Le minimum de sécurité d'un MSP

Quand une PME confie son informatique à un fournisseur de services gérés (MSP), elle lui confie aussi, qu'elle le sache ou non, sa sécurité. Les auteurs de menace le savent : un accès à l'outil d'administration d'un MSP ouvre d'un coup tous ses clients. La question pour un MSP n'est donc pas « offrons-nous de la sécurité ? » mais « quel est le minimum sous lequel nous refusons de descendre, pour nos clients et pour nous-mêmes ? ».

Deux références publiques et gratuites répondent à cette question pour les organisations de taille modeste. Le Centre canadien pour la cybersécurité publie les Contrôles de cybersécurité de base pour les petites et moyennes organisations (version 1.2), pensés selon la règle du 80/20 : 80 % des bénéfices pour 20 % de l'effort. Le Center for Internet Security définit, dans ses CIS Controls v8.1, le groupe de mise en œuvre IG1 comme « l'hygiène cybernétique essentielle », le standard minimal émergent pour toute entreprise, conçu pour celles qui ont peu d'expertise interne. Un MSP qui livre ces deux ensembles à chaque client, et se les applique à lui-même, tient un minimum défendable.

Les treize contrôles de base, vus du MSP

Le Centre pour la cybersécurité énumère treize contrôles de base. Voici ce que chacun signifie dans une offre de services gérés.

1. Un plan d'intervention en cas d'incident. Écrit, testé, avec les rôles, les contacts hors bande et les seuils d'escalade. Le MSP doit avoir le sien et un modèle pour chaque client ; en cas de rançongiciel, la première heure ne s'improvise pas.
2. Les correctifs appliqués automatiquement aux systèmes d'exploitation et aux applications. C'est la mesure la plus rentable du catalogue et la plus souvent négligée « parce qu'un client n'aime pas les redémarrages ». Le contrat doit fixer les fenêtres et les exceptions par écrit.
3. Les logiciels de sécurité activés : antivirus ou EDR sur chaque poste et serveur, avec une console que quelqu'un regarde.
4. Des dispositifs configurés pour la sécurité : comptes par défaut désactivés, services inutiles fermés, chiffrement des disques, configuration de référence documentée.
5. Une authentification forte. Authentification multifacteur sur tout accès administratif, tout accès à distance et toute messagerie. Pour le MSP lui-même, c'est non négociable sur l'outil de gestion à distance (RMM) et sur les consoles clients.
6. La formation et la sensibilisation des employés, au moins annuelle, avec des exercices d'hameçonnage.
7. La sauvegarde et le chiffrement des données, avec des copies hors ligne. Le Guide sur les rançongiciels du Centre est explicite : des sauvegardes non connectées au réseau sont la mesure d'atténuation la plus importante, parce que le rançongiciel ne peut ni les repérer ni les supprimer. Une sauvegarde qui n'a jamais été restaurée n'existe pas.
8. Des services mobiles sécurisés : gestion des appareils, chiffrement, effacement à distance.
9. Un périmètre de défense de base : pare-feu configuré, RPV pour l'accès à distance, segmentation entre postes, serveurs et équipements.
10. Une infonuagique sécurisée et des services de TI externalisés encadrés : le MSP fait lui-même partie de cette catégorie et doit pouvoir montrer à ses clients ses propres contrôles.
11. Des sites Web sécurisés : HTTPS, mises à jour des CMS et extensions, en-têtes de sécurité.
12. Des contrôles d'accès et l'autorisation : moindre privilège, comptes nominatifs, revue des accès au départ d'un employé.
13. Des supports amovibles sécurisés : politique claire, chiffrement, ports bloqués là où c'est justifié.

Ce que le client doit voir

Un minimum de sécurité n'existe que s'il est mesurable. Un MSP sérieux remet à chaque client, chaque trimestre, un état de ces contrôles : pourcentage de postes à jour, comptes sans MFA, dernière restauration de sauvegarde réussie, incidents et alertes traités. Le rapport n'a pas besoin d'être beau ; il doit être vrai et daté.

Ce que le MSP doit s'appliquer

Les attaques par la chaîne d'approvisionnement ciblent précisément les outils du MSP : accès à distance, sauvegarde centralisée, gestion des mots de passe. Le minimum pour le fournisseur lui-même :

• MFA sur toutes les consoles et un accès conditionnel par appareil géré.
• Séparation des comptes d'administration par client.
• Journalisation centralisée avec conservation suffisante pour enquêter.
• Correctifs de ses propres outils dans les jours suivant leur publication, en particulier ceux exposés à Internet.
• Un test d'intrusion périodique de son propre périmètre, et pas seulement de celui des clients.

Où IG1 et les contrôles de base se rejoignent

Les deux cadres décrivent la même idée par deux chemins : inventorier ce qu'on protège, réduire la surface d'attaque, exiger une authentification forte, corriger vite, sauvegarder hors ligne, former les gens et savoir répondre à un incident. IG1 ajoute une discipline utile pour un MSP : chaque mesure est un « safeguard » vérifiable, ce qui en fait une bonne base de contrat de service.

Et au-delà du minimum

Le minimum protège contre les attaques opportunistes, qui sont la grande majorité. Il ne remplace pas une surveillance continue avec quelqu'un qui répond, ni des tests d'intrusion réguliers. C'est là que nous travaillons avec les MSP : surveillance 24/7 et réponse aux incidents pour leurs clients, tests d'intrusion de leur périmètre et audits de conformité quand un client doit démontrer SOC 2, ISO 27001, PCI DSS ou Loi 25.