Choisir un expert en cybersécurité à Saint-Étienne
Un rançongiciel qui bloque la facturation, une boîte mail piratée, un client qui exige des preuves de sécurité avant de signer : le besoin d'un expert en cybersécurité naît souvent d'une situation concrète. Or ce titre n'est pas une profession réglementée. Il recouvre des métiers très différents, et n'importe quel prestataire peut s'en réclamer.
Ce guide vous aide à préciser votre besoin, à vérifier le sérieux d'un professionnel et à comparer les propositions reçues, à Saint-Étienne comme dans le reste de la Loire.
Définir le besoin avant de contacter un prestataire
La première question n'est pas « qui appeler ? », mais « que faut-il faire ? ». Un test d'intrusion, l'accompagnement à la mise en conformité et la surveillance d'un réseau ne demandent pas les mêmes compétences. Rares sont les structures qui couvrent tout avec la même profondeur.
Les prestations les plus courantes relèvent de quelques grandes familles :
- L'audit et le test d'intrusion : évaluer l'exposition réelle du système d'information et repérer ses failles.
- Le conseil et la gouvernance : analyser les risques, rédiger une politique de sécurité, préparer une certification ou répondre à une obligation réglementaire.
- La protection et la supervision : sécuriser les postes et les serveurs, gérer les sauvegardes, surveiller les événements suspects.
- La réponse à incident : contenir une attaque en cours, comprendre ce qui s'est passé et rétablir l'activité.
- La sensibilisation et la formation : apprendre aux équipes à reconnaître le hameçonnage et à adopter les bons réflexes.
Avant le premier échange, notez le nombre de postes, les logiciels critiques, l'endroit où sont hébergées vos données et le nom de votre prestataire informatique actuel. Ces éléments suffisent souvent à obtenir une première réponse précise.
Les repères qui permettent de vérifier le sérieux
Certains signes de reconnaissance se contrôlent en quelques minutes. L'ANSSI, l'agence nationale chargée de la sécurité des systèmes d'information, publie la liste des prestataires qu'elle a qualifiés, notamment PASSI pour l'audit et PRIS pour la réponse aux incidents. Le label ExpertCyber, porté par Cybermalveillance.gouv.fr, s'adresse quant à lui aux professionnels qui accompagnent les entreprises et les collectivités.
Ces qualifications ne sont pas indispensables pour tous les besoins, et leur absence ne disqualifie pas un prestataire. Elles peuvent en revanche être exigées par certains donneurs d'ordre : renseignez-vous avant de vous engager. Les certifications individuelles méritent aussi une question, car elles attestent les compétences d'une personne et non celles de toute une structure.
Demandez toujours qui interviendra réellement chez vous. Un intervenant sous-traitant n'est pas un problème en soi, à condition de le savoir et que ses obligations de confidentialité soient fixées par écrit.
Les questions à poser lors du premier échange
Quelques questions simples révèlent vite la méthode d'un professionnel, et sa capacité à s'adresser à un dirigeant autant qu'à un technicien :
- Quelle méthode suivez-vous et quels livrables remettez-vous à la fin de la mission ?
- Pouvez-vous me montrer un exemple de rapport, rendu anonyme ?
- Comment les vulnérabilités trouvées sont-elles classées par priorité ?
- Qui contacter en cas d'incident, et selon quels horaires ?
- Avez-vous déjà travaillé avec des structures de taille ou de secteur comparables ?
- Comment mes données et les résultats de l'audit sont-ils protégés ?
Méfiez-vous des discours fondés sur la peur et des promesses de sécurité totale. Aucun prestataire ne peut garantir qu'une attaque n'aboutira jamais. Un bon interlocuteur parle de réduction des risques, explique ses arbitrages et sait dire ce qui ne relève pas de lui.
Ce que le contrat et le devis doivent préciser
Un devis clair décrit le périmètre couvert, les exclusions, les livrables et le nombre de jours prévus. Pour un test d'intrusion, une autorisation écrite est indispensable : elle fixe les systèmes visés, les dates et les limites de l'intervention. Ce document protège les deux parties.
Vérifiez aussi la clause de confidentialité, l'assurance de responsabilité civile professionnelle et le sort des données collectées à la fin de la mission. Si le prestataire accède à des données personnelles pour votre compte, le RGPD impose un encadrement contractuel. Pour un contrat de supervision ou de maintenance, regardez les engagements de disponibilité, les modalités de sortie et la récupération de vos accès.
Comparez les offres à périmètre égal. Un scan automatisé et un audit mené manuellement peuvent porter le même nom dans deux devis, sans représenter le même travail.
En cas d'attaque : les premiers réflexes
Si un incident est en cours, isolez les machines touchées du réseau, sans les éteindre lorsque c'est possible : leur mémoire peut contenir des traces utiles à l'analyse. Ne supprimez rien et notez l'heure et les faits observés. Évitez de payer une rançon avant d'avoir pris conseil.
Cybermalveillance.gouv.fr propose une assistance en ligne pour orienter les victimes. Il est aussi recommandé de déposer plainte et de prévenir votre assureur. Si des données personnelles sont concernées, une notification à la CNIL peut être obligatoire, en principe dans les 72 heures après la prise de connaissance de la violation.
La proximité, un critère à relativiser
Une bonne partie du travail d'audit ou de supervision peut se faire à distance. La proximité garde pourtant son intérêt pour un site à sécuriser physiquement, des ateliers avec vos équipes ou une intervention sur place après un incident. Pour une entreprise de Saint-Étienne, de la Talaudière ou de Saint-Chamond, il est donc logique de consulter des professionnels de la Loire, sans écarter pour autant ceux installés plus loin, si leur spécialité correspond mieux au besoin.
Les structures répertoriées dans cette catégorie n'ont pas forcément la même activité ni les mêmes publics. Consultez leur site, demandez deux ou trois propositions sur la base d'un même descriptif, puis retenez celle dont la méthode vous paraît la plus claire. Si vous ne comprenez pas ce qu'un prestataire vous propose, dites-le-lui : sa manière de répondre est déjà un bon indicateur.
