Comment évaluer un prestataire en cybersécurité avant de signer

Une proposition commerciale bien faite ne dit presque rien de la qualité d’exécution. Les écarts entre prestataires se voient sur des points précis, que la plupart des acheteurs ne pensent pas à vérifier.

Voici ce que nous conseillerions de demander — y compris à nous.

1. Qui interviendra réellement

C’est la question la plus importante et la plus souvent éludée. La proposition présente des profils séniors ; la mission est réalisée par quelqu’un d’autre.

Ce qu’il faut exiger dans le contrat :

• Les curriculums nominatifs des personnes affectées, pas des profils types.
• Un droit de validation du remplaçant en cas de changement.
• Un préavis et une période de recouvrement en cas de remplacement.

Sur un appel d’offres attribué au moins-disant, l’ajustement se fait presque toujours sur le profil réellement affecté — voir ce qui compose un TJM. Contractualiser le profil est plus efficace qu’une négociation de tarif.

2. La méthode, pas les outils

Un prestataire qui répond par une liste d’outils décrit son outillage, pas sa démarche.

Les questions utiles : sur quel référentiel s’appuyez-vous, comment priorisez-vous les constats, comment traitez-vous les faux positifs, que faites-vous quand vous découvrez un problème hors périmètre ?

Cette dernière question est révélatrice. Un prestataire sérieux a une réponse préparée : signalement immédiat, sans exploitation, avec proposition d’extension de périmètre. Un prestataire qui répond « on regarde quand même » a un problème de cadre.

3. Un exemple de livrable

Demandez un rapport anonymisé d’une mission comparable, avant de signer.

C’est cinq minutes de lecture qui évitent trois semaines de malentendu. Vérifiez ce qui est décrit dans ce que doit contenir un rapport : une synthèse lisible par un non-technicien, le périmètre non couvert, une priorisation contextualisée, des preuves reproductibles, des recommandations applicables.

Un prestataire qui refuse de montrer un exemple, même caviardé, mérite une question de plus.

4. Les qualifications, avec leur portée

La mention « qualifié ANSSI » sans précision ne suffit pas. Les qualifications sont délivrées par portée : un prestataire qualifié pour l’audit d’architecture ne l’est pas nécessairement pour les tests d’intrusion.

À vérifier : la portée exacte, la validité en cours, et le fait que la qualification couvre bien la prestation commandée. Voir ce que recouvrent les qualifications.

Une certification ISO 27001 du prestataire est un autre signal, distinct : elle porte sur son propre système de management, pas sur la qualité de ses audits.

5. Ce qu’il fait de vos données

Question rarement posée, et de plus en plus importante.

Pendant une mission, le prestataire manipule vos configurations, votre code, vos journaux, parfois vos données réelles. Trois points à contractualiser :

• Où ces éléments sont stockés pendant et après la mission, et pour combien de temps.
• Qui y a accès chez lui.
• Le recours à des outils tiers, y compris des assistants d’IA. Envoyer des extraits de votre code dans un service externe est un transfert, souvent contraire aux clauses de confidentialité signées — voir l’usage de l’IA en mission.

Posez la question par écrit. La qualité de la réponse est en soi une information.

6. Les références vérifiables

Une liste de logos ne prouve rien. Demandez une référence dans un contexte comparable — taille, secteur, type de mission — et la possibilité d’échanger avec le client.

Si l’échange est possible, trois questions à poser au référent : le prestataire a-t-il tenu les délais, le livrable a-t-il été exploitable, et que s’est-il passé quand il y a eu un désaccord.

La troisième réponse est la plus instructive.

7. Ce qui n’est pas inclus

Un prestataire sérieux écrit noir sur blanc ce que la mission ne couvre pas. Celui qui l’évite prépare une discussion d’avenant.

Vérifiez notamment : le retest après correction est-il compris, la restitution orale est-elle prévue, l’assistance à la remédiation est-elle incluse ou facturée en sus.

Voir pourquoi les missions dérapent : le périmètre non écrit est la première cause.

8. La charge attendue de votre côté

Une mission suppose des entretiens, des accès, des relectures. Un prestataire qui ne chiffre pas cette charge ne l’a pas anticipée — et le planning dérapera dès la deuxième semaine.

Une proposition qui indique « cette mission suppose environ X jours-homme de vos équipes » est un bon signe : elle montre qu’il a déjà mené ce type de mission.

Les signaux d’alerte

• Un devis très inférieur aux autres sans explication. Le prestataire a mal compris le besoin, ou compte se rattraper.
• Un forfait sur un besoin flou. Il prépare le conflit — voir régie ou forfait.
• Aucune question désagréable au cadrage. Un prestataire qui ne demande pas qui décide et qui sera disponible n’a pas anticipé les blocages.
• La promesse d’un résultat garanti — « aucune vulnérabilité ne nous échappera ». Personne ne peut le garantir.
• Une confusion entre audit et vente. Un prestataire qui vend aussi les solutions qu’il recommande est en conflit d’intérêts. Ce n’est pas rédhibitoire, mais cela doit être déclaré et pesé.

Après la mission

L’évaluation ne s’arrête pas à la signature. Trois critères, à froid :

1. Le livrable a-t-il produit des décisions, ou a-t-il été archivé ?
2. Les recommandations étaient-elles applicables dans votre contexte ?
3. Combien ont été mises en œuvre trois mois après ?

C’est le seul indicateur de qualité qui compte, et il n’est mesurable qu’après coup. Il détermine s’il faut reconduire — voir ce qui fait un livrable utile.

Sources

• ANSSI — prestataires qualifiés et portées
• ISO/IEC 27002:2022, mesures 5.19 à 5.22 — relations avec les fournisseurs
• Règlement (UE) 2016/679 (RGPD), article 28

Aller plus loin

Nos modalités d’intervention et nos engagements sont détaillés sur la page services. Voir aussi les clauses de sécurité à prévoir.