Infogérance pour PME : superviser son informatique sans DSI

L’infogérance consiste à confier la gestion quotidienne du système informatique d’une PME à un prestataire spécialisé : supervision des serveurs et des postes, mises à jour, sauvegardes, sécurité. L’entreprise conserve ses choix stratégiques, le prestataire garantit le fonctionnement, prévient les pannes et réagit aux incidents avant qu’ils paralysent l’activité.

Ce que recouvre vraiment un contrat d’infogérance

Le terme regroupe des réalités très différentes selon les prestataires. Dans sa version complète, souvent appelée services managés (le fameux modèle MSP, pour Managed Service Provider), l’infogérance informatique prend en charge quatre blocs :

• Parc et licences : postes de travail, serveurs, équipements réseau, logiciels, avec un inventaire tenu à jour
• La supervision : surveillance automatisée de l’état de santé de chaque équipement, alertes en temps réel
• La maintenance : correctifs de sécurité, montées de version, remplacement préventif du matériel vieillissant
• La sécurité : antivirus managé, sauvegardes externalisées, contrôle des accès, filtrage de la messagerie

La distinction clé se joue entre le modèle curatif et le modèle managé. Un informaticien en curatif attend l’appel du client : l’imprimante ne répond plus, le serveur a redémarré, la messagerie est tombée. Un prestataire en gestion managée inverse la logique : ses outils détectent l’anomalie, souvent avant que les utilisateurs la remarquent, et l’intervention démarre sans que personne ait décroché son téléphone.

Pour une PME de 10 à 50 postes, trop petite pour justifier un informaticien salarié à temps plein mais trop dépendante de son informatique pour improviser, ce modèle répond à un vrai problème structurel. Le recrutement d’un technicien interne coûte un salaire chargé complet pour une charge de travail rarement continue, avec les absences et le turnover en prime.

Supervision 24/7 : détecter l’incident avant l’utilisateur

Le cœur technique de l’offre repose sur des agents logiciels installés sur chaque poste et chaque serveur. Ces sondes remontent en continu des dizaines d’indicateurs : espace disque restant, température, état des services critiques, réussite des sauvegardes, expiration des certificats, retard de mises à jour. Dès qu’un seuil est franchi, une alerte part vers le centre de supervision du prestataire.

Ce fonctionnement s’est généralisé bien au-delà de la France. En Suisse romande, où l’Office fédéral de la cybersécurité a recensé quelque 63 000 cyberincidents signalés en 2024, soit près du double de 2023, des sociétés comme Avepto ont construit leur offre d’infogérance IT à Genève autour de cette supervision permanente : les PME genevoises délèguent le monitoring de leur parc et la gestion proactive des incidents à une équipe qui surveille leurs systèmes en continu. Le contexte suisse illustre bien l’enjeu : un tissu économique dominé par des petites structures, très numérisées, sans ressources informatiques internes.

Concrètement, voici ce qu’une supervision bien réglée intercepte avant la panne :

• Un disque de serveur rempli à 92 % : extension planifiée avant le blocage complet
• Une sauvegarde nocturne échouée deux jours de suite : correction avant qu’un incident rende ces sauvegardes indispensables
• Un certificat SSL qui expire dans 15 jours : renouvellement anticipé, pas de site inaccessible
• Un poste qui n’a pas reçu ses correctifs depuis un mois : mise en conformité forcée
• Des tentatives de connexion répétées sur un compte : blocage et vérification immédiats

La différence avec le dépannage classique se mesure en heures d’activité sauvées. Une panne détectée à 6 h du matin et corrigée avant 8 h reste invisible pour les équipes. La même panne découverte à 9 h par les salariés bloque une journée de travail, avec le coût salarial et commercial associé.

Derrière les sondes, il reste des humains. Les alertes mineures se traitent automatiquement ou en file d’attente le lendemain matin. Les alertes critiques, serveur injoignable ou comportement suspect sur le réseau, déclenchent une astreinte : un technicien se connecte à distance dans les minutes qui suivent, quelle que soit l’heure. Cette hiérarchisation évite l’écueil inverse, un centre de supervision noyé sous les fausses alertes qui finit par ignorer la vraie.

Mises à jour automatisées : le chantier que personne ne fait à la main

Appliquer les correctifs de sécurité est la tâche la plus rentable et la moins réalisée de l’informatique de PME. Chaque deuxième mardi du mois, Microsoft publie son lot de correctifs, le fameux Patch Tuesday. S’y ajoutent les mises à jour des navigateurs, des outils métier, des firmwares d’équipements réseau. Sur un parc de 30 postes, ce suivi manuel représente un travail continu que personne n’assume réellement en interne.

Le problème dépasse le confort. Dans son panorama de la cybermenace 2024, l’ANSSI relève que l’exploitation de vulnérabilités connues sur les équipements de bordure, pare-feu et VPN en tête, figure parmi les principales portes d’entrée des attaquants. Autrement dit : des failles déjà corrigées par les éditeurs, mais jamais patchées chez les victimes.

L’infogérance industrialise ce processus. Le prestataire définit une politique de déploiement : correctifs critiques appliqués sous quelques jours, mises à jour standard regroupées dans des fenêtres de maintenance nocturnes, tests préalables sur un groupe pilote pour éviter qu’un correctif défectueux casse un logiciel métier. Ce niveau d’automatisation rejoint la logique décrite dans notre guide sur l’automatisation des tâches répétitives : sortir l’humain des opérations récurrentes à faible valeur ajoutée pour fiabiliser leur exécution.

Le résultat se vérifie dans les audits : un parc infogéré présente un taux de conformité des correctifs proche de 100 %, quand un parc géré au fil de l’eau accumule des mois de retard sur une partie des machines.

La cybersécurité, gérée en continu plutôt que par à-coups

Le volet sécurité justifie à lui seul la démarche pour beaucoup de dirigeants. En France, l’ANSSI a traité 4 386 événements de sécurité en 2024, en hausse de 15 % sur un an, et les petites structures constituent une part croissante des victimes. Les attaquants ciblent le rapport effort sur gain : une PME sans surveillance offre les mêmes données à rançonner qu’un grand compte, avec des défenses bien moindres.

Un contrat d’infogérance sérieux embarque un socle de sécurité managée :

• Protection des postes : antivirus nouvelle génération (EDR) administré de façon centralisée, avec remontée des alertes vers le prestataire
• Sauvegardes 3-2-1 : trois copies des données, deux supports distincts, une copie hors site et déconnectée, avec tests de restauration réguliers
• Gestion des accès : double authentification sur les services critiques, désactivation immédiate des comptes des collaborateurs partis
• Filtrage messagerie : blocage du phishing en amont des boîtes de réception
• Plan de reprise : procédure écrite et testée pour redémarrer l’activité après un incident majeur

Ces mesures recoupent les fondamentaux détaillés dans nos bonnes pratiques de cybersécurité pour TPE-PME. La différence : en infogérance, quelqu’un est contractuellement responsable de leur application, tous les jours, preuves à l’appui. La sécurité cesse d’être une résolution de début d’année pour devenir un processus outillé.

Un modèle économique qui change la nature de la dépense

L’infogérance transforme une dépense imprévisible en abonnement mensuel fixe, généralement facturé par poste et par serveur supervisés. Le budget devient lisible : le dirigeant sait ce que coûte son informatique chaque mois, quel que soit le nombre d’incidents.

La comparaison entre les trois approches possibles pour une PME résume les arbitrages :

Le forfait couvre en général la supervision, la maintenance préventive et le support utilisateurs. Les projets ponctuels, comme un déménagement de serveurs ou une migration vers le cloud, font l’objet de devis séparés, mais le prestataire qui connaît déjà le parc les mène plus vite et avec moins de risques qu’un intervenant découvert pour l’occasion.

Reste un point de vigilance : le forfait le moins cher exclut souvent le support utilisateurs ou plafonne les interventions. Lire le périmètre exact du contrat évite les mauvaises surprises de facturation au premier incident sérieux.

Choisir son prestataire : les critères qui comptent

Le marché de l’infogérance va du grand intégrateur national à l’informaticien local qui monte en gamme. Quelques critères objectifs départagent les offres :

1. Les SLA écrits : délai garanti de prise en charge et de rétablissement selon la criticité, avec pénalités en cas de dépassement. Un prestataire qui refuse de s’engager par écrit s’exclut de lui-même.
2. La réversibilité : propriété des comptes administrateurs, des licences et des sauvegardes conservée par la PME, documentation remise en fin de contrat.
3. Le reporting : un rapport mensuel factuel (incidents traités, correctifs déployés, état des sauvegardes) prouve que le travail préventif est réellement effectué.
4. La proximité : certaines pannes exigent une présence physique. Un prestataire capable d’intervenir sur site dans la journée garde un avantage décisif sur une hotline distante.
5. Les références : des clients comparables en taille et en secteur, à contacter directement.

La question de la proximité rejoint les conseils de notre guide pour trouver un bon informaticien : la compétence technique ne suffit pas, la capacité à comprendre le métier du client et à s’exprimer sans jargon fait la durabilité de la relation. Les entreprises alsaciennes trouveront aussi des repères concrets dans notre panorama de la maintenance informatique à Strasbourg.

Par où commencer ?

Prochaine étape : dresser l’inventaire de votre parc (postes, serveurs, logiciels métier, sauvegardes actuelles) et noter les trois derniers incidents qui ont bloqué l’activité, avec leur durée. Ce document de deux pages suffit pour demander des devis comparables à deux ou trois prestataires et juger leur sérieux sur pièce. Comptez quatre à six semaines entre la première prise de contact et le démarrage effectif de la supervision : l’audit initial et l’installation des agents sur chaque machine prennent ce temps, et un prestataire qui promet de tout basculer en trois jours devrait plutôt vous alerter.