Changer de prestataire informatique sans perdre vos accès ni vos données

D’où vient la crainte de changer de prestataire informatique

Commençons par une phrase qui revient dans presque toutes les conversations de ce type. L’ancien prestataire détient tous les mots de passe et connaît l’ensemble du réseau. S’il le prend mal, vous vous retrouvez avec une infrastructure dont personne ne sait plus rien.

Cette crainte n’a rien d’absurde. Elle est simplement mal orientée. Le problème ne vient pas de la technologie, car les équipements et les systèmes restent exactement là où ils sont. Le problème, ce sont les informations. Qui détient la liste des comptes ? Qui sait pourquoi une règle précise du pare-feu a été créée ? Où se trouve la sauvegarde la plus récente des données ? La personne qui détient ces connaissances maîtrise la situation.

La bonne nouvelle, c’est que ces informations peuvent être transférées dans un ordre précis et de façon maîtrisée. Changer de prestataire informatique est un projet qui suit une liste de contrôle, pas un saut dans l’inconnu. Voici cette liste, dans l’ordre où il est préférable de la suivre.

L’état des lieux des accès, première étape

Avant toute modification, il faut dresser la liste de tous les comptes d’administration dont dispose l’entreprise. À ce stade, il ne s’agit pas encore des mots de passe. Il s’agit de recenser toutes les portes qu’un mot de passe permet d’ouvrir.

• le nom de domaine et le DNS, avec l’accès à l’interface du bureau d’enregistrement,
• la messagerie et la suite bureautique, c’est-à-dire le compte d’administrateur général dans Microsoft 365 ou Google Workspace,
• les serveurs et la virtualisation, c’est-à-dire les comptes d’administrateur de domaine, les comptes locaux et la console vSphere ou Hyper-V,
• le réseau, c’est-à-dire les commutateurs, les points d’accès, le pare-feu, le VPN et les comptes sur les portails des opérateurs,
• les données, c’est-à-dire la console de sauvegarde, la baie de stockage, le NAS et les abonnements cloud, avec l’indication du nom sous lequel ils sont facturés,
• les éléments souvent oubliés, c’est-à-dire la supervision, les caméras, le contrôle d’accès aux portes, le standard téléphonique et les portails de licences des fabricants.

Ajoutez à chaque ligne une deuxième question, plus importante que la première. Qui d’autre dispose encore de cet accès ? Très souvent, la réponse inclut un ancien salarié, un sous-traitant intervenu en 2019 et un compte nommé admin dont le mot de passe est connu de la moitié de l’entreprise et de toute l’ancienne équipe. Un tel accès ne peut pas être retiré. Il peut uniquement être modifié.

Un piège particulier mérite d’être signalé à part. Si le second facteur d’authentification d’un compte d’administration est envoyé sur le téléphone personnel d’une personne de l’ancien prestataire ou à son adresse e-mail définie comme adresse de récupération, le mot de passe seul ne suffit pas. Cela doit être vérifié ligne par ligne.

La documentation qui fait généralement défaut

La deuxième étape consiste à reprendre la documentation du réseau et des serveurs. En pratique, l’un des trois cas suivants se présente : la documentation existe et elle est à jour, elle existe mais décrit le réseau tel qu’il était il y a quatre ans, ou elle n’existe pas du tout et toutes les informations sont dans la tête d’une seule personne.

Ce qu’il faut demander :

• le plan d’adressage et la répartition en VLAN, avec une description précisant ce qui relève de chaque VLAN,
• la description des règles du pare-feu et de la raison pour laquelle chacune a été créée,
• les configurations VPN et la liste des personnes qui les utilisent,
• l’inventaire des serveurs, avec leurs rôles et leurs dépendances, afin de savoir clairement ce qui cessera de fonctionner si l’un d’eux est arrêté,
• la description des sauvegardes, c’est-à-dire ce qui est sauvegardé, où les sauvegardes sont stockées et pendant combien de temps,
• les clés de licence et les contrats de support, avec leurs dates de renouvellement.

L’absence de documentation n’est pas une raison pour renoncer au changement. L’état des lieux devient simplement la première tâche de la nouvelle équipe. Il est réalisé directement sur les équipements, et non à partir de récits. Il faut seulement savoir que ce travail prend du temps. Demandez au nouveau prestataire si cet état des lieux fait partie de la reprise et ce qui vous sera remis par écrit à son issue.

Contrats avec les opérateurs et les fabricants

Ce point apparaît le plus souvent trop tard, car il n’est visible dans aucune console. La question est de savoir quel nom d’entreprise et quel numéro d’identification fiscale figurent sur les documents.

• les liaisons Internet et MPLS, avec la question de savoir si le contrat a été signé par l’entreprise ou par le prestataire informatique pour le compte de l’entreprise,
• le support du fabricant pour le matériel, à savoir qui déclare la panne et au nom de qui le contrat est enregistré,
• les licences achetées par l’intermédiaire d’un revendeur, qui peuvent se trouver dans le tenant du prestataire plutôt que dans celui de l’entreprise,
• les abonnements cloud, avec la question de savoir qui est propriétaire de l’abonnement et de l’annuaire des utilisateurs,
• le nom de domaine et les certificats, à savoir qui les renouvelle et avec quelle carte.

Si l’un des éléments de cette liste est enregistré au nom de l’ancien prestataire, son transfert constitue une tâche distincte, avec son propre calendrier qui se compte parfois en semaines. Ce travail ne peut pas être réalisé pendant la dernière semaine du contrat. Le pire scénario n’est pas la perte d’un mot de passe. Le pire scénario est une licence de pare-feu qui arrive à expiration et dont l’entreprise ne prend connaissance que lorsque l’équipement cesse de mettre à jour ses signatures.

Sauvegardes et date du dernier test de restauration

Si vous ne pouviez poser qu’une seule question à l’ancien prestataire, interrogez-le sur les sauvegardes. Ne lui demandez pas si la sauvegarde s’exécute, car c’est presque toujours le cas. Demandez-lui quand des données ont été restaurées pour la dernière fois et quelles données l’ont été précisément.

Cinq points méritent d’être précisés : ce qui est sauvegardé, l’emplacement physique des sauvegardes, les personnes ayant accès à la console, leur durée de conservation, ainsi que la date et le périmètre de la dernière restauration réussie.

La règle 3-2-1 couramment appliquée dans le secteur prévoit trois copies des données sur deux types de supports, dont une conservée hors site. Sa version plus récente, 3-2-1-1-0, ajoute une copie isolée du réseau et zéro erreur. Ce zéro signifie que les copies sont vérifiées par des tests de restauration réguliers. Le test n’est plus un complément à la sauvegarde. Il en fait partie.

Pour terminer ce point, une remarque pratique. Si les sauvegardes se trouvent dans l’infrastructure ou sur le compte cloud de l’ancien prestataire, elles doivent être transférées avant la fin du contrat, pas après. Une fois la résiliation notifiée, personne n’est tenu de les conserver plus longtemps.

Période de chevauchement, sans brûler les ponts

Les reprises les plus sereines ont un point commun. Pendant une période convenue, les deux prestataires disposent des accès, chacun en est informé et cette disposition figure dans la lettre de résiliation ou dans un avenant. La nouvelle équipe travaille déjà, tandis que l’ancienne reste joignable pour les sujets qui n’ont jamais été documentés.

La période de chevauchement ne doit pas nécessairement être longue. Elle doit couvrir un cycle de travail complet de l’entreprise, par exemple la clôture mensuelle, la paie, l’inventaire ou un pic saisonnier. Ce qui ne se produit qu’une fois par mois ne se révèle qu’une fois par mois.

Il faut également régler un point qu’il est facile d’oublier sous le coup de l’émotion. La fin de la collaboration doit rester formelle et courtoise. À ce stade, une personne qui détient encore les mots de passe et se souvient pourquoi un élément a été configuré de cette manière a plus de valeur que la satisfaction procurée par un e-mail au ton acerbe.

Ordre de désactivation des anciens accès

Une règle s’applique ici sans exception. L’ancien accès ne doit être désactivé qu’après la vérification du nouvel accès en conditions réelles. Vérifié signifie que quelqu’un s’est connecté, a effectué une modification réelle, puis l’a annulée. Voir un écran d’accueil ne suffit pas.

Voici un ordre raisonnable :

• de nouveaux comptes d’administration sont créés et chacun est testé séparément,
• les mots de passe des comptes partagés sont modifiés, car leur accès ne peut pas être révoqué,
• les accès les plus sensibles sont supprimés en premier, à savoir administrateur de domaine, pare-feu, console de sauvegarde, administrateur général du cloud et portails des opérateurs,
• les seconds facteurs d’authentification et les adresses de récupération sont modifiés afin qu’ils soient rattachés à l’entreprise,
• les comptes VPN et les comptes d’administration ordinaires de l’ancienne équipe sont désactivés,
• enfin, les outils d’accès à distance et les agents de gestion à distance sont supprimés des postes de travail et des serveurs.

Ce dernier point est plus important qu’il n’y paraît. Un agent de gestion à distance constitue un canal d’accès actif à chaque machine de l’entreprise. S’il reste installé après la fin du contrat, tous les points précédents perdent leur sens.

Ce qu’il faut obtenir par écrit et les questions à poser au nouveau prestataire

Une reprise se conclut par un document, pas par un appel téléphonique. Voici le minimum à obtenir :

• un procès-verbal de reprise recensant les systèmes, les comptes et les éléments effectivement transmis,
• les mots de passe dans un gestionnaire de mots de passe appartenant à l’entreprise et non au prestataire,
• un récapitulatif des contrats conclus avec les opérateurs et les fabricants, avec leurs dates de renouvellement,
• une description des sauvegardes, avec leur durée de conservation et la date de la dernière restauration,
• la liste des accès désactivés avec leur date de désactivation,
• une attestation confirmant que les données ont été supprimées ou restituées et que leurs copies ont été supprimées.

Ce dernier point n’est pas une exigence arbitraire. Si le prestataire informatique traitait des données à caractère personnel pour le compte de l’entreprise, il était lié par un contrat de sous-traitance conforme à l’article 28 du RGPD. Ce même article dispose qu’à la fin de la prestation, le sous-traitant supprime ou restitue les données et supprime toutes les copies existantes. Un contrat équivalent est nécessaire avec le nouveau prestataire dès le premier jour.

Avant de signer quoi que ce soit, il est utile de poser quelques questions au nouveau prestataire. Comment se déroule la reprise et combien de temps dure-t-elle ? Que vais-je recevoir par écrit ? Qui la pilote de votre côté ? Que vérifiez-vous durant la première semaine, avant de modifier quoi que ce soit ? Quel est le délai de prise en charge ? L’astreinte 24 h/24 et 7 j/7 est-elle prévue dans le contrat ou seulement mentionnée dans la brochure ?

Changer de prestataire informatique est réalisable et se fait dans un ordre précis. Si vous souhaitez parcourir cette liste en l’appliquant à votre propre infrastructure et repérer les lacunes, appelez-nous au +48 662 036 615 ou écrivez-nous à [email protected].

Voir le service