk, mais aussi TeamViewer et ScreenConnect. Dans certains cas, les attaquants ont commencé par compromettre un prestataire de leur victime, parfois grâce à des identifiants divulgués sur des forums cybercriminels.
Avant de signer, demandez au prestataire quel logiciel il installera sur vos postes et qui, dans son équipe, pourra se connecter à vos machines. Chaque technicien doit disposer d'un compte nominatif protégé par une double authentification, jamais d'un identifiant administrateur partagé entre plusieurs clients. Exigez aussi de savoir où il conserve vos mots de passe administrateur, et comment il les renouvelle quand un salarié quitte son équipe. Sur le poste de votre comptabilité et vos autres postes sensibles, vous pouvez imposer que chaque prise en main à distance soit validée par l'utilisateur devant son écran.
Posez enfin la question des journaux de connexion. Dans ces fichiers, chaque accès est inscrit avec son heure et l'adresse IP de la personne connectée. Piratée à deux reprises au printemps 2025, une agence de voyage corse a perdu 280 000 euros en billets d'avion achetés frauduleusement, puis a dû réclamer en justice les journaux de connexion de ses fournisseurs. Sa messagerie était hébergée chez Gandi, et cette entreprise refusait de les transmettre faute de contrat direct avec l'agence, qui passait par un revendeur. Le 11 juin, la cour d'appel d'Aix-en-Provence a contraint Gandi et la plateforme de réservation Amadeus à les livrer, car l'expert judiciaire ne pouvait pas reconstituer sans eux le chemin emprunté par les pirates. Inscrivez donc dans votre contrat la durée de conservation de ces journaux et votre droit de les consulter après un incident.
Cybermalveillance.gouv.fr attribue le label ExpertCyber aux prestataires capables de sécuriser les systèmes d'une entreprise ou d'une collectivité et de l'assister après un incident. L'audit est confié à AFNOR Certification, sur un référentiel rédigé avec des syndicats professionnels du numérique et France Assureurs. Environ 200 entreprises étaient labellisées en mars 2025. Vous pouvez v