Infogérance, dépanneur ou RSSI externalisé : qui fait quoi

Le dépanneur répare ce qui tombe en panne, l’infogérant fait tourner et surveille le système au quotidien, le RSSI externalisé fixe les règles de sécurité et en répond devant la direction. Face à un même courriel piégé, ces trois profils n’interviennent ni au même moment ni sur la même question : qui prévient, qui décide, qui prouve.

Trois métiers que les PME confondent souvent

Quand je demande à un dirigeant qui s’occupe de la sécurité informatique de son entreprise, la réponse est presque toujours un nom : celui du prestataire qui intervient sur les postes. C’est rarement faux, et c’est rarement suffisant. Trois métiers se cachent derrière cette même attente.

Le dépanneur intervient à la demande. Un poste ne démarre plus, une imprimante refuse d’imprimer, un disque montre des signes de faiblesse : il diagnostique, répare et repart. Son travail se facture à l’intervention ou au forfait, et sa valeur tient à sa réactivité. Choisir le bon suppose quelques précautions, que je détaille dans l’article comment trouver un bon informaticien.

L’infogérant, lui, prend en charge le fonctionnement courant du système par contrat. Il supervise les serveurs, applique les mises à jour, vérifie les sauvegardes et s’engage sur des délais de prise en charge. Le principe et les critères de choix sont développés dans notre dossier sur l’infogérance pour PME.

Le troisième profil ne touche pas aux machines. Un responsable sécurité à temps partagé, souvent appelé RSSI externalisé, définit la politique de sécurité, évalue les risques et arbitre avec le dirigeant ce qui doit être protégé en priorité. Des cabinets de conseil en cybersécurité, comme Ad Confirma, basé près de Lyon et intervenant dans toute la France, organisent cette mission en étapes : diagnostic, feuille de route, pilotage, puis accompagnement opérationnel des équipes.

La distinction tient en une formule que je répète souvent : l’infogérant opère, le RSSI externalisé gouverne, le dépanneur répare.

Le scénario : un courriel piégé à la comptabilité

Prenons une entreprise de trente salariés, quelque part entre Strasbourg et Colmar. Un mardi matin, la comptable reçoit un courriel qui reprend la présentation habituelle d’un fournisseur. Il annonce un changement de coordonnées bancaires et invite à consulter « le document joint » sur un espace de partage, qui demande de saisir les identifiants de la messagerie. Elle les saisit.

Deux jours plus tard, un client appelle : il a reçu depuis la boîte de la comptable une facture portant un nouveau RIB, et s’étonne. L’attaquant a eu le temps de lire les échanges, de repérer les factures en cours et d’écrire aux clients avec une adresse parfaitement authentique.

À partir de là, trois questions se posent. Qui s’aperçoit du problème et donne l’alerte ? Qui décide de ce qu’il faut couper, prévenir et déclarer ? Qui reconstitue les faits et en garde la trace ? La réponse change complètement selon l’organisation en place. Le montant détourné, lui, dépend surtout de la vitesse à laquelle le premier virement frauduleux est repéré et signalé à la banque.

Avec un dépanneur seulement

L’alerte vient du client, deux jours trop tard. Personne dans l’entreprise n’avait de raison de regarder les connexions à la messagerie. Dans une organisation où la sécurité informatique PME se résume à un numéro de téléphone, c’est le schéma attendu : l’incident se découvre par ses effets, rarement par ses signes avant-coureurs.

Le dépanneur est appelé dans l’après-midi. Il change le mot de passe, lance une analyse du poste, supprime éventuellement une règle de transfert suspecte s’il pense à la chercher. Son intervention est utile et rapide, mais elle répond à une question technique : la machine est-elle saine ?

Les décisions restent au dirigeant, seul et sans grille. Faut-il prévenir tous les clients, la banque, l’assureur ? Des données personnelles ont-elles été consultées ? Personne ne sait vraiment. Quant à la preuve, elle manque : les journaux de connexion de la messagerie n’ont pas été conservés, la chronologie n’existe que dans les souvenirs. Si le client victime d’un faux virement se retourne contre l’entreprise, le dossier sera mince. Le dépannage informatique a réparé, il n’a pas enquêté.

Avec un infogérant

Le filtrage de la messagerie mis en place par l’infogérant aurait pu bloquer le courriel. Admettons qu’il soit passé. La connexion depuis un pays inhabituel, quelques minutes après la saisie des identifiants, déclenche une alerte dans son outil de supervision, et le technicien d’astreinte appelle l’entreprise le matin même.

Dans le cadre de son contrat, l’infogérant agit vite : il révoque les sessions ouvertes, réinitialise le mot de passe, supprime la règle de transfert créée par l’attaquant, puis active la double authentification si elle ne l’était pas. Il peut fournir les journaux de connexion et une chronologie technique, à condition que le contrat le prévoie.

Les décisions métier, en revanche, ne lui appartiennent pas. Prévenir les clients, informer la banque, déclarer l’incident à l’assureur ou à la CNIL : l’infogérant attend des consignes. Et une question délicate reste en suspens. Si le filtrage ou la configuration de la messagerie présentaient une faiblesse, c’est à lui qu’il reviendrait de l’écrire dans le rapport. L’infogérance informatique gère l’incident, elle n’est pas la mieux placée pour juger ses propres failles.

Avec un responsable sécurité à temps partagé

Le travail utile commence bien avant le mardi matin. Un responsable sécurité informatique externalisé aurait posé des règles simples et vérifiées : tout changement de coordonnées bancaires se confirme par téléphone, au numéro déjà connu ; la double authentification protège les messageries ; chaque salarié sait à qui signaler un courriel douteux, sans crainte d’être blâmé. Il aurait aussi fait jouer un exercice, pour que la procédure ne soit pas découverte le jour de l’attaque.

Le jour venu, l’alerte suit ce circuit. La comptable signale son doute dès qu’elle s’aperçoit que la page de connexion ne ressemblait pas tout à fait à l’habituelle. Une cellule de décision prévue d’avance réunit le dirigeant, le responsable sécurité et l’infogérant. L’infogérant exécute les mesures techniques ; le responsable sécurité conduit les décisions : quels clients prévenir et avec quel message, quand appeler la banque, quoi déclarer à l’assureur.

La preuve devient son affaire. Il fait conserver les journaux, établit la chronologie, qualifie la violation de données personnelles et, si le risque pour les personnes le justifie, prépare la notification à la CNIL dans les 72 heures prévues par l’article 33 du règlement général sur la protection des données. Après l’incident, il conduit le retour d’expérience et met à jour l’analyse de risques. Il ne remplace ni l’infogérant ni le dépanneur : il donne une direction à leur travail.

Qui prévient, qui décide, qui prouve

Rapporté aux trois questions de départ, le scénario donne une lecture nette.

• Prévenir : sans organisation, c’est le client victime qui alerte ; avec un infogérant, c’est l’outil de supervision ; avec un responsable sécurité, c’est d’abord le salarié formé, puis la supervision en relais.
• Décider : le dirigeant décide toujours, mais seul face au dépanneur, avec des consignes à donner à l’infogérant, et avec une grille préparée quand un responsable sécurité est en place.
• Prouver : la trace disparaît avec le dépanneur seul, elle existe techniquement chez l’infogérant, elle devient un dossier exploitable, pour un assureur, un client ou un juge, quand un responsable sécurité la construit.

Quelle combinaison selon la taille de l’entreprise

Pour une TPE de quelques postes, un dépanneur de confiance et une poignée de règles bien appliquées couvrent l’essentiel du risque : mots de passe robustes, double authentification, sauvegardes testées et vigilance face aux courriels. Ces bases sont détaillées dans notre guide des bonnes pratiques de cybersécurité pour les TPE-PME, et un dépannage informatique à Strasbourg suffit alors pour les pannes du quotidien.

À partir d’une vingtaine de postes, ou dès que l’activité dépend fortement de la messagerie, d’un logiciel métier ou de données clients, le duo formé par l’infogérant et un responsable sécurité à temps partagé devient cohérent. L’un garantit que le système tourne, l’autre que les bonnes décisions sont prises et documentées. Le temps accordé au second se dimensionne selon les enjeux : quelques jours pour un diagnostic et une feuille de route, un accompagnement régulier ensuite.

Quand les deux coexistent, trois clauses du contrat d’infogérance méritent d’être relues avec le responsable sécurité. La première garantit l’accès aux journaux de connexion et d’administration, avec une durée de conservation suffisante pour reconstituer un incident découvert tardivement. La deuxième précise qui déclenche quoi en cas d’alerte : l’infogérant doit savoir qui appeler, à quelle heure, et quelles mesures il peut prendre seul. La troisième organise la réversibilité, pour que les comptes administrateurs, les sauvegardes et la documentation restent la propriété de l’entreprise. Sans ces trois points, le RSSI externalisé arrive après chaque incident devant un système qu’il ne peut ni observer ni contrôler.

Mon conseil, quand une entreprise hésite : commencer par le diagnostic, jamais par l’outil. Acheter une solution de sécurité avant d’avoir décidé qui la pilote revient à confier les clés à un système que personne ne surveille vraiment.

Prochaine étape

Prenez une feuille et écrivez les trois questions de ce scénario pour votre propre entreprise : qui préviendrait, qui déciderait, qui prouverait. Mettez un nom en face de chacune. Une case vide indique précisément le profil qui vous manque.