Gérer et protéger un système d’information devient trop complexe pour être improvisé — surtout dans une PME sans équipe IT dédiée. C’est le rôle des prestataires de services managés. Mais MSP ou MSSP ? Et surtout : comment distinguer un bon prestataire d’un prestataire qui promet ? Voici les définitions, puis une grille de critères vérifiables.
MSP, MSSP : définitions et différence
Un MSP (Managed Service Provider) est un prestataire qui gère et maintient au quotidien l’infrastructure informatique d’une entreprise — postes, serveurs, réseau, support utilisateurs — dans le cadre d’un forfait de services managés.
Un MSSP (Managed Security Service Provider) est un prestataire spécialisé en cybersécurité managée : il surveille, détecte et répond aux menaces, typiquement au travers d’un SOC (centre opérationnel de sécurité) actif 24 h/24 et 7 j/7.
L’un ne va pas sans l’autre : le MSP s’assure que « la maison » fonctionne, le MSSP veille à ce qu’elle soit protégée contre les intrusions. Certains prestataires, dont ITAIA, cumulent les deux rôles : l’infogérance et la cybersécurité sont alors pilotées par la même équipe, sans zone grise de responsabilité entre « celui qui exploite » et « celui qui sécurise ».
La grille de critères pour choisir
1. Des SLA publics — pas des promesses orales
Tout prestataire annonce être « réactif ». La vraie question : ses engagements de service (délais de prise en charge, de rétablissement — voir GTR/GTI) sont-ils écrits, publics et mesurés ? Demandez les chiffres réellement constatés, pas seulement les cibles. Chez ITAIA, les SLA sont publics : prise en charge moyenne en moins de 10 minutes, intervention sur site à Paris en moins de 4 heures, et 97 % de SLA respectés — un chiffre mesuré en continu et communiqué chaque mois à nos clients.
2. Des certifications vérifiables
Une certification ISO 9001 (qualité) ou ISO 27001 (sécurité de l’information) démontre que le prestataire travaille selon des processus audités par un tiers, pas selon la bonne volonté du technicien de garde. Vérifiez le certificat lui-même — numéro, organisme, périmètre. Le nôtre (BSI, FS 733354) est téléchargeable sur notre page Transparence, et notre démarche ISO 27001 est en cours.
3. La réversibilité : exigez le « sans lock-in »
Le test décisif d’un prestataire de confiance : que se passe-t-il si vous partez ? Documentation à jour et accessible, mots de passe et accès qui vous appartiennent, données restituables dans des formats standards, clause de réversibilité écrite. Un prestataire qui organise votre dépendance vous vend une prison confortable. C’est un principe fondateur de notre philosophie : la fidélité de nos clients doit tenir à la qualité du service, jamais à la difficulté de partir.
4. La spécialisation sectorielle
Un cabinet de gestion réglementé par l’AMF, un cabinet d’avocats et un industriel n’ont pas les mêmes exigences. Si votre secteur est régulé (finance : DORA, santé : HDS…), vérifiez que le prestataire connaît vos obligations et peut produire les preuves attendues par votre régulateur — journaux, traçabilité, tests de sauvegarde. Pour les sociétés de gestion, notre FAQ DORA donne une idée du niveau d’exigence à attendre.
5. Un vrai SOC 24/7 — pas un simple monitoring
Beaucoup de prestataires annoncent une « surveillance 24/7 » qui n’est qu’une supervision automatique : des sondes qui alertent, sans personne pour analyser ni répondre la nuit. Un SOC digne de ce nom collecte les journaux (SIEM), corrèle, et fait intervenir des analystes en continu. Notre article SOC ou monitoring ? explique la différence — et comment la vérifier en posant deux questions simples.
6. La satisfaction mesurée, pas déclarée
Demandez comment la satisfaction client est mesurée. Une enquête envoyée à la clôture de chaque ticket (notre note moyenne : 4,7/5) dit plus qu’une plaquette de témoignages choisis.
En résumé : la checklist
- SLA écrits, publics, avec chiffres constatés ;
- certifications vérifiables (ISO 9001, ISO 27001) ;
- clause de réversibilité et documentation qui vous appartient ;
- références dans votre secteur, exigences réglementaires comprises ;
- SOC 24/7 avec analystes, pas seulement des sondes ;
- satisfaction mesurée en continu.
Vous voulez comparer concrètement ? Nos offres et tarifs sont en ligne, avec un configurateur par poste — là aussi, la transparence se pratique plus qu’elle ne se déclare.
