Informatique en société de gestion : vos questions, nos réponses

Les questions que nous posent le plus souvent les dirigeants et responsables conformité des sociétés de gestion. Pour aller plus loin, consultez notre approche du socle technique DORA ou notre page infogérance pour le secteur financier régulé.

DORA & conformité

DORA s’applique-t-il à ma société de gestion ?

Oui. DORA s’applique aux entités financières régulées, dont les sociétés de gestion de portefeuille supervisées par l’AMF et l’ACPR. Le règlement impose un cadre de gestion des risques informatiques, de résilience opérationnelle et de notification d’incident, avec une exigence de preuves techniques démontrables en cas de contrôle.

On a moins de 10 salariés : DORA s’applique-t-il vraiment à nous ?

En partie, et c’est une nuance importante. DORA prévoit un allègement pour les microentreprises (moins de 10 salariés et moins de 2 M€ de chiffre d’affaires ou de bilan annuel), qui relèvent d’un cadre simplifié de gestion des risques informatiques. Mais « simplifié » ne veut pas dire « exempté » : les obligations de sauvegarde, de continuité et de notification d’incident demeurent. Et au-delà de ce seuil, c’est le cadre complet qui s’applique. La première étape utile est de déterminer précisément de quel régime vous relevez : c’est l’un des points que nous examinons lors du diagnostic DORA.

Une fois qu’on est « en conformité », c’est bon pour de bon ?

Non, et c’est le malentendu le plus coûteux. La conformité DORA n’est pas un projet qu’on termine : c’est une discipline quotidienne. Concrètement, cela veut dire une protection des postes (EDR) active en permanence, une surveillance de sécurité continue, des sauvegardes testées régulièrement, et un durcissement réexaminé au moins une fois par an, et systématiquement après toute modification importante de votre système. La conformité se prouve dans la durée, pas à un instant T.

Un prestataire peut-il assurer ma conformité DORA à ma place ?

Non, et il faut se méfier de quiconque le promet. Un prestataire technique ne remplace pas votre RCCI ni un cabinet de conformité. Son rôle est de mettre en place et de documenter le socle technique qui rend votre conformité possible et démontrable. Le pilotage réglementaire reste de votre responsabilité : nous le soutenons avec des preuves techniques.

Que regarde le régulateur sur le volet technique ?

Notamment : la réduction de la surface d’exposition, la généralisation de l’authentification renforcée, la gestion des vulnérabilités et des correctifs, les capacités de détection rapide, la réponse à incident, les plans de continuité, et des sauvegardes sécurisées et régulièrement testées. Autant de points que nous couvrons dans nos pages durcissement, surveillance et sauvegarde.

À quelle fréquence faut-il tester sa sécurité ?

DORA demande, pour toutes les entités sauf les microentreprises, au moins un test annuel des systèmes qui supportent vos fonctions critiques. Mais le principe de proportionnalité s’applique : l’étendue du test dépend de votre taille, de votre complexité et de votre profil de risque. Le test d’intrusion avancé dit « TLPT » (red team tous les 3 ans) est, lui, réservé aux entités jugées critiques pour le système financier : la plupart des petites sociétés de gestion ne sont pas concernées. Un rythme sain pour une structure de votre taille : un durcissement et une revue de sécurité annuels, un test après chaque changement majeur, et une surveillance continue le reste du temps.

Produire la preuve

Mon RCCI me demande la preuve de la revue des habilitations : comment la produire ?

Une revue des habilitations ne se prouve pas avec une capture d’écran de la liste des comptes. Ce que votre RCCI attend, et derrière lui le contrôleur, est un document daté qui établit quatre choses : qui avait accès à quoi le jour de la revue, qui a examiné cette liste, quelles décisions ont été prises compte par compte (maintien, réduction, suppression), et la trace que ces décisions ont bien été appliquées.

Le dossier de revue se compose donc de l’extraction horodatée des comptes et de leurs droits sur vos environnements (annuaire, Microsoft 365, applications métier), de la liste distincte des comptes à privilèges et des comptes de service, du relevé des écarts constatés (comptes orphelins après un départ, droits hérités d’un poste précédent, administrateurs sans justification), du nom du responsable métier qui a validé et de la date de sa validation, et enfin des tickets horodatés attestant des retraits réellement effectués.

Le partage des rôles est net. ITAIA produit l’extraction, isole les écarts, exécute les retraits et fournit la trace technique horodatée. La décision, c’est-à-dire qui doit légitimement avoir accès à quoi, appartient à votre direction et à votre RCCI : c’est un arbitrage métier, pas technique. Le rythme sain est trimestriel pour les comptes à privilèges et annuel pour l’ensemble des accès, la règle et la fréquence étant écrites dans votre politique de sécurité (PSSI).

Comment prouver un test de restauration à l’AMF ?

Une sauvegarde réussie n’est pas une preuve de restauration : elle établit seulement que la copie a été écrite. Ce qu’un contrôle demande, c’est la démonstration que la donnée revient, entière et utilisable, dans un délai connu.

Un procès-verbal de test exploitable porte la date et l’heure de l’exercice, le périmètre exactement restauré (quel jeu de données, quel système, quelle boîte aux lettres), le point de restauration utilisé et donc la perte de données constatée, la durée réelle entre le lancement et la remise à disposition, la méthode de vérification de l’intégrité des données restaurées, le nom de la personne qui a mené le test et de celle qui en a validé le résultat, et enfin les écarts relevés avec les actions correctives décidées.

C’est ce dernier point qui distingue un test crédible d’une formalité. Un procès-verbal où tout est parfait à chaque exercice inspire moins confiance qu’un procès-verbal qui documente un écart et sa correction. ITAIA planifie ces tests, les exécute, les consigne et conserve les preuves ; vous les présentez. DORA impose au minimum un exercice annuel sur les systèmes qui supportent vos fonctions critiques, et nous recommandons en pratique un test supplémentaire après chaque changement d’architecture significatif. Voir notre approche de la sauvegarde et de la reprise.

Qui peut fournir un rapport SOC 24/7 exploitable en audit AMF ?

Beaucoup de prestataires donnent accès à un tableau de bord en temps réel. C’est utile au quotidien, mais ce n’est pas une preuve : un contrôleur ne demande pas ce qui se passe maintenant, il demande ce qui s’est passé sur une période révolue, souvent plusieurs mois en arrière.

Un rapport de SOC exploitable en audit est donc historique et reconstituable. Il énonce le périmètre réellement couvert et les sources connectées (postes, serveurs, environnement Microsoft 365, applications exposées), la volumétrie d’alertes reçues et le nombre de celles qui ont été qualifiées, les délais de détection et de prise en charge, la chronologie horodatée de chaque incident avec les actions de confinement engagées, et la durée de conservation des journaux. Chez ITAIA, ces journaux sont conservés douze mois et restent ré-interrogeables : c’est ce qui permet de répondre à une question portant sur une période passée, au lieu de constater qu’on ne peut plus savoir.

Le test à faire passer à un prestataire avant de signer tient en une phrase : demandez-lui de produire le rapport d’un mois choisi au hasard dans l’année écoulée. S’il ne sait fournir qu’un état instantané, son SOC ne vous servira pas en contrôle. Voir notre approche de la surveillance et détection.

Notre rôle & périmètre

Faut-il un DSI interne quand on externalise son informatique ?

Pas nécessairement. Beaucoup de sociétés de gestion n’ont pas la taille pour un DSI à temps plein. En externalisant, vous accédez à une équipe complète (support, supervision, sécurité) pour le coût d’un poste, tout en gardant la main sur vos décisions. Nous devenons votre fonction informatique, sans que vous ayez à la recruter ni à la manager.

Quelle différence entre un infogéreur classique et un prestataire spécialisé finance ?

Un infogéreur classique sait gérer un parc et dépanner. Un prestataire spécialisé connaît en plus vos contraintes propres : confidentialité des positions, disponibilité permanente, traçabilité exigée par le régulateur, obligations DORA. La différence se voit le jour d’un contrôle ou d’un incident, quand il faut produire des preuves et parler le langage de l’AMF ou de l’ACPR.

Est-ce qu’ITAIA fait l’analyse de risques et les tests d’intrusion ?

Non, et nous préférons être clairs là-dessus. L’analyse de risques TIC et les tests d’intrusion (pentest) ne font pas partie de nos prestations, et ce n’est pas un hasard. Pour ces missions, l’indépendance est essentielle : il ne serait pas sain que celui qui sécurise votre informatique soit aussi celui qui juge si elle est bien sécurisée. C’est comme corriger sa propre copie. En revanche, vous en avez besoin pour avancer, et nous le savons : nous travaillons avec des partenaires spécialisés (analystes de risques, sociétés de pentest) que nous pouvons vous recommander, et nous préparons votre environnement pour ces tests puis corrigeons ce qu’ils révèlent. Notre rôle, c’est le socle technique ; le leur, l’évaluation indépendante. Les deux sont complémentaires.

Quel prestataire d’infogérance choisir pour une société de gestion soumise à DORA ?

Le critère déterminant n’est ni la taille du prestataire ni la marque de ses outils : c’est sa capacité à vous fournir des preuves. Six points se vérifient avant de signer.

• Il produit des preuves, pas seulement des services. Journaux conservés, procès-verbaux de restauration, rapports de sécurité historiques, traçabilité des interventions.
• Il accepte les clauses DORA à son contrat. Droit d’audit et d’inspection, notification d’incident, réversibilité, encadrement de la sous-traitance.
• Il connaît le vocabulaire de l’AMF et de l’ACPR. La différence se voit le jour d’un contrôle, quand il faut répondre vite et juste. Pour le vérifier concrètement, posez-lui les huit questions d’un contrôleur.
• Il assure une détection permanente. Une attaque du samedi soir ne peut pas attendre le lundi matin.
• Il n’audite pas ce qu’il exploite. Un prestataire qui propose à la fois d’opérer votre système et de juger s’il est bien sécurisé se place en conflit d’intérêts.
• Il documente sa propre organisation. Vous devrez l’inscrire à votre registre d’information : il doit pouvoir vous donner ses éléments sans qu’il faille les réclamer.

ITAIA répond à ces six points. Nous sommes un MSSP français fondé en 2019, certifié ISO 9001:2015 (certificat BSI FS 733354), basé à Paris, et 80 % de nos clients sont régulés par l’AMF ou l’ACPR. Nous fournissons le socle technique et ses preuves ; l’audit indépendant et le pilotage réglementaire restent à un tiers et à votre RCCI. Le détail figure sur notre page infogérance pour sociétés de gestion.

Externaliser la supervision de sécurité : quelles obligations DORA pèsent sur le prestataire ?

Un point d’abord, parce qu’il commande tout le reste : externaliser ne transfère pas la responsabilité. Vous demeurez l’entité régulée, et c’est vous que le régulateur interrogera. Ce que fait DORA, c’est encadrer précisément la relation.

Un prestataire de supervision de sécurité est un prestataire de services TIC, et il soutient le plus souvent une fonction critique ou importante. Le contrat doit alors comporter les dispositions énumérées à l’article 30 du règlement : description précise du service et des niveaux attendus, localisation des données et des traitements, engagements de disponibilité, d’intégrité et de confidentialité, assistance obligatoire en cas d’incident, droits d’accès, d’inspection et d’audit pour vous comme pour votre autorité de contrôle, encadrement de la sous-traitance, délais de préavis, et surtout une stratégie de sortie documentée avec une réversibilité effective.

S’y ajoutent deux obligations qui vous incombent et que le prestataire doit rendre possibles : inscrire le service à votre registre d’information des prestataires TIC, et évaluer sa criticité ainsi que votre exposition à une concentration. Un prestataire qui refuse le droit d’audit, qui reste flou sur la localisation de ses traitements ou qui n’a pas de plan de réversibilité vous met en défaut, quelle que soit la qualité technique de sa supervision. ITAIA accepte ces clauses et fournit les éléments de registre sans qu’il faille les demander.

Faut-il négocier l’ajout des clauses DORA à votre contrat ?

Non, et c’est un vrai gain de temps : elles y figurent d’origine. Beaucoup de sociétés de gestion découvrent qu’il faut arracher à leur prestataire, avenant par avenant, les dispositions attendues par l’article 30 du règlement. Notre contrat standard les intègre d’emblée : description précise du service et des niveaux attendus, localisation des données et des traitements, engagements de sécurité et de confidentialité, assistance en cas d’incident, droits d’accès, d’inspection et d’audit pour vous comme pour votre autorité de contrôle, encadrement de la sous-traitance, préavis, et stratégie de sortie avec réversibilité effective. Votre RCCI y retrouve directement les éléments de son registre d’information, et votre conseil reste libre de les compléter si votre situation l’exige.

Qui est responsable en cas de cyberattaque quand l’informatique est externalisée ?

La responsabilité réglementaire reste celle de l’entité financière : DORA ne permet pas de la déléguer entièrement à un prestataire. En revanche, un bon prestataire technique réduit fortement le risque qu’un incident survienne, et vous donne les moyens de réagir vite et de documenter votre gestion de crise. C’est pourquoi le choix du prestataire et la qualité de la traçabilité sont déterminants.

On dépend de prestataires (Microsoft, notre éditeur métier…). Sommes-nous responsables de leur sécurité ?

Oui, en grande partie. DORA introduit la notion de risque lié aux prestataires tiers : vous restez responsable de la résilience de votre chaîne, même pour ce que vous avez externalisé. Cela suppose de tenir un registre de vos prestataires informatiques, d’évaluer leur criticité, et de vous assurer que vos contrats couvrent les exigences réglementaires. Vous ne pouvez pas déléguer la responsabilité, mais vous pouvez vous appuyer sur un prestataire technique qui connaît ce cadre et documente ce qui doit l’être.

Sécurité au quotidien

Une petite société de gestion est-elle vraiment une cible ?

Oui. Les attaquants ne visent pas que les grands groupes : les structures plus petites sont souvent perçues comme moins protégées, donc plus faciles à atteindre. Et avec l’usage croissant de l’intelligence artificielle par les attaquants, la fréquence et la rapidité des attaques augmentent pour tout le monde. La taille n’est pas une protection : l’hygiène de sécurité, si.

Pourquoi un EDR et un SOC ne sont-ils pas « une option » ?

Parce qu’aujourd’hui, la protection ne peut plus être seulement préventive. L’EDR (la surveillance comportementale de vos postes et serveurs) détecte et bloque une menace même inédite, en temps réel. Le SOC (le centre qui analyse les alertes 24h/24) garantit qu’une attaque détectée la nuit ou le week-end déclenche une réaction immédiate, pas le lundi matin. Sans ces deux briques, vous pouvez être compromis pendant des semaines sans le savoir, et avec DORA, vous devez justement pouvoir détecter et notifier vite. Ce sont des outils de grand groupe, mais en service managé ils deviennent accessibles à une structure de votre taille. Voir notre approche de la surveillance et détection.

On n’a pas de DSI ni d’équipe sécurité. Comment tenir le niveau d’un grand groupe ?

C’est exactement la situation de la plupart des sociétés de gestion, et c’est précisément à quoi sert l’externalisation. Vous n’avez pas besoin de recruter un SOC, un expert sauvegarde et un ingénieur sécurité : vous accédez à ces compétences mutualisées pour une fraction du coût, via un prestataire qui les maintient pour vous. Un grand groupe a des milliers de personnes et une armée d’experts internes ; vous, vous avez un partenaire qui vous apporte le même niveau d’outils (détection, sauvegarde immuable, surveillance) dimensionné à votre taille. C’est tout l’objet d’une infogérance pensée pour les sociétés de gestion.

Le chiffrement des données est-il vraiment obligatoire ?

Considérez-le comme non négociable. DORA et le RGPD imposent de protéger la confidentialité et l’intégrité de vos données, et dans les faits, il n’existe pas de moyen sérieux d’y parvenir sans chiffrement. Concrètement : les disques de vos postes et portables chiffrés (un ordinateur volé ne doit jamais livrer ses données), les échanges chiffrés (HTTPS, connexions sécurisées), et le chiffrement activé sur vos environnements cloud et vos sauvegardes. Pour une société de gestion qui manipule des positions et des données clients confidentielles, le chiffrement n’est pas une option de confort : c’est le minimum vital, et l’un des premiers points qu’un contrôle examinera. C’est un fondamental de notre travail de durcissement.

Données, cloud & sauvegarde

On est full cloud, Microsoft sauvegarde déjà nos données, non ?

C’est l’idée fausse la plus répandue, et la plus dangereuse. Le cloud collaboratif fonctionne sur un modèle de responsabilité partagée : Microsoft garantit la disponibilité de la plateforme, mais la sauvegarde de vos données reste votre responsabilité. La corbeille et les politiques de rétention natives ne sont pas une sauvegarde : elles ont une durée limitée, et un rançongiciel ou une suppression malveillante peut les contourner. Pour être réellement protégé, il faut une sauvegarde tierce, indépendante de votre tenant. C’est un volet clé de notre stratégie de sauvegarde et de reprise.

Si tout est dans le cloud, comment avoir une sauvegarde « hors ligne » ?

Bonne question : on ne débranche pas un câble dans le cloud. La réponse moderne s’appelle l’air gap logique. Plutôt qu’une isolation physique, on stocke la copie de sauvegarde dans un environnement totalement séparé de votre production : un autre cloud, un autre domaine d’administration, avec ses propres identifiants. Si votre tenant cloud est compromis, l’attaquant n’atteint pas cette copie. Couplée à l’immuabilité (donnée verrouillée, impossible à modifier ou supprimer pendant une durée définie), cette isolation reproduit dans le cloud ce que l’air gap physique faisait avec les bandes : une copie hors d’atteinte.

Haute disponibilité et sauvegarde, c’est la même chose ?

Non, et les confondre est une erreur dangereuse. La haute disponibilité sert à éviter l’interruption : si un serveur ou un composant tombe, un autre prend le relais immédiatement, sans coupure. Mais elle réplique tout en temps réel, y compris une erreur, une suppression ou un chiffrement par rançongiciel, qui se propagent instantanément à la copie. La sauvegarde, elle, sert à revenir en arrière : retrouver vos données telles qu’elles étaient avant l’incident. L’une protège contre la panne, l’autre contre la perte et la corruption. Vous avez besoin des deux. C’est au cœur de notre approche de la sauvegarde et reprise d’activité.

Combien de temps faut-il pour redémarrer après un rançongiciel ?

Tout dépend de votre préparation : c’est précisément ce que mesurent le RTO (temps de remise en ligne visé) et le RPO (perte de données maximale acceptable). Avec des sauvegardes isolées, immuables et testées, une restauration se compte en heures. Sans préparation, en jours ou semaines : quand c’est possible. La différence ne se joue pas le jour de l’attaque : elle se joue avant, dans la qualité de votre dispositif de sauvegarde et de reprise.

SOC et surveillance de sécurité

Un monitoring 24/7, ce n’est pas déjà un SOC ?

Non, et c’est la confusion la plus coûteuse. Le monitoring surveille que votre informatique fonctionne (disponibilité, performance). Le SOC surveille qu’elle n’est pas attaquée (intrusions, comportements malveillants). Un serveur peut tourner parfaitement pendant qu’un attaquant exfiltre vos données : le monitoring ne verra rien, le SOC si. Les deux sont nécessaires, mais seul le SOC répond à l’exigence DORA de détection des incidents de sécurité. Voir notre page SOC 24/7.

Le SOC répond-il à mes obligations DORA ?

Il y contribue directement. DORA impose de détecter et notifier rapidement les incidents et de tracer votre activité. Le SOC fournit la capacité de détection et de réponse, et la conservation des logs sur un an constitue les preuves attendues en cas de contrôle AMF ou ACPR. Il ne vous met pas « en conformité » à lui seul (cela relève de votre RCCI) mais il en est une brique technique essentielle.

Le SOC 24/7 remplace-t-il le support 8h-20h ?

Non, ce sont deux choses distinctes et complémentaires. Le support (7j/7 de 8h à 20h) traite vos demandes du quotidien : un poste lent, un accès à rétablir, une question. Le SOC (24h/24) veille uniquement sur la sécurité et réagit aux menaces, y compris la nuit et le week-end. Vous avez donc un humain pour vos besoins courants sur une large amplitude, et une surveillance de sécurité permanente.

On est une petite structure full cloud, un SOC est-il adapté ?

C’est justement le cas le plus fréquent chez les sociétés de gestion, et le SOC y est particulièrement pertinent. Quand tout passe par le cloud, la surveillance des connexions, des identités et des accès à votre environnement cloud devient votre première ligne de défense. Le SOC s’y connecte directement, sans infrastructure lourde à installer.

Notre équipe, notre organisation et nos engagements de service

Combien d’ingénieurs composent l’équipe qui suivra mon compte ?

ITAIA est organisé en équipes dédiées : chaque client est suivi par une équipe complète, jamais par un technicien isolé. Une équipe type réunit un ingénieur senior, un ingénieur junior, un administrateur système et deux techniciens : soit tous les niveaux d’expertise, du N1 au N3, autour de vos environnements. Ce modèle garantit la continuité (aucune dépendance à une seule personne, partage de connaissance permanent) et la capacité de montée en charge : nous grandissons par ajout d’équipes, sans dégrader le suivi des clients existants. C’est aussi un facteur de réversibilité, un point que le régulateur DORA examine.

Votre SOC est-il interne ou sous-traité ?

Notre SOC fonctionne en modèle co-géré, supervisé en continu 24h/24 et 7j/7. Aux heures ouvrées (7j/7, de 8h à 20h), nos propres équipes qualifient et traitent les alertes de sécurité. En dehors de ces heures, la réponse est automatisée en confinement immédiat (isolation du poste, blocage, mise en quarantaine) l’analyse humaine reprenant à l’ouverture. L’objectif est de contenir toute menace sans délai, y compris la nuit et le week-end. Voir notre approche de la surveillance et détection.

Assurez-vous une astreinte au-delà de 20h ?

La surveillance de sécurité (SOC) est permanente, 24h/24 et 7j/7. Le support, lui, est ouvert 7j/7 de 8h à 20h. Une astreinte dédiée (l’intervention d’un humain sur le support en dehors de cette plage) n’est pas incluse dans le contrat standard, mais elle est disponible en option, dimensionnée selon vos exigences de résilience. Nous en définissons le périmètre avec vous plutôt que de facturer une astreinte dont vous n’auriez pas l’usage.

Quels sont vos engagements de niveau de service (SLA) chiffrés ?

Nos engagements sont publics et mesurés en continu : prise en charge en moins de 10 minutes en moyenne, intervention sur site à Paris en moins de 4 heures, 97 % de SLA respectés et une satisfaction client de 4,7/5. Nos garanties de temps de rétablissement (GTR) suivent la criticité de l’incident, de 4 heures pour un incident critique (P1) à 96 heures pour une simple demande (P4), à l’intérieur de notre plage de service garantie (7j/7, 8h-20h). Le détail (matrice urgence/impact et délai par priorité) figure sur notre page des accords de niveau de service.

Vous engagez-vous sur le RTO et le RPO ?

Il faut être précis sur les rôles. ITAIA administre et supervise vos solutions : nous ne sommes ni votre hébergeur, ni votre opérateur télécom, ni votre fabricant de serveurs. Nos SLA portent donc sur ce que nous maîtrisons : réactivité, administration, supervision et pilotage des restaurations. Le temps de restauration (RTO) et la perte de données maximale (RPO), eux, dépendent de votre solution, du volume de données à restaurer et de vos fournisseurs critiques (Microsoft, hébergeur…) : restaurer quelques mégaoctets prend quelques minutes, plusieurs téraoctets demandent bien plus de temps. Ces objectifs se définissent donc conjointement, puis se vérifient par des tests de restauration réguliers. Lorsque la chaîne de sauvegarde est entièrement la nôtre, ces objectifs deviennent des engagements de résultat chiffrés : voir la question suivante. C’est le principe de responsabilité partagée que reconnaît DORA : voir aussi « Qui est responsable en cas de cyberattaque ? » plus haut.

Quelles sont vos responsabilités contractuelles en cas de panne, de perte de données, de compromission ou d’échec de restauration ?

Sur le périmètre que nous maîtrisons de bout en bout, nous prenons des engagements de résultat : RPO et RTO chiffrés, opposables au contrat. Cela suppose que la chaîne de sauvegarde soit la nôtre (solution, dimensionnement, rétention, chiffrement, immuabilité, externalisation) et que les restaurations soient testées périodiquement par nos équipes, procès-verbal à l’appui. Nous ne garantissons pas la restauration de données protégées par un dispositif tiers dont nous ne contrôlons ni la configuration ni la vérification.

Notre engagement face à une compromission obéit à la même logique : il suppose l’application effective de notre socle de sécurité. EDR sur l’intégralité du parc, authentification multifacteur sur tous les accès externes et administrateurs, correctifs appliqués dans les fenêtres convenues, suppression des droits administrateurs permanents sur les postes, firewall supervisé par nos soins. Vous pouvez choisir d’écarter l’une de ces mesures ; dans ce cas, le périmètre concerné sort de la garantie et nous le formalisons par une lettre de réserve, pour que la répartition des responsabilités reste claire des deux côtés.

Hors de ce cadre, notre responsabilité relève d’une obligation de moyens : délais d’intervention contractuels, sans garantie de résultat. Nous préférons l’écrire noir sur blanc plutôt que de promettre en avant-vente ce qui ne tiendrait pas le jour d’un sinistre.

Combien coûte l’infogérance ITAIA pour une société de gestion ?

Nos services sont facturés par poste et par mois : deux offres, à partir de 55 € HT par poste pour Itaia Secure (cybersécurité intégrée) et 75 € pour Itaia Secure + SOC (surveillance 24/7), à laquelle s’ajoute la déclinaison Itaia Conformité à 150 € (conformité et rédaction documentaire incluses). Pour une société de gestion, le point de départ est Secure + SOC. Quelques modules restent activables à la carte, et un engagement de trois ans donne 15 % de remise sur le service ITAIA (hors options). Le détail, avec un configurateur en temps réel, figure sur notre page offres et tarifs ; le devis final est établi après un audit gratuit. Les budgets par taille de parc et la lecture d’un devis ligne à ligne sont détaillés dans combien coûte l’infogérance en 2026.

En combien de temps sommes-nous protégés et pleinement opérationnels ?

En deux temps. Dès les premières heures (nous visons huit heures ouvrées) nous mettons en place une première ligne de défense : connexion de vos postes et de vos applications SaaS à notre SIEM et à notre SOC, application d’une première politique de sécurité et première sauvegarde immuable en air gap. Vous êtes alors surveillés et sauvegardés. L’onboarding complet et propre (inventaire exhaustif, durcissement, documentation et tests de restauration) demande ensuite environ un mois. Nous préférons annoncer ce délai réaliste plutôt qu’un déploiement express qui laisserait des angles morts.

Y a-t-il une durée d’engagement ? Proposez-vous une période d’essai ?

Nos contrats sont conclus pour un engagement d’un an. Nous ne proposons pas de « période d’essai » de quelques mois, et c’est un choix assumé : les premiers mois servent à mettre en place le socle de sécurité et de conformité (durcissement, sauvegardes, supervision, documentation) un travail de fond qui prend du temps lorsqu’il est bien fait. Certaines briques reposent en outre sur des engagements annuels auprès de tiers (licences Microsoft, sauvegarde). Nous préférons approfondir la due diligence en amont, des deux côtés, plutôt que de promettre un essai express : c’est un partenariat de résilience, pas un service jetable. Le diagnostic initial de 30 minutes reste, lui, sans engagement.

Assurez-vous aussi l’achat et l’approvisionnement du matériel ?

Oui. ITAIA prend en charge l’achat et l’approvisionnement de votre matériel informatique : postes de travail (ordinateurs, écrans), serveurs et matériel associé. Nous conseillons les configurations adaptées à vos usages, gérons la commande et la mise en service, puis assurons le suivi du parc jusqu’à son renouvellement. Ce n’est pas obligatoire (vous restez libre d’acheter par vos propres moyens) mais nous le recommandons : un achat réalisé sans coordination avec votre infogéreur se traduit souvent par des déconvenues (matériel incompatible, hors de votre standard de sécurité, sans suivi de garantie ni de cycle de vie). En passant par nous, votre parc reste cohérent, sécurisé dès le déploiement et traçable : ce qui compte d’autant plus pour une entité régulée.

Pouvez-vous nous communiquer des références clients ?

Nos clients sont des acteurs financiers régulés : sociétés de gestion, fonds, family offices, fintechs. Leurs noms sont couverts par accord de confidentialité : dans la finance, la discrétion n’est pas une option, elle fait partie du service que nous leur devons. Nous pouvons vous présenter des références comparables à votre profil lors d’un rendez-vous, avec leur accord. Cette même discrétion s’appliquera à vous.

Que fournissez-vous pour une due diligence d’investisseur (LP) ?

Un dossier prêt à remettre, pas une promesse de le constituer. Il comprend le registre des prestataires et des actifs exigé par DORA, la politique de sécurité et ses preuves d’application, les journaux d’audit de nos interventions, les rapports de tests de restauration datés, l’attestation d’assurance sous NDA et nos délais constatés. Quand un LP envoie son questionnaire de due diligence opérationnelle, vos équipes répondent en heures et non en semaines, et chaque réponse renvoie à une pièce. C’est l’un des bénéfices les plus directs de notre modèle : la conformité cesse d’être un sprint de veille de closing.

Parlons de votre situation

Un diagnostic de 30 minutes, sans engagement, pour faire le point sur votre informatique et votre préparation réglementaire.

Prendre RDV (30 min) →