<p>Payer chaque panne, c'est rémunérer un prestataire pour les incidents plutôt que pour leur absence. L'infogérance renverse cette logique — mais...
Un serveur de fichiers qui ne répond plus un vendredi à 16 heures, et c'est la facturation du mois qui attend le lundi. Le prestataire est appelé, il intervient, il facture son déplacement et ses heures. Tout le monde trouve cela normal: il y a eu une panne, elle a été réparée, la prestation a été payée. Cette évidence mérite pourtant d'être examinée, parce qu'elle cache une question rarement posée: qui avait intérêt à ce que cette panne n'arrive pas?
Dans un modèle où l'on paie l'intervention, la réponse est inconfortable. Le prestataire est rémunéré quand quelque chose casse. Il n'est pas malhonnête pour autant — la grande majorité fait correctement son travail — mais son modèle économique ne le récompense jamais pour les pannes qui n'ont pas eu lieu. Or ce sont précisément celles-là qui coûtent le moins cher à votre entreprise. L'infogérance renverse cette logique: le prestataire est payé un montant fixe pour que votre informatique fonctionne. Chaque incident devient pour lui un coût, pas un revenu. Cet alignement d'intérêts est le vrai fondement du modèle, bien avant les arguments de disponibilité ou de réactivité qu'on met habituellement en avant.
Concrètement, cela change la nature du travail effectué. Une supervision surveille les disques qui se remplissent, les sauvegardes qui échouent silencieusement, les certificats qui approchent de leur expiration. Les correctifs de sécurité sont appliqués selon un calendrier, pas au hasard d'une visite. Et surtout, un inventaire à jour existe: savoir combien de postes vous possédez, sous quelle version, avec quels logiciels, paraît élémentaire, mais peu d'entreprises de moins de cinquante salariés peuvent répondre à cette question sans aller compter.
Cet inventaire n'est pas un détail administratif. Il conditionne tout le reste: on ne protège pas ce qu'on ne sait pas posséder, et on ne budgète pas un renouvellement de parc qu'on n'a jamais recensé.
L'argument de sécurité, et sa limite
Les attaques informatiques visent en priorité les infrastructures mal entretenues, parce que ce sont les plus faciles. Un système non mis à jour expose des vulnérabilités connues, documentées publiquement, pour lesquelles des outils d'exploitation existent déjà. L'ANSSI le rappelle dans ses guides d'hygiène informatique: la mise à jour régulière et l'inventaire du parc figurent parmi les premières mesures, avant tout investissement dans des outils de défense sophistiqués.
Il faut cependant être honnête sur ce que l'infogérance ne fait pas. Elle ne rend pas votre entreprise inattaquable, et un contrat signé ne dispense pas de sauvegardes testées ni de collaborateurs formés à reconnaître un courriel frauduleux. Un prestataire qui vend l'infogérance comme une protection complète vous vend une illusion confortable. L'argument financier est souvent mal présenté. On compare le coût annuel d'un abonnement à celui des interventions de l'année passée, et la comparaison peut jouer en défaveur de l'infogérance — surtout après une année calme. Ce raisonnement passe à côté de l'essentiel.
Ce que vous achetez avec un montant fixe, ce n'est pas une moyenne plus basse, c'est une variance plus faible. Une année sans incident majeur coûte effectivement plus cher en infogérance qu'en dépannage. Une année avec une panne de serveur, une restauration de sauvegarde et trois jours d'activité perturbée coûte infiniment plus cher dans l'autre modèle — et ce coût-là ne se limite pas à la facture du prestataire. Il inclut les commandes non traitées, les équipes immobilisées, les clients qui appellent sans obtenir de réponse.
La bonne question n'est donc pas « combien cela coûte-t-il en moyenne », mais « quel est le montant que mon entreprise ne peut pas absorber ». C'est une décision de gestion du risque, comparable à une assurance, et elle se prend avec les mêmes critères. Il serait malhonnête de présenter l'infogérance comme la réponse universelle. Une structure de trois personnes avec trois ordinateurs portables, aucun serveur, des données hébergées chez un fournisseur de messagerie et de stockage, n'a pas grand-chose à superviser. Un contrat d'infogérance complet y serait disproportionné.
Le basculement se produit généralement quand apparaissent trois éléments: des données qui n'existent qu'à un seul endroit, une application métier dont l'arrêt bloque l'activité, et suffisamment de postes pour que personne ne sache plus exactement lesquels sont à jour. Si vous reconnaissez ces trois situations, le modèle au coup par coup a probablement atteint sa limite. Un contrat d'infogérance se juge moins sur ses promesses que sur ce qu'il rend vérifiable. Demandez à voir un exemple de rapport mensuel: que contient-il exactement? Le nombre d'interventions, ou l'état des sauvegardes, les correctifs appliqués, les postes en retard de mise à jour? Demandez également à quelle fréquence les restaurations de sauvegarde sont testées — une sauvegarde jamais restaurée n'est pas une sauvegarde, c'est une hypothèse.
Un prestataire qui répond précisément à ces deux questions vous en apprendra davantage sur la qualité de sa prestation que n'importe quelle plaquette commerciale.
- ANSSI — Guide d'hygiène informatique: renforcer la sécurité de son système d'information en 42 mesures
Article rédigé par TIA, l'assistant éditorial de TICLIC, et relu avant publication.