Un devis attractif ne garantit pas une continuité de service. La valeur d'une infogérance se mesure dans les détails contractuels, notamment le Service Level Agreement (SLA). Cette checklist technique permet de transformer des promesses marketing en engagements vérifiables. L'objectif est d'éviter les malentendus sur la réactivité et le périmètre avant même l'intervention. Nous détaillons ici comment analyser chaque clause critique : distinction entre prise en compte et résolution, couverture du monitoring proactif, gestion des identités et robustesse des sauvegardes. Cette grille s'applique à toute organisation de 1 à 1000 postes souhaitant sécuriser son système d'information (SI) auprès d'un prestataire externe.
1. La distinction cruciale : Acknowledgement vs Résolution
Le premier piège réside dans la confusion entre le délai de prise en compte et celui de résolution. Un SLA mal rédigé peut promettre une intervention rapide tout en laissant l'incident ouvert pendant des jours. * **Délai d'Acknowledgement (Prise en compte) :** C'est le temps maximal avant qu'un technicien ne confirme avoir reçu et analysé la demande. Pour un incident critique bloquant l'activité, ce délai doit être inférieur à 30 minutes. * **Délai de Résolution Cible :** C'est le temps estimé pour que le service soit rétabli. Attention : il s'agit souvent d'une cible statistique (ex: 95% des incidents résolus sous X heures) et non d'une garantie absolue à la minute près. **Point de contrôle :** Exigez un tableau clair liant chaque niveau de criticité (Critique, Majeur, Mineur) à ces deux délais distincts. Vérifiez si les horaires d'intervention sont bien définis (8h-18h du lundi au vendredi ou 24/7).
2. Périmètre technique : Proactif vs Réactif
L'infogérance moderne ne se limite pas à la maintenance corrective (réparer ce qui est cassé). Elle doit inclure une supervision proactive pour anticiper les pannes. * **Monitoring 24/7 :** Le prestataire surveille-t-il activement vos serveurs, réseaux et endpoints ? La différence se mesure au nombre d'incidents détectés avant que vous ne les signaliez. * **Gestion des identités (IAM) :** L'administration de Microsoft 365 ou Google Workspace est-elle incluse ? Cela couvre la création/suppression de comptes, la gestion des droits et l'activation systématique du MFA (Multi-Factor Authentication). * **Sécurité des endpoints :** La protection antivirus/EDR (ex: Bitdefender) fait-elle partie du service géré ou est-elle facturée à part ? **Point de contrôle :** Si le prestataire sous-traite systématiquement la sécurité ou l'administration cloud, la chaîne de responsabilité s'allonge et complexifie la résolution. Privilégiez une compétence interne.
3. Sauvegardes : La règle 3-2-1 testée
Une sauvegarde non restaurée est inutile. Le contrat doit préciser la méthode et, surtout, les tests de restauration. * **Règle 3-2-1 :** Trois copies des données, sur deux supports différents, dont une hors site (cloud sécurisé ou datacenter Tier 3/4). * **Fréquence des tests :** Exigez que le prestataire réalise et documente des restaurations complètes au moins annuellement, idéalement trimestriellement pour les données critiques. * **Chiffrement :** Les données doivent être chiffrées en transit et au repos (ex: BitLocker ou solutions équivalentes). **Point de contrôle :** Demandez à voir un rapport récent de test de restauration. Vérifiez si le SLA garantit une disponibilité des sauvegardes supérieure à 99,5%.
4. Méthodologie d'onboarding et audit initial
La transition vers un nouveau prestataire est critique. Une méthode structurée évite les pertes de données. * **Audit complet :** Inventaire précis du matériel, des logiciels et des flux réseau existants. * **Baseline technique :** Installation des agents de monitoring pour établir une norme de performance avant d'intervenir sur les anomalies. * **Interlocuteur unique :** Désignation claire d'un Service Delivery Manager (SDM) côté prestataire pour fluidifier la communication stratégique.
5. Trois scénarios génériques de validation
Ces exemples illustrent comment les critères précédents s'appliquent concrètement. **Exemple 1 : Cabinet juridique (Données sensibles)** Le SLA met l'accent sur la sécurité des accès distants et le chiffrement. La restauration est testée trimestriellement pour garantir la conformité RGPD sans interruption d'activité. **Exemple 2 : Logistique multisites (Continuité réseau)** La supervision active des liens internet inclut une redondance automatique. En cas de coupure fibre, le basculement vers une liaison secondaire est mesuré et garanti par un délai de résolution < 1 heure. **Exemple 3 : PME Industrielle (IoT & Production)** L'infogérance couvre la segmentation réseau pour isoler les machines-outils connectées du Wi-Fi administratif. Les mises à jour de sécurité sont planifiées hors heures de production pour ne pas impacter le temps réel.
6. Erreurs fréquentes lors de la signature
* **Sous-estimer le TCO (Coût Total) :** Un prix mensuel bas peut cacher des frais cachés pour les licences ou les interventions hors périmètre. * **Négliger l'aspect humain :** La pédagogie du Helpdesk est aussi importante que sa réactivité technique. * **Oublier la planification stratégique :** L'infogérance doit inclure des revues trimestrielles (QBR) pour discuter de l'évolution technologique à 3 ans, pas seulement des incidents passés.
Questions fréquentes
Quelle est la différence entre maintenance corrective et infogérance ?
La maintenance corrective intervient après une panne. L'infogérance englobe cette correction mais ajoute la supervision proactive, l'administration système continue, le conseil stratégique et la gestion de la sécurité au quotidien.
Comment vérifier si mes sauvegardes fonctionnent réellement ?
Ne vous fiez pas uniquement aux rapports automatiques. Exigez que votre prestataire réalise et documente des tests de restauration complets sur un environnement isolé, au moins une fois par an.
L'infogérance inclut-elle la gestion des licences Microsoft ou Adobe ?
Cela dépend du contrat choisi (All Inclusive ou à la demande). Dans les offres complètes, l'administration et le suivi des renouvellements de licences sont inclus pour éviter toute interruption de service.
Puis-je garder mon matériel actuel en passant à l'infogérance ?
Absolument. L'audit initial évaluera la viabilité de votre parc existant. Le prestataire proposera alors un plan de renouvellement progressif pour les équipements trop anciens ou non compatibles avec vos besoins sécurisés.
Validez votre périmètre technique
Un audit initial permet de cartographier vos risques actuels et d'ajuster le SLA à vos besoins réels, sans surprise budgétaire.