Votre consultant a les clés du SI client : qui paie la fuite ?

Quand une ESN place un consultant chez un client, elle ne fournit pas seulement une compétence : elle introduit dans le système d'information du client un accès humain de confiance. Un administrateur système obtient les droits root sur des serveurs critiques. Un développeur accède aux dépôts de code, aux clés d'API, aux bases de production. Un consultant data manipule des fichiers entiers de données clients. Souvent, ces droits sont plus étendus que ceux d'un salarié interne, parce qu'ils sont accordés vite, largement, et révoqués tard.

Ce maillon est précieux et fragile à la fois. Précieux, car il porte la valeur de la prestation. Fragile, car il concentre un risque cyber considérable : le consultant devient une porte d'entrée potentielle vers les actifs les plus sensibles du client. Et cette porte, c'est l'ESN qui l'a ouverte.

Le risque ne suppose aucune malveillance pour se matérialiser. Trois scénarios reviennent régulièrement :

• L'identifiant compromis : le poste ou les accès du consultant sont piratés (hameçonnage, mot de passe réutilisé, ordinateur infecté). L'attaquant entre dans le SI client en empruntant son identité. L'enquête désigne le consultant — donc l'ESN — comme vecteur initial.
• L'erreur de manipulation : le consultant copie une base de production sur un environnement non sécurisé, expose un bucket cloud, envoie par erreur un fichier sensible. La fuite est involontaire mais bien réelle.
• Le départ mal géré : la mission se termine, les accès ne sont pas révoqués, des données restent sur le matériel du consultant ou de l'ESN. Une copie oubliée est une fuite en sursis.

Dans chacun de ces cas, le client subit une violation de données personnelles ou une compromission de son SI. Et sa première question est invariable : « par où est-ce entré ? » Si la réponse pointe vers votre consultant, la responsabilité de l'ESN — en tant qu'employeur et donneur d'ordre — est immédiatement sur la table.

L'accès privilégié s'accompagne presque toujours d'engagements contractuels lourds, que beaucoup d'ESN signent sans en mesurer la portée. Les contrats de prestation comportent des clauses de confidentialité strictes, parfois assorties de pénalités forfaitaires en cas de manquement. Selon le secteur du client, s'ajoutent des obligations de secret renforcé : secret bancaire, secret médical, secret des affaires.

Sur le plan des données personnelles, l'ESN qui traite des données pour le compte du client est généralement sous-traitant au sens du RGPD (article 28). Ce statut n'est pas une formalité : il impose un contrat encadrant les traitements, des mesures de sécurité, la gestion des sous-traitants ultérieurs et le sort des données en fin de mission. Il fait peser sur l'ESN une responsabilité propre, distincte de celle du client.

Le consultant a accès, mais c'est l'ESN qui a contractualisé l'accès. La chaîne de responsabilité ne s'arrête pas à la personne assise au clavier : elle remonte à l'entreprise qui l'a placée.

Le cadre réglementaire s'est durci, et il atteint désormais les prestataires. La directive NIS2 élargit considérablement le périmètre des entités tenues à des obligations de cybersécurité, et impose à ces entités de maîtriser le risque lié à leur chaîne d'approvisionnement — leurs fournisseurs et prestataires informatiques compris. Pour le secteur financier, le règlement DORA va plus loin encore en encadrant strictement les prestataires de services informatiques tiers.

La conséquence concrète pour une ESN est directe : vos clients régulés vous répercutent leurs obligations par voie contractuelle. On vous demande désormais des audits de sécurité, des engagements sur la gestion des accès, des délais de notification d'incident, des clauses d'audit, parfois des certifications. Ne pas tenir ces engagements, c'est s'exposer à la rupture du contrat et à une mise en cause si un incident survient.

Autrement dit, la cybersécurité de l'ESN n'est plus un sujet purement interne : elle est devenue une condition d'accès au marché, et un terrain de responsabilité contractuelle vis-à-vis de clients de plus en plus exigeants.

Quand un incident se déclare via un consultant, l'ESN ne peut pas se contenter d'attendre : elle est entraînée dans une gestion de crise coûteuse, qu'elle en soit la cause directe ou non.

Pour une ESN, le coup le plus dur n'est pas toujours financier : c'est la confiance. Tout son modèle repose sur la capacité à placer des collaborateurs dans des environnements sensibles. Un incident notoire imputé à l'un de ses consultants fragilise l'argument commercial central de l'entreprise.

La maîtrise du risque passe par une discipline opérationnelle stricte autour des accès :

1. Appliquez le moindre privilège : exigez du client des droits limités au strict nécessaire de la mission, et tracez ces accès.
2. Sécurisez le poste du consultant : chiffrement, gestion centralisée, authentification forte, interdiction du stockage local non maîtrisé des données client.
3. Ritualisez la fin de mission : checklist de révocation des accès, restitution et destruction des données, preuve conservée.
4. Sensibilisez vos consultants à l'hameçonnage et à l'hygiène numérique : le facteur humain reste le premier vecteur.
5. Cartographiez vos obligations NIS2, DORA et RGPD client par client, et alignez vos engagements contractuels sur ce que vous pouvez réellement tenir.

Aucune politique de sécurité n'élimine pourtant le risque résiduel : une attaque sophistiquée, une erreur humaine, un accès oublié. L'assurance cyber de l'ESN prend alors le relais : elle active une cellule d'urgence (forensic, juriste, communication), finance la notification et la remédiation, couvre les pertes d'exploitation et la responsabilité de l'ESN envers le client au titre de la violation. Pour la faute professionnelle elle-même — un défaut de sécurisation que l'on vous reprocherait — la RC Pro reste le complément naturel. Le détail des garanties dédiées au placement de consultants figure sur la fiche assurance ESN / SSII.