Comment auditer la securite de vos prestataires informatiques tiers en 7 etapes

L affaire Cerballiance (28 millions de dossiers medicaux exposes via un prestataire tiers en mars 2026) l a demontre une fois de plus : votre securite est celle de votre maillon le plus faible. Et dans 65 % des cas, ce maillon est un prestataire informatique externe. Ce guide vous donne une methode structuree pour auditer, evaluer et monitorer la posture de securite de vos fournisseurs IT.

Etape 1 : Dresser l inventaire complet de vos prestataires

Avant d auditer quoi que ce soit, vous devez savoir qui a acces a quoi. La majorite des RSSI sous-estiment le nombre de prestataires qui ont un pied dans leur SI. Une ETI typique en France travaille avec 15 a 40 prestataires IT differents, dont certains sont des sous-traitants de sous-traitants.

Pour chaque prestataire, documentez :

• Type d acces : VPN, SSH, API, acces physique, acces aux bases de donnees
• Perimetre de donnees : quelles donnees le prestataire peut-il lire, modifier ou supprimer ?
• Criticite operationnelle : que se passe-t-il si ce prestataire tombe ou est compromis ?
• Duree du contrat : depuis quand est-il en place ? Dernier renouvellement ?
• Contacts securite : qui est le referent securite cote prestataire ?

Classez ensuite vos prestataires en trois tiers : critique (acces aux donnees sensibles ou systemes de production), important (acces au SI mais pas aux donnees sensibles), et standard (services peripheriques). Une PME dans le secteur logistique a Lyon a decouvert lors de cet exercice qu un ancien prestataire de maintenance avait toujours un acces VPN actif depuis 3 ans. C est exactement ce type de decouverte qui previent les incidents.

Etape 2 : Envoyer un questionnaire de securite structure

Pour chaque prestataire du tier critique et important, envoyez un questionnaire de securite couvrant les domaines suivants :

• Gouvernance : politique de securite formalisee, RSSI dedie, certification ISO 27001 ou SOC 2
• Acces et identites : MFA obligatoire, gestion des comptes privilegies, rotation des mots de passe
• Infrastructure : segmentation reseau, chiffrement au repos et en transit, politique de patch management
• Donnees : localisation des donnees, politique de retention, processus de suppression
• Incidents : plan de reponse aux incidents, delai de notification, exercices de simulation
• Continuite : sauvegardes, PCA/PRA, tests de restauration
• RH : verification des antecedents, clause de confidentialite, formation securite

Basez-vous sur le referentiel ANSSI ou le framework ISO 27001 Annexe A pour structurer votre questionnaire. Une fintech a Nantes utilise un score pondere : chaque reponse vaut 0 a 3 points, et un prestataire en dessous de 60 % est mis en plan d action corrective sous 90 jours.

Etape 3 : Mener un audit technique cible

Le questionnaire ne suffit pas. Un prestataire peut repondre « oui » a tout et avoir un serveur non patche depuis 18 mois. L audit technique verifie la realite sur le terrain :

• Scan de surface externe : utilisez SecurityScorecard, BitSight ou Shodan pour evaluer la posture externe du prestataire (ports ouverts, certificats expires, DNS mal configure)
• Scan de vulnerabilites : avec Nessus, Qualys ou OpenVAS sur les systemes auxquels le prestataire a acces chez vous
• Test de penetration cible : simulez un attaquant qui a compromis le prestataire et tente de pivoter vers vos systemes
• Revue des logs : analysez 90 jours de logs d acces du prestataire pour identifier les anomalies

Un distributeur alimentaire a Toulouse a decouvert lors d un pentest que son prestataire ERP avait un compte d administration avec le mot de passe par defaut sur un serveur de pre-production contenant des donnees clients reelles. Le prestataire etait certifie ISO 27001. La certification n est pas une garantie.

Etape 4 : Renforcer les clauses contractuelles

Votre contrat avec chaque prestataire doit inclure des clauses de securite opposables :

• Droit d audit : vous pouvez auditer le prestataire une fois par an (minimum) sans preavis de plus de 5 jours ouvrables
• Notification d incident : obligation de vous notifier sous 24h en cas de suspicion de compromission
• Niveau de securite minimum : annexe technique detaillant les exigences (MFA, chiffrement, patch sous 72h pour les critiques)
• Penalites : sanctions financieres en cas de non-respect (par exemple, 1 % du contrat annuel par jour de non-conformite critique non corrigee)
• Clause de sortie : possibilite de rompre le contrat sous 30 jours si le prestataire refuse un audit ou echoue a un test de penetration
• Sous-traitance : interdiction de sous-traiter sans votre accord ecrit, avec les memes exigences de securite

Faites relire ces clauses par un avocat specialise en droit du numerique. Sous NIS2, l absence de clauses de securite dans vos contrats fournisseurs peut etre retenue comme un manquement a votre obligation de gestion des risques supply chain.

Etape 5 : Mettre en place un monitoring continu

L audit ponctuel est necessaire mais insuffisant. Entre deux audits, un prestataire peut degrader sa posture de securite. Le monitoring continu comble cette lacune :

• Scoring externe automatise : SecurityScorecard ou BitSight vous alertent si le score du prestataire baisse (nouveau port ouvert, certificat expire, fuite d identifiants)
• Monitoring des acces : configurez votre SIEM pour generer une alerte si un prestataire se connecte en dehors des plages horaires prevues, depuis un pays inattendu, ou accede a des ressources hors perimetre
• Revue mensuelle des logs : analysez les connexions prestataires chaque mois (volume, horaires, ressources accedees)
• Veille CVE : surveillez les vulnerabilites publiees affectant les technologies utilisees par vos prestataires

Etape 6 : Preparer un plan de reponse aux incidents prestataires

Quand (pas si) un prestataire sera compromis, vous devez pouvoir reagir en minutes, pas en jours. Votre plan doit repondre a ces questions :

• Coupure d acces : pouvez-vous revoquer tous les acces d un prestataire en moins de 15 minutes ? Si non, c est la priorite numero un.
• Communication : qui prevenir en interne ? Quel est le processus d escalade ?
• Forensique : avez-vous les logs necessaires pour determiner ce que le prestataire (ou l attaquant via le prestataire) a fait dans vos systemes sur les 90 derniers jours ?
• Continuite : si vous coupez le prestataire, avez-vous un plan B pour maintenir le service ?
• Notification : sous NIS2, vous avez 24h pour notifier l ANSSI. Le process est-il documente ?

Testez ce plan au moins une fois par an avec un exercice de simulation (tabletop exercise). Une ESN parisienne realise un exercice trimestriel ou elle simule la compromission d un prestataire different a chaque fois. En 6 mois, ils ont reduit leur temps de reaction de 4 heures a 22 minutes.

Etape 7 : Revue annuelle et amelioration continue

Chaque annee, realisez une revue complete de votre programme de gestion des risques tiers :

• Bilan des incidents : y a-t-il eu des alertes sur des prestataires cette annee ? Des incidents ? Des quasi-incidents ?
• Evolution du perimetre : nouveaux prestataires ajoutes, anciens partis, changements de perimetre d acces
• Mise a jour des exigences : les exigences de securite sont-elles toujours pertinentes au regard des nouvelles menaces ?
• Benchmark : comment vous situez-vous par rapport aux bonnes pratiques du secteur ?
• Budget : le budget alloue a la gestion des risques tiers est-il suffisant ?

Documentez cette revue dans un rapport formel presente au COMEX. Sous NIS2, vous devez pouvoir demontrer a l ANSSI que vous gerez activement les risques supply chain. Ce rapport annuel est votre piece justificative numero un en cas de controle.

Questions frequentes