Infog : l'infogérance face aux réalités de la cybersécurité

Beaucoup d’entreprises, surtout les PME et les structures qui n’ont pas d’équipe IT dédiée, finissent par externaliser. Elles confient leur parc, leurs serveurs, leurs réseaux et leurs sauvegardes à un prestataire. On appelle ça l’in fog, ou plus précisément l’infogérance informatique. Le principe est séduisant : on arrête de courir après les mises à jour, les pannes et les sauvegardes qui n’ont jamais été testées.

Le truc, c’est que ce transfert de responsabilité ne concerne pas que la maintenance. Il touche directement à la sécurité. Parce que le prestataire qui gère vos accès, vos backups et vos mises à jour détient souvent des privilèges importants sur votre système d’information. Et quand ça tourne mal, les conséquences se propagent vite.

Ce que l’in fog recouvre concrètement

Un infogérant s’occupe en général de la gestion complète ou partielle du système informatique : maintenance des postes et serveurs, administration des réseaux locaux et VPN, déploiement et supervision du Wi-Fi professionnel, sauvegardes automatisées avec plans de reprise, et support aux utilisateurs. Les meilleurs intègrent aussi la surveillance 24/7, l’application des correctifs de sécurité et une couche de protection contre les intrusions.

En clair, ils deviennent les gardiens techniques au quotidien. Pour une entreprise qui n’a ni le temps ni les compétences en interne, c’est souvent la solution la plus réaliste. Surtout quand le prestataire est réactif, avec des interventions sous deux heures et une vraie proximité, comme on en trouve encore chez certains acteurs régionaux.

Quand l’in fog renforce vraiment la protection

Bien fait, l’infogérance peut améliorer le niveau de sécurité. Les mises à jour critiques sont appliquées plus vite et de façon plus systématique que dans beaucoup d’équipes internes débordées. La surveillance permanente permet de repérer des anomalies avant qu’elles ne deviennent des incidents. Les sauvegardes sont gérées par des gens qui savent ce qu’ils font et qui les testent régulièrement.

Ajoutez à ça une expertise sur les configurations réseau, la segmentation ou le déploiement de solutions de détection d’intrusion que peu de structures de taille moyenne maîtrisent seules. Le résultat, c’est une surface d’attaque souvent mieux maîtrisée qu’avec un « on fait ce qu’on peut » en interne.

Le risque bien réel : quand l’in fog devient la porte d’entrée

Le problème, c’est que ce modèle crée une dépendance forte. Le prestataire a des accès légitimes et souvent étendus. S’il est compromis, l’attaquant hérite de ces accès et peut se déplacer discrètement vers les systèmes de ses clients.

Le CERT-FR de l’ANSSI l’a documenté clairement dans son panorama de la menace : en 2024, des compromissions de prestataires informatiques, dont des sociétés d’infogérance, ont permis d’atteindre les systèmes d’information de leurs clients. Dans un cas, une trentaine d’entreprises ont été impactées via un seul prestataire touché par un ransomware. Dans un autre, un sous-traitant étranger intervenant chez plusieurs grands groupes français a servi de relais pour exfiltrer des données.

Ce n’est pas de la théorie. Les attaquants ont compris que viser un infogérant donne un effet de levier intéressant : un seul effort, plusieurs cibles. Et la détection est plus compliquée parce que le trafic ressemble à de l’activité légitime de maintenance.

Vérifier son infogérant avant de lui ouvrir les portes

La première chose à faire, avant même de parler technique, c’est de vérifier que le prestataire existe vraiment et qu’il est solide. C’est là qu’Infogreffe devient un outil simple et efficace. Vous y cherchez la société par son nom ou son SIREN. Vous récupérez l’extrait Kbis, vous regardez depuis quand elle existe, qui la dirige, s’il y a eu des modifications récentes d’adresse ou de gérant, et s’il existe des procédures collectives en cours.

Ces informations sont officielles et certifiées par les greffes des tribunaux de commerce. Ça ne garantit pas que le prestataire est bon en cybersécurité, mais ça élimine déjà les sociétés fantômes, les créations récentes douteuses ou les structures en difficulté financière qui pourraient laisser tomber leurs clients du jour au lendemain.

Complétez ensuite par des questions précises : certifications de sécurité, résultats de tests d’intrusion récents, politique de gestion des accès privilégiés, couverture d’assurance cyber. Un bon infogérant n’a pas de mal à répondre sur ces sujets.

Les clauses contractuelles qui changent vraiment les choses

Le contrat est le moment où on pose les limites. Il faut des engagements clairs sur les délais de détection et de réponse aux incidents, sur la notification rapide en cas de compromission (mieux que les 72 heures réglementaires), sur le droit d’audit et sur les conditions de restitution des données et des accès en fin de relation.

Il faut aussi que le prestataire assume une part de responsabilité quand l’incident provient d’une défaillance de sa part, et qu’il dispose d’une assurance adaptée. Beaucoup de contrats restent encore très déséquilibrés sur ces points. Et c’est souvent là que les problèmes apparaissent après coup.

Garder la main même quand on externalise

Externaliser ne veut pas dire tout lâcher. Les principes de zero trust s’appliquent encore plus quand un tiers intervient régulièrement sur votre réseau. Comptes dédiés avec authentification forte et traçabilité, segmentation qui limite ce que le prestataire peut atteindre, supervision indépendante de vos propres outils, et sauvegardes que vous contrôlez ou que vous pouvez tester vous-même.

Certains choisissent même de garder la gestion des sauvegardes critiques ou des systèmes les plus sensibles en interne ou chez un deuxième prestataire. Ce n’est pas de la paranoïa, c’est de la résilience.

Au bout du compte

L’in fog reste un choix tout à fait pertinent pour la majorité des entreprises qui n’ont pas la taille pour tout faire en interne. Mais il faut le traiter comme ce qu’il est : un partenariat à risque qui demande de la vigilance au départ et du suivi dans la durée.

Ce qui fait la différence, ce n’est pas seulement le prix ou la réactivité du support. C’est la capacité du prestataire à protéger ce qu’il gère, et votre capacité à vérifier qu’il le fait vraiment. Parce qu’au final, même en infogérance, la responsabilité de la sécurité de vos données reste la vôtre.