Chez Computis, nous réalisons chaque semaine des audits de sécurité pour des PME romandes, des communes et des institutions publiques. Et un constat revient régulièrement : les organisations investissent sérieusement dans leur propre sécurité, pare-feu, MFA, sauvegardes, sensibilisation, puis donnent à un prestataire externe un accès large à leur infrastructure, sans jamais vérifier le niveau de sécurité de ce prestataire. Le maillon faible n'est plus à l'intérieur. Il est chez celui à qui vous avez ouvert la porte.
Une part croissante des incidents de cybersécurité ne provient pas de l'organisation elle-même, mais d'un tiers ayant accès à ses systèmes, prestataire IT, éditeur logiciel, sous-traitant métier. Vous pouvez avoir une sécurité irréprochable et être compromis par la faille de quelqu'un d'autre.
Le problème : la sécurité que vous ne maîtrisez pas
Aucune organisation ne fonctionne seule. Vous avez un prestataire informatique qui accède à vos serveurs à distance. Un éditeur de logiciel métier qui pousse des mises à jour sur vos postes. Un comptable ou une fiduciaire qui manipule vos données financières. Un prestataire de maintenance qui intervient sur vos équipements. Chacun de ces acteurs dispose d'un accès, et chacun de ces accès est une extension de votre surface d'attaque.
Le problème est simple : vous contrôlez votre propre niveau de sécurité, mais pas le leur. Si le prestataire qui accède à votre réseau utilise un ordinateur compromis, si l'éditeur de votre logiciel métier se fait pirater et que le canal de mise à jour est détourné, si les identifiants d'accès de votre fiduciaire fuitent, c'est votre organisation qui en subit les conséquences.
Les attaquants l'ont compris depuis longtemps. Plutôt que d'attaquer frontalement une cible bien protégée, il est souvent plus efficace de passer par un fournisseur moins bien défendu qui, lui, dispose d'un accès légitime. C'est la logique de l'attaque par la chaîne d'approvisionnement, et elle vise particulièrement les PME, qui ne vérifient presque jamais la sécurité de leurs prestataires.
Ce qu'on observe sur le terrain
Lors d'un audit pour une PME romande de 55 collaborateurs, nous avons constaté que le prestataire informatique historique disposait d'un accès administrateur permanent à l'ensemble du réseau, via un outil de prise en main à distance actif en continu, sans MFA, avec un compte partagé entre plusieurs techniciens. Aucun de ces accès n'était journalisé côté client. La PME faisait confiance à son prestataire, mais n'avait aucun moyen de savoir qui accédait à quoi, ni quand.
Dans une commune vaudoise, un logiciel de gestion fourni par un éditeur tiers se mettait à jour automatiquement depuis les serveurs de l'éditeur. Personne, côté commune, ne pouvait vérifier l'intégrité de ces mises à jour. Une compromission de l'éditeur aurait pu se propager à la commune sans aucun signal d'alerte.
🇨🇭 Ce que ça veut dire pour votre organisation
La nLPD est explicite sur ce point : lorsque vous confiez le traitement de données personnelles à un sous-traitant, vous restez responsable. Vous devez vous assurer que ce sous-traitant garantit un niveau de protection approprié, et le formaliser par un contrat de sous-traitance (DPA). Un prestataire qui accède à vos données sans cadre contractuel de sécurité n'est pas seulement un risque technique : c'est une non-conformité documentable.
Les 3 points à corriger en priorité
1. Inventorier qui a accès, et à quoi
La première étape est de savoir précisément quels tiers disposent d'un accès à vos systèmes et à vos données : prestataire IT, éditeurs logiciels, fiduciaire, maintenance, cloud. Pour chacun : quel type d'accès, quelle étendue, quelle authentification, quelle traçabilité. La plupart des organisations n'ont jamais dressé cette liste, et découvrent lors de l'audit des accès dont elles avaient oublié l'existence.
2. Encadrer contractuellement la sécurité des prestataires
L'accès d'un tiers à vos systèmes doit être encadré : exigences de sécurité minimales, MFA obligatoire, journalisation des interventions, contrat de sous-traitance (DPA) pour tout traitement de données personnelles. Faire confiance ne suffit pas, la confiance doit être formalisée et vérifiable. Un bon prestataire acceptera sans difficulté ces exigences ; un prestataire qui les refuse est lui-même un signal d'alerte.
3. Appliquer le moindre privilège aux accès tiers
Un prestataire ne devrait disposer que des accès strictement nécessaires à sa mission, pas d'un accès administrateur permanent "par confort". Accès temporaires activés à la demande, comptes nominatifs plutôt que partagés, révocation immédiate en fin de mission, journalisation systématique. Le moindre privilège s'applique à vos fournisseurs autant qu'à vos collaborateurs.
L'approche Computis
La gestion des risques fournisseurs n'est pas une remise en cause de vos prestataires, c'est une discipline de sécurité qui protège tout le monde, vous comme eux. Et elle se met en place sans friction excessive, à l'échelle de votre organisation.
Chez Computis, notre approche pour les PME et communes romandes fonctionne en trois temps. D'abord, un audit préliminaire : cartographie des accès tiers, revue des contrats existants, identification des accès excédentaires ou non journalisés, évaluation de votre exposition nLPD via vos sous-traitants. Ensuite, la mise en conformité : encadrement contractuel, application du moindre privilège aux accès tiers, mise en place de la journalisation. Enfin, le suivi : revue périodique des accès fournisseurs, procédure d'entrée et de sortie de prestataires.
Passez à l'action
Savez-vous exactement quels prestataires ont accès à vos systèmes, et avec quel niveau de sécurité ? Chez Computis, nous réalisons un audit préliminaire de vos accès tiers et de votre exposition via vos fournisseurs, pour les PME et communes romandes sans équipe IT dédiée. Cartographie des accès, contrats, moindre privilège, rapport documenté.
✅ Notre audit préliminaire est payant et sérieux. Son coût est intégralement déduit de la prestation si vous décidez de travailler avec nous.
👤 Cybersécurité, cloud ou réseau, chez Computis, vous avez un interlocuteur unique qui maîtrise les trois domaines. Pas de transfert de dossier, pas de prestataire tiers.
Ce qu'il faut retenir
Votre sécurité vaut celle de votre maillon le plus faible, et ce maillon est souvent un tiers à qui vous avez ouvert la porte en toute confiance. La confiance n'est pas une mesure de sécurité. Inventorier, encadrer, limiter : trois disciplines simples qui transforment vos fournisseurs de risque invisible en partie maîtrisée de votre infrastructure.
FAQ
Nous faisons confiance à nos prestataires depuis des années, pourquoi remettre ça en cause ?
Il ne s'agit pas de remettre en cause la relation, mais de la sécuriser. La confiance humaine et la sécurité technique sont deux choses distinctes. Un prestataire de confiance peut, sans mauvaise intention, avoir un poste compromis ou des identifiants qui fuitent. Encadrer les accès protège les deux parties.Comment vérifier la sécurité d'un fournisseur sans être nous-mêmes experts ?
Vous n'avez pas besoin d'auditer techniquement chaque prestataire. Vous avez besoin d'exiger contractuellement des garanties de base (MFA, journalisation, DPA), de limiter les accès au strict nécessaire, et de savoir qui accède à quoi. C'est précisément ce que nous mettons en place lors de l'audit — un cadre simple et vérifiable.La nLPD nous rend-elle responsables des failles de nos sous-traitants ?
Oui. Lorsque vous confiez le traitement de données personnelles à un sous-traitant, vous restez responsable de garantir un niveau de protection approprié. Un contrat de sous-traitance (DPA) est attendu. En cas d'incident chez le sous-traitant, votre organisation peut être tenue pour responsable de ne pas avoir encadré ce traitement.Nous n'avons pas d'équipe IT interne, Computis peut-il gérer tout cela à notre place ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe — vous avez un interlocuteur unique qui assure l'audit, l'encadrement, la mise en conformité et le suivi.Comment fonctionne l'audit préliminaire Computis sur ce sujet ?
L'audit préliminaire est une prestation payante qui produit un rapport documenté : cartographie des accès tiers, revue des contrats, identification des accès excédentaires, évaluation de votre exposition nLPD via vos sous-traitants, recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous.
Abonnez-vous — chaque quinzaine désormais, un éclairage concret sur l’IT et la cybersécurité pour les PME et institutions suisses.