Partir de l’activité
Le NCSC recommande aux petites entreprises d’identifier leurs systèmes et informations critiques et d’envisager les conséquences d’une indisponibilité. Cette démarche aide aussi à préparer une analyse de sécurité externe.
Notez d’abord les activités qui s’arrêteraient sans informatique : prendre des commandes, fixer des rendez-vous ou envoyer des factures. Repérez vos processus essentiels. Cela aidera à définir les priorités, même lorsqu’un service technique paraît anodin au premier abord. [1]
Les quinze premières minutes : recenser les services
Le guide du NIST pour les petites entreprises recommande de tenir un inventaire du matériel, des logiciels, des systèmes et des services. Son modèle intègre aussi les responsabilités et l’importance pour l’activité.
Pour cette préparation, nous proposons un simple tableau. Appuyez-vous sur vos contrats ou sollicitez votre prestataire informatique. Signalez explicitement les inconnues ; une première liste peut être incomplète. [2]
- Domaines : recenser le domaine principal, ceux des autres marques ou boutiques et les anciennes adresses connues.
- Prestataires : associer le bureau d’enregistrement, l’hébergeur, le fournisseur de messagerie et le prestataire informatique aux services concernés.
- Rôle dans l’activité : préciser le processus soutenu par chaque service important et ce qu’une panne interromprait.
- Changements : ajouter les dates d’une migration de site, d’un changement de prestataire ou de nouveaux services accessibles au public prévus.
Les quinze minutes suivantes : clarifier les responsabilités
Un domaine implique souvent plusieurs interlocuteurs. L’agence entretient le site, l’hébergeur exploite le serveur et une personne de l’entreprise gère le compte client. Notez qui peut répondre à une question technique et qui peut demander une modification.
- Titularité et gestion : indiquer au nom de qui le domaine et le compte du service sont enregistrés, et qui peut le confirmer.
- Autorisation de l’analyse : identifier qui autorise le périmètre convenu ; consigner les accords nécessaires avec les prestataires exploitant les services.
- Disponibilité : désigner un responsable et un suppléant joignables en cas de question ou d’interruption imprévue d’un service.
Préparer la transmission écrite
Pour une analyse à distance, l’évaluateur a besoin d’une vue claire des systèmes externes convenus. Définissez par écrit les informations à fournir en amont, les destinataires du rapport et le canal sécurisé de remise. La liste préparatoire n’autorise pas à elle seule le test de tous les systèmes mentionnés.
Ne joignez ni mots de passe, ni codes de récupération, ni données clients à la première demande. Les noms et adresses techniques suffisent pour commencer à délimiter le périmètre. Signalez les rattachements incertains : un service au nom ressemblant n’appartient pas nécessairement à votre entreprise.
Trois décisions à tirer des résultats
Pour la direction, une liste de résultats devient utile lorsqu’elle permet d’attribuer des tâches. Demandez une courte note écrite d’aide à la décision, en complément des preuves techniques. Nous proposons de rattacher chaque point pertinent à l’une des décisions suivantes.
- Agir : que doit modifier votre équipe informatique ou un prestataire désigné, et pourquoi est-ce prioritaire ?
- Clarifier : quelle information manquante ou observation non confirmée faut-il éclaircir d’abord, et qui s’en charge ?
- Vérifier à nouveau : après une modification, quels éléments permettront de confirmer que le constat précis est résolu ?
Réexaminer après les changements
Actualisez la vue d’ensemble après un changement important. Un nouvel hébergeur, un nouveau domaine ou une nouvelle boutique justifient de réévaluer les éléments concernés. Un rendez-vous périodique ne suffit pas, à lui seul, à tenir compte de ces changements.
Une analyse externe décrit la vue convenue au moment du contrôle. Elle ne valide ni l’ensemble de l’informatique interne ni automatiquement le respect des exigences légales ou contractuelles. Conservez donc la date, les limites et les questions ouvertes avec le suivi des actions.
À lire aussi
Sources et approfondissements
Publié le:
Sources primaires vérifiées le 29.09.2026.
Les sources et les limites sont indiquées dans l’article.