Les questions que nous posent le plus souvent les dirigeants et responsables conformité des sociétés de gestion. Pour aller plus loin, consultez notre approche du socle technique DORA ou notre page infogérance pour le secteur financier régulé.
Les questions que nous posent le plus souvent les dirigeants et responsables de la conformité des sociétés de gestion. Pour aller plus loin, consultez notre approche du socle technique DORA ou notre page infogérance pour le secteur financier régulé.
Oui. DORA s’applique aux entités financières régulées, dont les sociétés de gestion de portefeuille supervisées par l’AMF et l’ACPR. Le règlement impose un cadre de gestion des risques informatiques, de résilience opérationnelle et de notification d’incident, avec une exigence de preuves techniques démontrables en cas de contrôle.
En partie, et c’est une nuance importante. DORA prévoit un allègement pour les microentreprises (moins de 10 salariés et moins de 2 M€ de chiffre d’affaires ou de bilan annuel), qui relèvent d’un cadre simplifié de gestion des risques informatiques. Mais « simplifié » ne veut pas dire « exempté » : les obligations de sauvegarde, de continuité et de notification d’incident demeurent. Et au-delà de ce seuil, c’est le cadre complet qui s’applique. La première étape utile est de déterminer précisément de quel régime vous relevez — c’est l’un des points que nous examinons lors du diagnostic DORA.
Non, et c’est le malentendu le plus coûteux. La conformité DORA n’est pas un projet qu’on termine : c’est une discipline quotidienne. Concrètement, cela veut dire une protection des postes (EDR) active en permanence, une surveillance de sécurité continue, des sauvegardes testées régulièrement, et un durcissement réexaminé au moins une fois par an — et systématiquement après toute modification importante de votre système. La conformité se prouve dans la durée, pas à un instant T.
Non, et il faut se méfier de quiconque le promet. Un prestataire technique ne remplace pas votre RCCI ni un cabinet de conformité. Son rôle est de mettre en place et de documenter le socle technique qui rend votre conformité possible et démontrable. Le pilotage réglementaire reste de votre responsabilité — nous le soutenons avec des preuves techniques.
Notamment : la réduction de la surface d’exposition, la généralisation de l’authentification renforcée, la gestion des vulnérabilités et des correctifs, les capacités de détection rapide, la réponse à incident, les plans de continuité, et des sauvegardes sécurisées et régulièrement testées. Autant de points que nous couvrons dans nos pages durcissement, surveillance et sauvegarde.
DORA demande, pour toutes les entités sauf les microentreprises, au moins un test annuel des systèmes qui supportent vos fonctions critiques. Mais le principe de proportionnalité s’applique : l’étendue du test dépend de votre taille, de votre complexité et de votre profil de risque. Le test d’intrusion avancé dit « TLPT » (red team tous les 3 ans) est, lui, réservé aux entités jugées critiques pour le système financier : la plupart des petites sociétés de gestion ne sont pas concernées. Un rythme sain pour une structure de votre taille : un durcissement et une revue de sécurité annuels, un test après chaque changement majeur, et une surveillance continue le reste du temps.
Pas nécessairement. Beaucoup de sociétés de gestion n’ont pas la taille pour un DSI à temps plein. En externalisant, vous accédez à une équipe complète — support, supervision, sécurité — pour le coût d’un poste, tout en gardant la main sur vos décisions. Nous devenons votre fonction informatique, sans que vous ayez à la recruter ni à la manager.
Un infogéreur classique sait gérer un parc et dépanner. Un prestataire spécialisé connaît en plus vos contraintes propres : confidentialité des positions, disponibilité permanente, traçabilité exigée par le régulateur, obligations DORA. La différence se voit le jour d’un contrôle ou d’un incident, quand il faut produire des preuves et parler le langage de l’AMF ou de l’ACPR.
Non, et nous préférons être clairs là-dessus. L’analyse de risques TIC et les tests d’intrusion (pentest) ne font pas partie de nos prestations — et ce n’est pas un hasard. Pour ces missions, l’indépendance est essentielle : il ne serait pas sain que celui qui sécurise votre informatique soit aussi celui qui juge si elle est bien sécurisée. C’est comme corriger sa propre copie. En revanche, vous en avez besoin pour avancer, et nous le savons : nous travaillons avec des partenaires spécialisés (analystes de risques, sociétés de pentest) que nous pouvons vous recommander, et nous préparons votre environnement pour ces tests puis corrigeons ce qu’ils révèlent. Notre rôle, c’est le socle technique ; le leur, l’évaluation indépendante. Les deux sont complémentaires.
La responsabilité réglementaire reste celle de l’entité financière : DORA ne permet pas de la déléguer entièrement à un prestataire. En revanche, un bon prestataire technique réduit fortement le risque qu’un incident survienne, et vous donne les moyens de réagir vite et de documenter votre gestion de crise. C’est pourquoi le choix du prestataire et la qualité de la traçabilité sont déterminants.
Oui, en grande partie. DORA introduit la notion de risque lié aux prestataires tiers : vous restez responsable de la résilience de votre chaîne, même pour ce que vous avez externalisé. Cela suppose de tenir un registre de vos prestataires informatiques, d’évaluer leur criticité, et de vous assurer que vos contrats couvrent les exigences réglementaires. Vous ne pouvez pas déléguer la responsabilité, mais vous pouvez vous appuyer sur un prestataire technique qui connaît ce cadre et documente ce qui doit l’être.
Oui. Les attaquants ne visent pas que les grands groupes : les structures plus petites sont souvent perçues comme moins protégées, donc plus faciles à atteindre. Et avec l’usage croissant de l’intelligence artificielle par les attaquants, la fréquence et la rapidité des attaques augmentent pour tout le monde. La taille n’est pas une protection — l’hygiène de sécurité, si.
Parce qu’aujourd’hui, la protection ne peut plus être seulement préventive. L’EDR (la surveillance comportementale de vos postes et serveurs) détecte et bloque une menace même inédite, en temps réel. Le SOC (le centre qui analyse les alertes 24h/24) garantit qu’une attaque détectée la nuit ou le week-end déclenche une réaction immédiate, pas le lundi matin. Sans ces deux briques, vous pouvez être compromis pendant des semaines sans le savoir — et avec DORA, vous devez justement pouvoir détecter et notifier vite. Ce sont des outils de grand groupe, mais en service managé ils deviennent accessibles à une structure de votre taille. Voir notre approche de la surveillance et détection.
C’est exactement la situation de la plupart des sociétés de gestion, et c’est précisément à quoi sert l’externalisation. Vous n’avez pas besoin de recruter un SOC, un expert sauvegarde et un ingénieur sécurité : vous accédez à ces compétences mutualisées pour une fraction du coût, via un prestataire qui les maintient pour vous. Un grand groupe a des milliers de personnes et une armée d’experts internes ; vous, vous avez un partenaire qui vous apporte le même niveau d’outils (détection, sauvegarde immuable, surveillance) dimensionné à votre taille. C’est tout l’objet d’une infogérance pensée pour les sociétés de gestion.
Considérez-le comme non négociable. DORA et le RGPD imposent de protéger la confidentialité et l’intégrité de vos données — et dans les faits, il n’existe pas de moyen sérieux d’y parvenir sans chiffrement. Concrètement : les disques de vos postes et portables chiffrés (un ordinateur volé ne doit jamais livrer ses données), les échanges chiffrés (HTTPS, connexions sécurisées), et le chiffrement activé sur vos environnements cloud et vos sauvegardes. Pour une société de gestion qui manipule des positions et des données clients confidentielles, le chiffrement n’est pas une option de confort : c’est le minimum vital, et l’un des premiers points qu’un contrôle examinera. C’est un fondamental de notre travail de durcissement.
C’est l’idée fausse la plus répandue, et la plus dangereuse. Microsoft 365 fonctionne sur un modèle de responsabilité partagée : Microsoft garantit la disponibilité de la plateforme, mais la sauvegarde de vos données reste votre responsabilité. La corbeille et les politiques de rétention natives ne sont pas une sauvegarde : elles ont une durée limitée, et un rançongiciel ou une suppression malveillante peut les contourner. Pour être réellement protégé, il faut une sauvegarde tierce, indépendante de votre tenant. C’est un volet clé de notre stratégie de sauvegarde et de reprise.
Bonne question : on ne débranche pas un câble dans le cloud. La réponse moderne s’appelle l’air gap logique. Plutôt qu’une isolation physique, on stocke la copie de sauvegarde dans un environnement totalement séparé de votre production — un autre cloud, un autre domaine d’administration, avec ses propres identifiants. Si votre tenant Microsoft 365 est compromis, l’attaquant n’atteint pas cette copie. Couplée à l’immuabilité (donnée verrouillée, impossible à modifier ou supprimer pendant une durée définie), cette isolation reproduit dans le cloud ce que l’air gap physique faisait avec les bandes : une copie hors d’atteinte.
Non, et les confondre est une erreur dangereuse. La haute disponibilité sert à éviter l’interruption : si un serveur ou un composant tombe, un autre prend le relais immédiatement, sans coupure. Mais elle réplique tout en temps réel — y compris une erreur, une suppression ou un chiffrement par rançongiciel, qui se propagent instantanément à la copie. La sauvegarde, elle, sert à revenir en arrière : retrouver vos données telles qu’elles étaient avant l’incident. L’une protège contre la panne, l’autre contre la perte et la corruption. Vous avez besoin des deux. C’est au cœur de notre approche de la sauvegarde et reprise d’activité.
Tout dépend de votre préparation — et c’est précisément ce que mesurent le RTO (temps de remise en ligne visé) et le RPO (perte de données maximale acceptable). Avec des sauvegardes isolées, immuables et testées, une restauration se compte en heures. Sans préparation, en jours ou semaines — quand c’est possible. La différence ne se joue pas le jour de l’attaque : elle se joue avant, dans la qualité de votre dispositif de sauvegarde et de reprise.
Non, et c’est la confusion la plus coûteuse. Le monitoring surveille que votre informatique fonctionne (disponibilité, performance). Le SOC surveille qu’elle n’est pas attaquée (intrusions, comportements malveillants). Un serveur peut tourner parfaitement pendant qu’un attaquant exfiltre vos données : le monitoring ne verra rien, le SOC si. Les deux sont nécessaires, mais seul le SOC répond à l’exigence DORA de détection des incidents de sécurité. Voir notre page SOC 24/7.
Il y contribue directement. DORA impose de détecter et notifier rapidement les incidents et de tracer votre activité. Le SOC fournit la capacité de détection et de réponse, et la conservation des logs sur un an constitue les preuves attendues en cas de contrôle AMF ou ACPR. Il ne vous met pas « en conformité » à lui seul — cela relève de votre RCCI — mais il en est une brique technique essentielle.
Non, ce sont deux choses distinctes et complémentaires. Le support (7j/7 de 8h à 20h) traite vos demandes du quotidien : un poste lent, un accès à rétablir, une question. Le SOC (24h/24) veille uniquement sur la sécurité et réagit aux menaces, y compris la nuit et le week-end. Vous avez donc un humain pour vos besoins courants sur une large amplitude, et une surveillance de sécurité permanente.
C’est justement le cas le plus fréquent chez les sociétés de gestion, et le SOC y est particulièrement pertinent. Quand tout passe par le cloud, la surveillance des connexions, des identités et des accès Microsoft 365 devient votre première ligne de défense. Le SOC s’y connecte directement, sans infrastructure lourde à installer.
Un diagnostic de 60 minutes, sans engagement, pour faire le point sur votre informatique et votre préparation réglementaire.
Une question, un projet en urgence ou à long terme, n’hésitez pas cela n’engage à rien.
Je prends contact
