Catégorie : Sin categoría

Quand nous arrivons dans une nouvelle entreprise, ce n’est presque jamais parce que tout est en feu. C’est souvent parce que quelqu’un à la direction a depuis des mois le sentiment que l’informatique « tourne moyennement » sans savoir mettre un mot dessus.

Ces cinq signes sont en général ce mot-là.

1. Personne ne sait vous dire ce qu’il y a

Si vous demandez combien de serveurs vous avez, quelle version de système d’exploitation ils font tourner ou quelles licences vous payez, et que la réponse met plus d’une journée à arriver, vous n’avez pas un problème d’inventaire : vous avez un problème de maîtrise.

2. Tout repose sur une seule personne

Il y a quelqu’un — en interne ou à l’extérieur — qui est le seul à savoir comment tout cela est monté. Ça marche très bien jusqu’au jour où il part en vacances, change d’entreprise ou se fâche. La documentation n’est pas de la bureaucratie : c’est le moyen d’éviter que le savoir sorte par la porte.

3. Les incidents se répètent

Le même poste qui plante chaque semaine, la même imprimante qui disparaît du réseau, le même dossier qui perd ses permissions. Si un incident se répète, il n’est pas résolu : il est masqué. Quelqu’un doit remonter à la cause.

4. On achète dans l’urgence

Si le critère pour acheter un serveur est « l’autre est tombé en panne », vous payez toujours le prix de la précipitation : moins bonne négociation, moins bon choix technique et zéro planification. Un plan de renouvellement sur trois ans coûte la même chose et fait beaucoup moins souffrir.

5. Personne n’a regardé la sécurité depuis l’extérieur

Beaucoup de PME ont des ports ouverts qu’elles ignorent, des bureaux à distance exposés sur internet ou des comptes de personnes parties depuis deux ans et toujours actifs. Rien de tout cela ne se manifeste avant de se manifester d’un seul coup.

Ce que fait un audit, concrètement

• Un inventaire réel du matériel, des serveurs, des licences et des services souscrits.
• Une revue de configuration : réseau, permissions, sauvegardes, mises à jour.
• La détection des points uniques de défaillance et de la surface exposée sur internet.
• Un rapport compréhensible par la direction, avec des risques hiérarchisés et le coût pour les corriger.

L’important n’est pas le rapport : c’est que quelqu’un exécute ensuite le plan. Un rapport rangé dans un tiroir n’a jamais protégé personne.

Dans les audits que nous menons, la question « avez-vous des sauvegardes ? » reçoit presque toujours un oui tranquille. La question suivante — « quand avez-vous restauré une sauvegarde pour la dernière fois ? » — provoque en général un silence gêné.

Ce n’est la faute de personne en particulier : c’est qu’une sauvegarde qui s’exécute chaque nuit sans erreur ressemble à une sauvegarde qui fonctionne. Et ce n’est pas toujours le cas.

Ce qui cloche en pratique

Voici les cas que nous rencontrons le plus, par ordre de fréquence :

• La sauvegarde se fait, mais elle n’inclut pas tout : il manque une base de données, un dossier partagé ou le serveur ajouté il y a huit mois.
• La sauvegarde est au même endroit que l’original. Un incendie, un vol ou un ransomware emporte les deux.
• La sauvegarde se fait sur un disque USB qui est débranché depuis des mois et que personne n’a regardé.
• La sauvegarde existe et elle est complète, mais sa restauration prend quatre jours alors que l’entreprise n’en tient qu’un.
• La sauvegarde est chiffrée et personne ne sait où se trouve la clé.

La règle 3-2-1, en clair

Trois copies de vos données, sur deux supports différents, dont une hors de vos locaux. C’est le minimum. À cela, nous ajoutons aujourd’hui une condition de plus : au moins une copie doit être immuable, c’est-à-dire impossible à effacer, même avec des identifiants d’administrateur. C’est la seule chose qui résiste à un ransomware bien mené.

Une sauvegarde sans test de restauration n’est pas une sauvegarde : c’est une bonne intention.

Comment le tester sans monter un cirque

Il n’est pas nécessaire d’arrêter l’entreprise pour tester une restauration. Voici comment nous procédons :

• On monte la sauvegarde dans un environnement isolé, sans toucher à la production.
• On vérifie que ça démarre, que les données sont là et que la date est bien celle attendue.
• On chronomètre : le temps écoulé entre la décision de restaurer et le moment où le service est utilisable.
• On documente le résultat et on le compare au RTO convenu.

C’est ce dernier point qui rend l’exercice utile. Si votre plan annonce huit heures pour être opérationnel et que le test en donne vingt-six, vous avez un problème à régler aujourd’hui, au calme, et non le jour du sinistre.

Deux questions auxquelles vous devriez savoir répondre

RPO : combien d’heures de travail pouvez-vous vous permettre de perdre ? Cela détermine la fréquence des sauvegardes. RTO : combien de temps pouvez-vous rester à l’arrêt ? Cela détermine la technologie qu’il vous faut.

Si ces deux chiffres ne sont pas fixés par écrit avec la direction, tout le reste n’est que détails techniques sans contexte.

Si vous lisez ceci avec un chiffrement en cours, allez directement au premier point. Si vous le lisez tranquillement un mardi ordinaire, tant mieux : cela se prépare avant, pas pendant.

Heure 0 : contenir

• Déconnectez du réseau les postes touchés. Câble débranché ou Wi-Fi coupé. Ne les éteignez pas complètement tout de suite si vous pouvez l’éviter : il y a des informations utiles en mémoire.
• Isolez les sauvegardes avant toute chose. Si le ransomware les atteint, la discussion est terminée.
• Coupez les accès distants : VPN, bureau à distance, accès des prestataires. Par où il est entré, il peut revenir.

Heure 1 : évaluer l’étendue

Avant de toucher à quoi que ce soit d’autre, il faut savoir ce qui est chiffré et ce qui ne l’est pas : postes, serveurs, dossiers partagés, sauvegardes, et s’il y a des indices d’une exfiltration de données en plus du chiffrement. Ce dernier point change les obligations légales.

C’est aussi le moment de décider qui commande : une seule personne coordonne et communique. Dans une crise, cinq personnes qui décident en parallèle font plus de dégâts que l’incident lui-même.

Heure 2 : les obligations

Si des données personnelles sont compromises, le RGPD laisse 72 heures pour notifier l’autorité de contrôle. Ce n’est pas facultatif et cela n’attend pas que vous ayez rétabli le service. Mieux vaut avoir identifié à l’avance qui rédige cette notification.

On ne paie jamais la rançon sans avoir épuisé la voie de la restauration. Et même une fois celle-ci épuisée, payer ne garantit de récupérer quoi que ce soit.

Heures 3 et 4 : rétablir dans le bon ordre

La tentation est de tout restaurer d’un coup. C’est une erreur : on restaure d’abord ce qui fait tourner l’activité, et uniquement sur des machines déjà nettoyées ou réinstallées.

• L’annuaire et l’authentification d’abord : sans identité, rien d’autre ne fonctionne.
• Ensuite, le système qui facture ou qui produit. Celui dont la panne arrête l’entreprise.
• La messagerie et les fichiers partagés ensuite.
• Les postes de travail en dernier, réinstallés à partir d’une image saine.

Ce qui évite 90 % de ces journées-là

Sauvegardes immuables, double facteur sur tous les accès distants, segmentation du réseau pour qu’un poste infecté n’atteigne pas le serveur, et des utilisateurs sans droits d’administrateur sur leur propre machine. Ce n’est pas glamour, mais c’est ce qui marche.

C’est la question qu’on nous pose le plus et celle à laquelle le secteur répond le plus mal, parce que presque tout le monde a intérêt à y répondre dans un sens précis. Nous allons essayer de le faire avec des chiffres.

Ce qui s’en sort généralement mieux dans le cloud

• Des charges variables ou imprévisibles : si vous avez besoin de quatre fois plus de puissance deux mois par an, la payer toute l’année, c’est jeter de l’argent.
• Des projets nouveaux ou à courte durée de vie : environnements de test, pilotes, campagnes.
• Le besoin de grandir vite sans délai d’achat ni d’installation.
• Des entreprises sans salle serveurs digne de ce nom : sans onduleur, sans climatisation et sans réseau correct, un serveur maison n’est qu’une panne qui attend son tour.

Ce qui s’en sort généralement mieux en local

• Des charges stables et prévisibles pendant des années : là, la location finit par coûter plus cher que l’achat.
• Des volumes importants de données très sollicités : le trafic sortant en cloud public se paie, et cela se sent.
• Des applications qui exigent une latence très faible vis-à-vis de machines ou d’équipements locaux.
• Des exigences légales ou clients qui imposent une localisation précise de la donnée.

Les coûts que presque personne n’additionne

Quand on compare « serveur maison » et « cloud », on compare en général le prix du matériel à la facture mensuelle. Il manque des choses des deux côtés.

• En local : électricité, onduleur, climatisation, licences, remplacement des disques, et des heures de personnel pour l’entretenir.
• En local : le coût de la panne. Un serveur sans support 24/7 et sans pièce de rechange peut vous immobiliser trois jours.
• En cloud : trafic sortant, sauvegardes, snapshots, IP fixes et services managés qui s’additionnent peu à peu.
• En cloud : le coût de la sortie. Migrer 20 TB hors d’un fournisseur n’est ni gratuit ni rapide.

Ce que nous proposons le plus souvent

Dans la plupart des PME avec lesquelles nous travaillons, on aboutit à un modèle hybride : ce qui est stable et lourd en local ou chez un hébergeur dédié, et en cloud public ce qui profite de l’élasticité — sauvegardes externalisées, environnements de test, messagerie et collaboration. Non pas par juste milieu, mais parce que chaque brique va là où elle revient le moins cher et le plus sûr.

Et quelle que soit la décision, une condition non négociable : pouvoir partir. Documentation de l’architecture, vos données dans des formats standard et aucun verrou artificiel. Si un prestataire vous complique la sortie, vous savez déjà tout ce qu’il faut savoir sur lui.

Un contrat de maintenance informatique se signe une fois et se subit pendant des années. Il mérite bien qu’on y consacre un après-midi. Voici ce que nous regarderions si nous étions de l’autre côté.

Ce qui doit figurer par écrit

• Le périmètre exact : quels postes, quels serveurs, quels services. Et ce qui en est exclu, dit avec la même clarté.
• Un SLA de réponse par niveau de gravité, avec des heures précises. « Dès que possible » n’est pas un engagement.
• Les plages de couverture et ce qui se passe en dehors. S’il y a une astreinte 24/7, combien elle coûte et comment on la déclenche.
• Inventaire et documentation : qu’ils soient tenus à jour et qu’ils vous appartiennent, pas au prestataire.
• Un rapport périodique : ce qui s’est passé, ce qui a été fait, ce qui reste en attente et ce qui est recommandé.
• Une clause de sortie : délai de préavis et obligation de remettre les accès, les mots de passe et la documentation.

Les signaux qui sentent mauvais

• Les mots de passe administrateur ne sont détenus que par le prestataire et il ne vous les remet pas. C’est, ni plus ni moins, une prise d’otage polie.
• Un engagement long avec une pénalité disproportionnée.
• Tout est en « heures incluses » mais personne ne définit ce qu’est une heure ni comment elle se justifie.
• Il n’y a pas de rapport. Si vous ne pouvez pas savoir ce qui a été fait pour vous ce mois-ci, vous ne pourrez pas non plus savoir si cela en vaut la peine.
• La supervision est facturée mais aucune alerte n’arrive jamais. Soit tout est parfait, soit rien n’est supervisé.

Un bon contrat de maintenance est celui qui vous laisse partir facilement. C’est précisément pour cela que presque personne ne part.

Forfait d’heures ou forfait illimité

Le forfait d’heures fonctionne bien quand votre besoin est ponctuel et que quelqu’un en interne gère le quotidien. Il a un effet pervers bien connu : comme chaque appel consomme du solde, on évite d’appeler, et les petits problèmes grossissent.

Le forfait illimité est préférable quand vous voulez vraiment déléguer, parce qu’il aligne les intérêts : le prestataire a intérêt à ce que vous n’ayez pas d’incidents, pas à ce que vous en ayez beaucoup. C’est le modèle que nous recommandons dès qu’il y a des serveurs en jeu.

Une dernière question pour le commercial

« Si je vous congédie demain, que me remettez-vous et en combien de temps ? ». La tête qu’il fera en répondant vous dira presque tout ce que vous avez besoin de savoir.

« Ça rame » n’est pas un diagnostic : c’est un symptôme. Et on l’impute presque toujours à l’opérateur, le suspect le plus commode. D’après notre expérience, les responsabilités sont en réalité bien plus partagées.

Les quatre coupables habituels

• Le Wi-Fi, pas la ligne. Couverture mal répartie, canaux saturés par les voisins ou points d’accès trop vieux. On le repère parce qu’en filaire, tout va bien.
• Un poste qui sature le réseau : une sauvegarde mal programmée en plein midi, une mise à jour massive ou un ordinateur compromis.
• La box de l’opérateur, qui dans beaucoup de bureaux est le goulot d’étranglement : elle ne tient pas les connexions simultanées d’une entreprise.
• La ligne, oui, mais bien souvent à cause du débit montant, pas du descendant : les visioconférences et les sauvegardes dans le cloud montent.

Quoi mesurer, et pourquoi le test de débit du mobile ne vaut rien

Un test ponctuel mesure un instant, depuis un seul endroit. Le problème n’est presque jamais constant : il apparaît à onze heures, quand tout le monde est connecté, ou le mardi, quand la sauvegarde tourne. Il faut mesurer en continu :

• Le débit réel montant et descendant, sur plusieurs jours.
• La latence et la gigue, c’est ce qui fait hacher une visioconférence même quand le débit est bon.
• La perte de paquets : à 1 % en continu, cela se voit déjà, et aucun test de débit ne le montre.
• La saturation par tranches horaires, pour voir si le problème a une heure.

Comment obtenir que l’opérateur agisse

Un signalement « ça rame » se referme tout seul. Un rapport avec des mesures datées, de la perte de paquets et la comparaison avec le débit souscrit, non. Il faut exiger un ticket avec un numéro d’incident et invoquer l’accord de niveau de service du contrat, s’il y en a un. Sur les lignes professionnelles, il y en a généralement un ; sur les lignes grand public déguisées en lignes pro, non.

Le rapport de mesure est la seule chose qui transforme « ça rame » en une panne que quelqu’un a l’obligation de réparer.

Et si la ligne est bonne

Alors il faut regarder à l’intérieur : câblage, électronique réseau, Wi-Fi et postes. C’est la partie que presque personne n’a jamais vérifiée et c’est là que se trouve souvent le vrai problème.

Quand une entreprise cherche un support technique informatique, ce qu’elle cherche en réalité, c’est arrêter de perdre des matinées. Le mot « support » recouvre pourtant des choses très différentes : d’un simple numéro à appeler jusqu’à une équipe qui conçoit, maintient et surveille toute votre infrastructure.

Les trois niveaux, sans mystère

Le secteur organise le support en niveaux. Ce n’est pas du jargon creux : cela dit qui vous répond et ce qu’il peut résoudre.

• Niveau 1 · centre d’assistance. Le quotidien : mots de passe, messagerie, imprimantes, droits, arrivées et départs de salariés. Il traite le gros du volume et c’est ce qui se voit le plus au bureau.
• Niveau 2 · systèmes et réseaux. Serveurs, virtualisation, annuaire Active Directory, sauvegardes, VPN, réseau. Il intervient quand le niveau 1 escalade, et aussi sur le planifié : correctifs, mises à jour, changements de configuration.
• Niveau 3 · ingénierie. Performance, architecture, haute disponibilité, incidents pour lesquels il n’existe aucun manuel et décisions qui engagent les prochaines années.

Un prestataire qui n’a que du niveau 1 vous réglera les imprimantes et vous laissera en plan le jour où le stockage lâchera. Un prestataire qui n’a que du niveau 3 vous coûtera une fortune pour changer un mot de passe.

Ce que le contrat devrait contenir

• Des délais de réponse par écrit et différenciés selon la gravité. « Dès que possible » n’est pas un engagement.
• Une supervision, pour s’apercevoir avant vous que quelque chose ne va pas.
• La gestion et la vérification des sauvegardes, avec des tests de restauration documentés.
• Un inventaire à jour du matériel, des licences et des mots de passe — et qui vous appartienne.
• Un rapport mensuel sur ce qui s’est passé et sur ce qui arrive.
• Une intervention sur site incluse ou tarifée à l’avance, pas improvisée.

Les questions qui séparent le bon grain de l’ivraie

• Qui me répond et à quel niveau ? Y a-t-il une astreinte en dehors des horaires et qui l’assure ?
• Quand avez-vous réalisé votre dernière restauration de sauvegarde et combien de temps a-t-elle pris ?
• Que deviennent mes données, ma documentation et mes mots de passe si j’arrête de travailler avec vous ?
• Qu’est-ce qui reste hors contrat et comment est-ce chiffré avant d’être fait ?

« Si je vous congédie demain, que me remettez-vous et en combien de temps ? » Cela reste la meilleure question à poser à un prestataire informatique.

Combien ça coûte

Cela dépend de deux choses : combien vous êtes et combien de temps l’activité peut s’arrêter. Assurer un support 24/7 pour une équipe de sept personnes n’a rien à voir avec une équipe de cinquante dont la production ne peut pas s’interrompre. Méfiez-vous donc de celui qui vous donne un prix au téléphone sans rien demander : soit il ne le tiendra pas, soit il a déjà intégré la marge du risque.

La box fournie par l’opérateur est pensée pour un logement : peu d’appareils, peu de simultanéité et personne à qui une coupure coûte de l’argent. Un bureau, c’est exactement l’inverse sur les trois points.

Ce qui cloche avec du matériel grand public

• Simultanéité. Elle supporte peu de connexions actives et, à trente appareils, elle commence à jeter des paquets.
• Itinérance. En traversant le bureau, le portable reste accroché à la borne la plus lointaine et la visioconférence coupe. Les systèmes professionnels font passer l’appareil d’une borne à l’autre sans que cela se remarque.
• Aucune segmentation. La télé de la salle de réunion, le mobile du visiteur et le serveur de facturation sont sur le même réseau.
• Aucune visibilité. Vous ne savez pas qui est connecté, ni ce qui consomme, ni pourquoi ça tombe en panne.
• Et elle ne vous appartient pas. Si l’opérateur la remplace, votre configuration disparaît.

Ce qu’exige un Wi-Fi d’entreprise

• Une étude de couverture avec des mesures, et non des bornes posées « au jugé ».
• Des points d’accès gérés de façon centralisée et une itinérance réglée.
• Un réseau invité isolé du réseau de travail, et un autre pour les objets connectés.
• Un accès par utilisateur au lieu d’un mot de passe partagé que la moitié de la province finit par connaître.
• Un câblage et une alimentation adaptés : un bon point d’accès mal raccordé ne sert à rien.

Comment savoir si le vôtre est correct

On mesure. Avant et après, aux mêmes endroits et aux mêmes heures : couverture, débit réel par zone, latence et bascules entre points d’accès. Si personne ne vous montre de chiffres, ce qu’on vous vend, c’est une impression.

Le câblage réseau ne pose pas de problèmes… jusqu’au jour où il en pose. Et là, ce sont les problèmes chers : des coupures intermittentes que personne n’explique, des pannes qui mettent des jours à être localisées et un réseau qui ne peut pas grandir sans être refait entièrement.

Les signes que le vôtre est devenu trop juste

• Personne ne sait quelle prise correspond à quel point de la baie, et pour le découvrir il faut tirer sur le câble.
• Des switches sont enchaînés sous les bureaux parce qu’« il n’y avait pas assez de prises ».
• Les prises ne sont pas étiquetées, ou l’étiquette ne correspond plus à rien.
• Quand tout un étage tombe, la seule façon de savoir par où ça passe, c’est de procéder par essais.
• La baie est un nid de câbles : impossible de retirer un cordon sans en bouger dix autres.

Ce que comprend une installation faite sérieusement

• Une conception préalable : combien de prises par poste, par où passent les chemins de câbles et où se place la baie.
• Une catégorie adaptée à l’usage, ni la plus chère ni la moins chère.
• Un étiquetage aux deux extrémités de chaque cordon, avec la même nomenclature sur le plan et dans la baie.
• Une certification à l’appareil de mesure de chaque prise, avec le rapport remis. Sans cela, vous ne savez pas si le câble est conforme : vous le supposez.
• De la documentation : plan des prises, schéma de la baie et liste de ce qui va où.

Un câblage documenté transforme une panne de deux jours en une panne de dix minutes. Toute la valeur est là, et elle ne se voit que le jour de la panne.

La baie, ce chantier toujours remis à plus tard

Une baie rangée, ce n’est pas de l’esthétique : c’est du temps de réparation. Panneaux de brassage, guide-câbles, cordons à la bonne longueur, alimentation protégée et ventilation. Et de l’espace libre prévu, parce qu’on ajoute toujours quelque chose.

Quand en profiter pour le faire

Il y a deux moments où cela revient bien moins cher : des travaux ou une rénovation, et un déménagement de bureaux. À tout autre moment, c’est faisable aussi, mais on paie le fait de travailler avec l’entreprise en activité.

L’ISO/IEC 27001 est devenue une exigence commerciale. Ce n’est pas un auditeur qui la réclame : c’est le grand client qui va vous engager, ou le cahier des charges auquel vous voulez répondre. C’est, presque toujours, la raison honnête de se certifier.

Ce qu’elle est et ce qu’elle n’est pas

Ce n’est pas une liste de mesures techniques que l’on installe. C’est un système de management : une façon d’identifier quelles informations vous détenez, quels risques elles courent, ce que vous faites à ce sujet et comment vous vérifiez que cela continue de se faire. La partie technique en découle, elle n’est pas le point de départ.

Ce que cela implique en pratique

• Définir le périmètre : quelle partie de l’entreprise est certifiée. Commencer par tout est en général une erreur.
• Un travail d’analyse des risques réel, pas recopié d’un modèle.
• Des politiques et des procédures qui seront réellement appliquées. Celles qui ne le sont pas se repèrent dès le premier audit.
• Mettre en place les mesures issues de l’analyse : accès, sauvegardes, journalisation des événements, gestion des fournisseurs, formation.
• Audit interne, revue de direction et audit de certification avec un organisme accrédité.
• Et ensuite : des audits de surveillance annuels. Un système rangé dans un tiroir s’écroule tout seul.

ISO 27001, ENS et NIS2 : comment elles s’articulent

• ISO 27001 est volontaire et sert d’argument commercial dans n’importe quel secteur.
• ENS (Esquema Nacional de Seguridad, le référentiel espagnol de sécurité) est obligatoire pour travailler avec l’administration espagnole.
• NIS2 est la directive européenne, et elle touche plus d’entreprises qu’il n’y paraît : beaucoup sont concernées parce qu’elles fournissent une autre entreprise qui, elle, entre dans le champ.

Elles partagent une bonne partie du travail. Si vous savez que vous en aurez besoin de deux, mieux vaut les aborder ensemble dès le départ plutôt que de fournir deux fois le même effort.

La bonne question n’est pas « est-ce que je me certifie ? », mais « combien d’affaires est-ce que je perds faute de certification ? ». Avec ce chiffre-là, la décision se prend toute seule.