# AldenSync

> Infogérance informatique pour PME de 10 à 100 postes, basée à Paris : support illimité, sécurité, sauvegardes testées, prix fixe par poste, deux garanties écrites et un audit gratuit d'une heure.

AldenSync (SIREN 938 651 726, 60 rue François 1er, Paris) est fondée et dirigée par Pierre de Ramel, DSI et administrateur systèmes. Elle s'adresse aux dirigeants de PME de 10 à 100 postes (jusqu'à 250 avec l'offre DSI+), en France et à l'étranger, et à des métiers sensibles comme les experts-comptables et les cabinets d'avocats.

- Offres : Essentiel (10 à 30 postes), Zéro Interruption (10 à 100 postes), DSI+ (50 à 250 postes, multi-sites).
- Prix : fixe par poste et par mois, [XX] € HT selon le niveau, établi après l'audit gratuit et garanti 12 mois. Pas de facturation à l'heure.
- Garanties : le mois offert si une panne due à AldenSync bloque l'équipe plus de [4] heures ouvrées ; sortie libre pendant 90 jours.
- Délais : prise en charge en [15] minutes aux heures ouvrées ; reprise de l'existant en [14] jours ; retour d'audit ou de scan sous 48 h.
- Zones : à distance partout en France ; sur site en [ZONE].
- Langues : français, anglais, [LANGUE 3], [LANGUE 4].
- Contact : contact@aldensync.com ; audit gratuit : https://aldensync.com/contact.

## Infogérance PME : déléguer sans perdre le contrôle

Source : https://aldensync.com/infogerance-pme — mis à jour le 2026-10-27, par Pierre de Ramel.

L’infogérance consiste à confier tout ou partie de la gestion informatique à un prestataire, avec un périmètre et des engagements écrits. Pour une PME de 10 à 100 postes, elle associe assistance, maintenance et pilotage. Son intérêt dépend surtout de la clarté du contrat, de la sécurité et de la capacité de reprise.

### Qu’est-ce que l’infogérance pour une PME ?

L’infogérance est une organisation de travail, pas seulement une assistance téléphonique. Le prestataire prend en charge des tâches identifiées : entretenir les postes, administrer les comptes, surveiller les équipements ou accompagner les utilisateurs. La direction conserve les décisions concernant le budget, les risques acceptables et les priorités métiers. Un interlocuteur interne reste donc nécessaire, même lorsque presque toute la technique est déléguée.

Pour une entreprise de 10 à 100 postes, le besoin varie selon les horaires, le télétravail, les logiciels métiers et la sensibilité des informations. Un cabinet qui produit des dossiers clients ne présente pas les mêmes contraintes qu’une équipe commerciale mobile. Le bon point de départ est un inventaire partagé : équipements, applications, accès, contrats, sites et dépendances critiques.

Par Pierre de Ramel, fondateur d’AldenSync, spécialiste de l’infogérance pour les PME à Paris. Ce guide propose une méthode de décision : il ne remplace ni un audit technique ni la lecture des engagements contractuels du prestataire retenu.

### Que doit couvrir le contrat ?

Le socle peut comprendre le support utilisateur, la préparation des ordinateurs, la gestion des arrivées et départs, les correctifs, la supervision et la documentation. Chaque élément doit être nommé. Une formule présentée comme complète ne dit pas, à elle seule, si les déplacements, les serveurs, les équipements réseau ou les applications métiers sont inclus.

La sécurité mérite une annexe lisible : qui active le MFA, qui surveille les alertes, qui vérifie les sauvegardes et qui décide d’isoler un poste suspect ? Demandez aussi comment sont séparés les comptes administrateurs et les comptes usuels. Les interventions privilégiées doivent rester traçables et les habilitations doivent pouvoir être retirées rapidement.

Enfin, décrivez le pilotage : fréquence des échanges, suivi des incidents récurrents, état du parc et plan des actions à venir. Un rapport utile explique les risques et les arbitrages, plutôt que d’aligner des indicateurs techniques sans contexte. Prévoyez une procédure simple pour valider les dépenses qui sortent du forfait.

### Quel budget prévoir et comment comparer les prix ?

Pour une offre par poste et par mois, la fourchette de marché à documenter est [FOURCHETTE À CONFIRMER]. Pour une prestation globale comprenant davantage d’administration et de sécurité, retenez également [FOURCHETTE À CONFIRMER]. Ces mentions sont des repères éditoriaux à compléter après consultation de devis comparables, et non des tarifs AldenSync ou des moyennes établies.

Le prix dépend du nombre de postes, mais aussi des serveurs, des sites, des horaires et de l’état initial du système. La reprise d’un parc mal documenté peut demander un chantier distinct. Demandez une séparation entre abonnement récurrent, licences, matériel, mise en service et projets exceptionnels. Vérifiez également les conditions de révision et les modalités de facturation des déplacements.

Comparez ensuite le coût du même périmètre sur la même période. Une offre moins chère peut exclure les restaurations ou limiter fortement l’assistance. À l’inverse, une offre plus large peut inclure des services inutiles à votre activité. Faites préciser les hypothèses du devis et les situations qui déclenchent un supplément avant toute signature.

### Comment choisir un prestataire adapté ?

Présentez aux candidats les mêmes scénarios : départ urgent d’un salarié, messagerie inaccessible, ordinateur chiffré ou restauration d’un dossier supprimé. Demandez qui intervient, selon quelle procédure et avec quels moyens. Les réponses révèlent mieux l’organisation réelle qu’une liste de technologies. Vérifiez aussi comment le prestataire coordonne ses actions avec votre éditeur métier et votre opérateur télécom.

Examinez les engagements de service sans confondre réception du ticket et résolution. Un délai de prise en charge ne garantit pas le retour à la normale. Les plages couvertes, niveaux de priorité, circuits d’escalade et moyens de contact doivent être explicites. Pour une activité sensible, discutez des situations où une intervention hors horaires devient nécessaire.

La réversibilité se négocie dès le départ. Votre entreprise doit pouvoir récupérer sa documentation, ses données et les informations nécessaires à la reprise par un tiers. Identifiez le propriétaire des abonnements, des noms de domaine et des comptes principaux. Fixez les modalités de transfert, les éventuels frais et les obligations de suppression des copies restantes.

### Quelles erreurs fréquentes éviter ?

La première erreur consiste à déléguer sans responsable interne. Sans arbitrage métier, les demandes urgentes écrasent les travaux de fond. La deuxième est de penser que la sauvegarde est acquise parce qu’un outil affiche un voyant vert. Il faut connaître le périmètre protégé et disposer de comptes rendus de restauration réellement effectuée.

Autre piège : conserver des comptes partagés pour simplifier les interventions. Cette pratique rend les actions difficiles à attribuer et complique les départs. Évitez aussi de laisser le prestataire seul détenteur des moyens de récupération. Prévoyez un accès de secours contrôlé, conservé par une personne autorisée et vérifié dans un cadre défini.

Enfin, ne repoussez pas indéfiniment les mises à niveau. Un contrat de maintenance ne rend pas sûr un équipement qui ne reçoit plus de correctifs. Demandez une feuille de route priorisée et compréhensible, avec les conséquences des reports. Le pilotage doit vous permettre de décider en connaissance de cause, sans dépendre d’un discours alarmiste.

### Comment organiser le démarrage ?

Commencez par un état des lieux contradictoire et un calendrier de reprise. Traitez les accès sensibles, la continuité des sauvegardes et les incidents ouverts avant de multiplier les changements. Informez les collaborateurs du canal de support et des informations à transmettre. Une demande bien décrite facilite le diagnostic et évite des échanges inutiles.

Validez ensuite une liste d’actions, des responsables et des preuves attendues. Le démarrage est réussi lorsque la documentation existe, que les responsabilités sont comprises et qu’un premier exercice de restauration a été analysé. Réexaminez le périmètre lorsque l’entreprise ouvre un site, change de logiciel métier ou fait évoluer ses modes de travail.

### Questions fréquentes

**Faut-il externaliser toute l’informatique ?**
Non. Vous pouvez déléguer le support et conserver le pilotage, ou confier seulement certaines briques. L’essentiel est de documenter les frontières et les responsabilités partagées.

**Les licences sont-elles toujours incluses ?**
Non. Demandez leur liste, leur propriétaire et leurs conditions de transfert. Une licence citée dans une proposition commerciale n’est pas nécessairement comprise dans le forfait.

**Peut-on changer de prestataire facilement ?**
Cela dépend de la réversibilité préparée au contrat et de la qualité documentaire. Organisez le transfert des accès et des données avant de résilier les services indispensables.

**Un forfait supprime-t-il tous les frais supplémentaires ?**
Non. Les projets, le matériel ou certaines interventions peuvent rester hors périmètre. Exigez une procédure de validation préalable et une liste claire des exclusions.

### Sources

- ANSSI : guide d’hygiène informatique : https://cyber.gouv.fr/publications/guide-dhygiene-informatique

## Sécurité informatique PME : les protections prioritaires

Source : https://aldensync.com/securite-informatique-pme — mis à jour le 2026-10-27, par Pierre de Ramel.

La sécurité informatique d’une PME repose sur des protections complémentaires, pas sur un logiciel unique. Priorisez le MFA, une sauvegarde isolée et testée, un EDR surveillé, les correctifs, la formation au hameçonnage et un plan de reprise. Documentez leur fonctionnement pour piloter les risques et répondre précisément aux partenaires et assureurs.

### Pourquoi partir des usages plutôt que des outils ?

Par Pierre de Ramel, fondateur d’AldenSync, spécialiste de l’infogérance pour les PME à Paris. Dans une entreprise de 10 à 100 postes, la priorité est de rendre les protections exploitables au quotidien. Un outil installé mais mal configuré, ignoré ou privé de responsable peut donner une impression trompeuse de sécurité.

Commencez par identifier les activités indispensables, les données sensibles et les accès qui permettent de les atteindre. Décrivez les conséquences d’une messagerie bloquée, d’un dossier client divulgué ou d’un logiciel métier indisponible. Ce travail aide à choisir l’ordre des actions et à faire valider les dépenses par la direction, sans promettre une protection absolue.

### Comment sécuriser les accès avec le MFA ?

Le MFA ajoute une preuve indépendante au mot de passe. Activez-le sur la messagerie, les accès distants, les comptes administrateurs et les applications sensibles qui le permettent. Privilégiez, lorsque le service le propose, des méthodes résistantes au hameçonnage. Ne considérez pas toutes les méthodes comme équivalentes et encadrez les procédures de récupération.

Le déploiement exige un inventaire des comptes, y compris ceux des prestataires. Supprimez les accès inutiles et séparez les usages administratifs des usages quotidiens. Préparez la perte d’un téléphone et les changements de collaborateurs, sans créer de contournement permanent. Vérifiez enfin les connexions anciennes ou les protocoles qui pourraient échapper à la politique retenue.

### Comment articuler sauvegarde hors ligne et EDR ?

Une sauvegarde hors ligne, déconnectée en dehors des opérations prévues, limite l’exposition à un attaquant présent dans le système. Elle doit couvrir les données nécessaires à la reprise et rester accessible par une procédure contrôlée. Ajoutez des tests de restauration : un fichier copié avec succès ne prouve pas qu’une application redémarrera dans des conditions acceptables.

L’immuabilité peut compléter cette organisation, sans être automatiquement synonyme de mise hors ligne. Examinez les droits de suppression, les comptes de stockage et la durée de protection. Conservez les moyens de récupération dans un environnement distinct. Le prestataire doit pouvoir expliquer comment la sauvegarde résiste à la compromission d’un compte administrateur de production.

L’EDR observe les comportements suspects sur les postes et serveurs compatibles. Son intérêt dépend de la couverture du parc, de la configuration et du traitement des alertes. Décidez qui qualifie un signal et qui peut isoler une machine. Sans surveillance organisée, une alerte pertinente peut rester sans réponse au moment où elle serait la plus utile.

### Comment maintenir les correctifs et former les équipes ?

Les correctifs réduisent l’exposition aux vulnérabilités connues. Tenez un inventaire des systèmes et applications, définissez les priorités selon l’exposition et vérifiez la réussite des installations. Les équipements réseau et les outils accessibles depuis Internet méritent une attention particulière. Documentez les exceptions et prévoyez le remplacement des produits qui ne sont plus maintenus.

Pour les applications métiers, testez les mises à jour lorsque leur impact le justifie et définissez une procédure de retour arrière. Le risque d’une interruption ne doit pas devenir une excuse permanente pour ne rien corriger. Faites arbitrer les reports par un responsable identifié, avec une échéance et des mesures compensatoires réalistes.

La formation au hameçonnage doit faciliter le signalement, pas culpabiliser les salariés. Travaillez sur des situations concrètes : demande de paiement, partage de document, changement de coordonnées bancaires ou fausse assistance. Apprenez à vérifier une demande sensible par un autre canal connu. Les exercices doivent déboucher sur des améliorations des procédures et un accompagnement adapté.

### Que doit prévoir le plan de reprise ?

Le plan de reprise décrit comment reconstruire un fonctionnement acceptable après un incident. Listez les applications prioritaires, leurs dépendances, les personnes habilitées et les ressources nécessaires. Définissez avec les métiers la perte de données tolérable et le délai de reprise visé. Ces objectifs orientent les sauvegardes, les contrats et les tests ; ils ne deviennent pas des garanties par simple inscription dans un document.

Prévoyez un exemplaire accessible lorsque la messagerie et les outils habituels sont indisponibles. L’exercice doit vérifier les accès de secours, la restauration et la coordination entre direction, informatique et prestataires. Documentez les écarts observés. Un plan crédible évolue après chaque changement important de logiciel, de site ou de fournisseur critique.

En cas d’attaque, la reprise ne consiste pas à reconnecter immédiatement une copie des données. Il faut comprendre suffisamment l’incident, protéger les éléments utiles à l’analyse et reconstruire dans un environnement maîtrisé. Identifiez en amont les interlocuteurs techniques, juridiques et assurantiels pour éviter d’improviser leurs rôles sous pression.

### Que demandent les assureurs cyber et que change NIS2 ?

Les questionnaires d’assurance peuvent porter sur le MFA, les sauvegardes isolées, les correctifs, la protection des postes et les procédures de réponse. Les critères diffèrent selon les contrats et les risques déclarés. Ne présentez pas cette liste comme une condition universelle de couverture. Répondez selon les dispositifs effectivement déployés et conservez les justificatifs correspondant à chaque déclaration.

Examinez les exclusions, franchises, plafonds, délais de déclaration et modalités d’appel à l’assistance. Certaines interventions peuvent nécessiter un accord préalable selon le contrat. Faites préciser les obligations ambiguës par écrit. Une assurance contribue au traitement financier et opérationnel d’un sinistre dans ses limites contractuelles ; elle ne remplace pas la prévention ni la préparation.

La directive NIS2, notamment son article 21, traite de la sécurité de la chaîne d’approvisionnement. Une PME sous-traitante peut donc recevoir des exigences contractuelles d’un client concerné sans devenir automatiquement une entité réglementée. Son éventuel assujettissement direct doit être évalué séparément selon son activité, sa taille, les exceptions et le droit national applicable.

Consultez le texte officiel : https://eur-lex.europa.eu/eli/dir/2022/2555/oj. Préparez un dossier proportionné décrivant les accès, les mesures, la gestion des incidents et les sous-traitants mobilisés. Vérifiez que les engagements proposés restent réalisables. Une demande commerciale de conformité ne suffit pas à établir votre statut juridique ni à justifier une promesse générale de conformité NIS2.

### Questions fréquentes

**Ces six mesures suffisent-elles contre toute attaque ?**
Non. Elles constituent un socle à adapter aux usages et aux risques. La configuration, le suivi et les exercices comptent autant que le choix des solutions.

**Un antivirus remplace-t-il un EDR ?**
Les fonctions peuvent se recouper selon les produits. Comparez les capacités de détection, d’investigation et de réponse, ainsi que les moyens humains chargés de traiter les alertes.

**Une PME sous-traitante relève-t-elle automatiquement de NIS2 ?**
Non. Les obligations contractuelles de chaîne d’approvisionnement ne suffisent pas à établir un assujettissement direct. Analysez le champ du texte et les dispositions nationales applicables.

**Que fournir à un assureur cyber ?**
Des réponses exactes et des preuves pertinentes : périmètre du MFA, procédures, résultats de restauration et suivi des correctifs. Faites clarifier les formulations qui ne correspondent pas à votre organisation.

### Sources

- Directive NIS2 : texte officiel : https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- ANSSI : guide d’hygiène informatique : https://cyber.gouv.fr/publications/guide-dhygiene-informatique

## Sauvegarde entreprise : préparer une restauration fiable

Source : https://aldensync.com/sauvegarde-entreprise — mis à jour le 2026-10-27, par Pierre de Ramel.

Une sauvegarde d’entreprise doit permettre de retrouver des données utilisables après une erreur, une panne ou une attaque. Combinez plusieurs copies, des supports ou environnements distincts et une copie hors site. Ajoutez une protection contre la suppression et des restaurations testées, avec des objectifs de reprise validés par les métiers.

### Que faut-il vraiment sauvegarder dans une PME ?

Par Pierre de Ramel, fondateur d’AldenSync, spécialiste de l’infogérance pour les PME à Paris. Pour une entreprise de 10 à 100 postes, la sauvegarde doit partir des activités à remettre en marche. Une collection de fichiers ne suffit pas toujours : les applications, leurs bases, leurs configurations et leurs dépendances peuvent être nécessaires à la reprise.

Inventoriez les dossiers partagés, les données des logiciels métiers, les messageries et les espaces collaboratifs. Recherchez aussi les informations dispersées sur les ordinateurs portables ou chez des fournisseurs. Pour chaque ensemble, désignez un propriétaire métier et précisez ce qui doit être restauré. Les exclusions doivent être visibles, comprises et acceptées plutôt que découvertes pendant une crise.

Distinguez ensuite sauvegarde, archivage et synchronisation. La sauvegarde prépare le retour à un état antérieur ; l’archivage répond à des besoins de conservation ; la synchronisation réplique des changements entre emplacements. Une suppression ou un chiffrement peut se propager dans un dossier synchronisé. La présence du même fichier sur plusieurs appareils ne constitue donc pas, à elle seule, une stratégie suffisante.

### Comment appliquer la règle 3-2-1 ?

La règle 3-2-1 propose trois copies des données, dont la production, sur deux types de supports, avec une copie hors site. Ce principe d’architecture vise à éviter qu’une panne ou un sinistre unique détruise tout. Il ne s’agit pas d’une statistique de marché ni d’une garantie automatique de récupération.

Adaptez ce principe à votre système sans vider sa logique de séparation. Deux dossiers sur le même équipement ne protègent pas contre sa perte. De même, une copie distante accessible avec les mêmes identifiants peut rester vulnérable à une compromission. Examinez les lieux de stockage, les technologies utilisées et surtout les chemins d’administration possibles.

Ajoutez une copie hors ligne ou une protection adaptée contre les altérations et suppressions malveillantes. Définissez qui connecte un support, qui contrôle les opérations et comment les copies tournent. Si vous utilisez un service distant, documentez la récupération en cas de perte du compte principal, d’indisponibilité du fournisseur ou de rupture de la liaison réseau.

### Qu’apporte une sauvegarde immuable ?

Une sauvegarde immuable empêche la modification ou la suppression des données protégées pendant une durée définie, selon les mécanismes du service. Elle peut compliquer l’action d’un attaquant cherchant à effacer les copies avant un chiffrement. Mais le mot immuable ne décrit pas, à lui seul, les conditions exactes de résistance ni toutes les possibilités de contournement.

Vérifiez les permissions, les possibilités de réduction de la rétention et les conséquences de la suppression d’un compte ou d’un contrat. Demandez si un administrateur peut désactiver la protection et dans quelles conditions. Séparez les accès de sauvegarde de ceux de la production et protégez les comptes sensibles par une authentification renforcée.

L’immuabilité ne remplace pas une copie hors ligne dans tous les scénarios : une copie en ligne reste exposée à certaines dépendances techniques et contractuelles. Elle ne garantit pas non plus que les données sauvegardées soient saines. Une copie peut contenir une corruption ancienne ou manquer une application indispensable ; seule une stratégie complète réduit ces angles morts.

### Comment tester réellement une restauration ?

Commencez par un fichier, puis testez un ensemble représentatif : dossier partagé avec ses permissions, base métier ou application complète. Restaurez dans un environnement isolé lorsque le contexte le demande. Faites vérifier le résultat par un utilisateur habilité : un fichier présent mais illisible, incomplet ou inutilisable ne répond pas à l’objectif.

Mesurez le temps nécessaire à chaque étape, depuis la demande jusqu’au retour au service. Le RPO décrit la perte de données maximale acceptable exprimée en temps ; le RTO exprime le délai de rétablissement visé. Ces objectifs doivent être validés par les métiers, puis confrontés aux capacités observées, aux dépendances et aux moyens disponibles.

Conservez un compte rendu : scénario, date, données concernées, personnes présentes, résultats et corrections décidées. Testez aussi la disponibilité des clés de déchiffrement, des licences et de la documentation. Si la reprise exige une personne absente ou un secret inaccessible, le plan reste fragile. Recommencez après les changements structurants et selon une fréquence adaptée aux risques.

### Pourquoi dire « Microsoft 365 n’est pas une sauvegarde » ?

La formule rappelle une distinction : disposer de Microsoft 365 ne signifie pas disposer automatiquement d’une sauvegarde indépendante couvrant tous vos scénarios. Les corbeilles, versions et politiques de conservation offrent des possibilités utiles, mais leurs périmètres, durées et conditions varient selon les services, les licences et la configuration. Elles doivent être examinées, pas supposées.

Le Contrat de services Microsoft recommande des sauvegardes régulières du contenu : https://www.microsoft.com/fr-fr/servicesagreement. Ce texte vise les services qu’il énumère et ne doit pas être présenté comme le contrat unique de toutes les offres professionnelles Microsoft 365. Pour une PME, vérifiez aussi les conditions commerciales applicables et la documentation du service effectivement souscrit.

Microsoft propose par ailleurs des fonctions et offres de sauvegarde : le slogan ne signifie donc pas qu’aucune solution Microsoft ne peut sauvegarder ces données. L’enjeu est de vérifier la couverture réelle, les points de restauration, les droits administratifs et les dépendances. Comparez ces capacités à vos scénarios de suppression, de compromission et de départ d’un utilisateur.

### Comment choisir une solution et répartir les responsabilités ?

Demandez une matrice indiquant les données incluses, les exclusions, la fréquence, la rétention et les modalités de récupération. Vérifiez les coûts éventuels de restauration, de transfert et de stockage additionnel sans supposer qu’ils sont compris. Les engagements de disponibilité du service ne constituent pas nécessairement une garantie de délai de restauration de votre activité.

Désignez qui lit les alertes, traite les échecs et valide les tests. Une sauvegarde confiée à un prestataire reste un sujet de gouvernance pour la direction. Exigez des comptes rendus compréhensibles et un canal d’escalade. Préparez également la réversibilité : format des données, délais de récupération et suppression des copies en fin de contrat.

Enfin, faites vivre le dispositif. Lorsqu’une nouvelle application arrive, lorsqu’un serveur disparaît ou qu’un service change de propriétaire, le périmètre doit être réévalué. La bonne question n’est pas seulement de savoir si la tâche automatique a réussi, mais si votre entreprise saurait reprendre avec les données et les moyens disponibles aujourd’hui.

### Questions fréquentes

**Une sauvegarde quotidienne est-elle suffisante ?**
Cela dépend de la perte de données acceptable et du rythme de votre activité. Définissez votre objectif métier, puis vérifiez que la fréquence et les tests permettent de le respecter.

**Le cloud dispense-t-il d’une copie hors site ?**
Le cloud peut constituer un emplacement hors site, mais il faut analyser les dépendances et les accès. Il ne garantit pas à lui seul une séparation suffisante des risques.

**Faut-il conserver les sauvegardes indéfiniment ?**
Non. Définissez une rétention adaptée aux besoins, aux obligations applicables et à la protection des données personnelles. Distinguez cette politique des exigences propres à un archivage légal.

**Qui doit valider le test de restauration ?**
Le responsable technique vérifie les opérations et le représentant métier confirme l’usage réel des données ou de l’application. Les écarts et les actions correctives doivent être documentés.

### Sources

- Microsoft : Contrat de services : https://www.microsoft.com/fr-fr/servicesagreement
- ANSSI : guide d’hygiène informatique : https://cyber.gouv.fr/publications/guide-dhygiene-informatique

## Glossaire

- **DMARC** : DMARC est un mécanisme de contrôle des courriels fondé sur les résultats de SPF et DKIM, avec un alignement sur le domaine visible de l’expéditeur. Il permet de publier une politique de traitement et de recevoir des rapports. Son déploiement progressif réduit certaines usurpations sans bloquer toutes les formes de fraude.
- **DORA** : DORA est le règlement européen consacré à la résilience opérationnelle numérique du secteur financier. Il encadre notamment la gestion des risques informatiques, les incidents, les tests et les relations avec les prestataires technologiques. Une PME fournisseur peut recevoir des exigences contractuelles, sans être automatiquement soumise à toutes les obligations des entités financières.
- **EDR** : Un EDR est une solution de détection et de réponse sur les postes et serveurs. Il collecte des événements pour repérer des comportements suspects et faciliter l’investigation ou l’isolement d’une machine. Son efficacité dépend du périmètre couvert, de sa configuration et des personnes chargées de traiter les alertes émises.
- **Infogérance** : L’infogérance consiste à déléguer la gestion de tout ou partie du système informatique à un prestataire. Le contrat précise les services, les responsabilités, les horaires et les engagements. Pour une PME, elle peut couvrir l’assistance, la maintenance, la sécurité et le pilotage, sans transférer toutes les décisions de gouvernance.
- **MFA** : Le MFA, ou authentification multifacteur, demande plusieurs preuves de catégories différentes pour vérifier une identité. Il peut associer un secret à un appareil ou à une caractéristique biométrique. Il renforce la protection des accès, mais toutes les méthodes ne résistent pas également au hameçonnage et les procédures de récupération restent sensibles.
- **MSP** : Un MSP est un prestataire de services informatiques managés. Il prend en charge des fonctions récurrentes, comme la supervision, la maintenance ou l’assistance, selon un contrat. Cette appellation décrit un modèle de service, pas une certification. Il faut examiner le périmètre, les engagements, la sécurité et les conditions de réversibilité.
- **NIS2** : NIS2 est une directive européenne visant un niveau commun élevé de cybersécurité dans des secteurs déterminés. Son application dépend du champ prévu et du droit national applicable. Une PME sous-traitante peut recevoir des exigences de sécurité de ses clients sans devenir automatiquement une entité directement assujettie à la réglementation.
- **Patching** : Le patching désigne la gestion des correctifs des logiciels, systèmes et équipements. Il comprend leur identification, leur priorisation, leur test éventuel, leur déploiement et la vérification du résultat. Une politique adaptée tient compte des vulnérabilités, de l’exposition et des contraintes métier, tout en documentant les exceptions et les reports décidés.
- **PCA** : Le plan de continuité d’activité organise le maintien des fonctions essentielles pendant une perturbation. Il prévoit les priorités, les responsabilités, les moyens de remplacement et les modes dégradés. Il dépasse le seul informatique et doit être testé pour vérifier que les équipes peuvent effectivement poursuivre une activité jugée acceptable.
- **Phishing** : Le phishing, ou hameçonnage, est une tentative de tromperie visant à obtenir des informations, un paiement ou une action dangereuse. Il peut passer par un courriel, un message ou un faux site. La prévention associe protections techniques, vérification des demandes sensibles et signalement simple, sans faire reposer la sécurité sur les seuls utilisateurs.
- **PRA** : Le plan de reprise d’activité décrit comment rétablir les services après une interruption importante. Pour sa partie informatique, il précise les systèmes prioritaires, les dépendances, les sauvegardes et les procédures de reconstruction. Les objectifs de délai et de perte de données doivent être validés avec les métiers et éprouvés par des exercices.
- **Ransomware** : Un ransomware, ou rançongiciel, est un logiciel malveillant utilisé pour bloquer des systèmes ou chiffrer des données afin d’exiger une rançon. L’attaque peut aussi comporter un vol d’informations et une menace de publication. La préparation repose notamment sur la prévention, les sauvegardes isolées, la détection et une procédure de réponse coordonnée.
- **RGPD** : Le RGPD est le règlement européen relatif à la protection des données personnelles. Il encadre leur traitement et prévoit des droits pour les personnes ainsi que des obligations pour les organismes concernés. La sécurité informatique y contribue, mais la conformité comprend aussi les finalités, les bases légales, l’information et la gestion des durées.
- **RPO** : Le RPO exprime la perte maximale de données acceptable, mesurée en temps, après un incident. Il aide à définir la fréquence des sauvegardes ou des mécanismes de réplication. Cet objectif doit être validé par les métiers et confronté aux capacités réelles, sans confondre une fréquence configurée avec une récupération démontrée.
- **RTO** : Le RTO est le délai cible pour rétablir un service après une interruption. Il guide les choix de reprise, les moyens nécessaires et les priorités. Il doit intégrer les dépendances et être confronté aux résultats des exercices, car une restauration technique achevée ne signifie pas toujours que l’activité peut reprendre.
- **Sauvegarde immuable** : Une sauvegarde immuable protège une copie contre la modification ou la suppression pendant une période définie, selon les mécanismes du service. Elle peut limiter les conséquences d’une compromission. Il faut vérifier les droits administratifs, les exceptions et les conditions de rétention, puis tester la restauration : immuable ne signifie pas nécessairement hors ligne.
- **SLA** : Un SLA formalise des engagements de niveau de service entre un fournisseur et son client. Il peut porter sur la disponibilité, la prise en charge ou le rétablissement, avec des conditions de mesure et des exclusions. Il faut distinguer ces indicateurs et vérifier les horaires couverts ainsi que les conséquences contractuelles.
- **SOC** : Un SOC est une organisation chargée de surveiller des événements de sécurité, de qualifier des alertes et de coordonner certaines réponses. Il associe personnes, processus et outils. Sa valeur dépend notamment des sources analysées, des horaires de couverture, des procédures d’escalade et des pouvoirs réellement accordés pour agir sur les incidents.
- **SSO** : Le SSO, ou authentification unique, permet d’accéder à plusieurs applications après une authentification auprès d’un fournisseur d’identité. Il simplifie les usages et centralise certains contrôles. Il doit être sécurisé par une gestion rigoureuse des comptes, une authentification renforcée et des procédures de secours, car sa compromission peut affecter plusieurs services.
- **VPN** : Un VPN crée un tunnel chiffré entre des équipements ou des réseaux à travers une infrastructure non maîtrisée. Il peut protéger un accès distant aux ressources de l’entreprise. Il ne rend pas automatiquement le poste fiable ni l’utilisateur légitime : mises à jour, authentification renforcée et limitation des droits restent nécessaires.