Questions à poser à un fournisseur de services TI gérés (MSP) au Québec

Pourquoi la diligence compte (sans alimenter la panique)

Un MSP (Managed Service Provider) détient souvent des accès élevés : outils de télégestion (RMM), administrateurs Microsoft 365, sauvegardes, parfois le pare-feu. Si ces accès sont mal protégés, le risque ne s’arrête pas au fournisseur — il peut se propager chez plusieurs clients.

Au Québec, le même réflexe s’applique que vous soyez à Mirabel, dans les Laurentides ou sur l’île de Montréal : posez des questions écrites, exigez des réponses concrètes, et comparez au moins deux fournisseurs si vous êtes en appel d’offres.

1. La MFA est-elle obligatoire sur les outils RMM et les accès admin ?

Demandez explicitement :

• MFA (idéalement résistante au hameçonnage) pour tous les techniciens qui ouvrent un accès distant chez vous ;
• comptes individuels (pas de compte « support partagé ») ;
• journaux d’accès consultables en cas d’incident ;
• révocation immédiate quand un technicien quitte le MSP.

Si la réponse est vague (« on est sécurisés »), demandez une capture anonymisée de politique ou une attestation écrite dans l’entente.

2. Comment segmentez-vous les clients les uns des autres ?

Un bon MSP isole les environnements clients : ce qui se passe chez A ne doit pas ouvrir une porte chez B. Questions utiles :

• Les accès RMM sont-ils cloisonnés par client / par rôle ?
• Les mots de passe et secrets clients sont-ils dans un coffre avec traçabilité ?
• Un poste de technicien compromis peut-il pivoter vers tous les tenants Microsoft 365 gérés ?

3. Sauvegardes immuables / hors ligne + tests de restauration

Reprenez la leçon de l’actualité québécoise récente autour de la CCQ (sauvegardes fiables ayant permis une restauration et un refus de payer, selon les déclarations rapportées) : exigez la même rigueur pour vos données.

• Copie immuable ou hors ligne pour les systèmes critiques.
• Test de restauration daté (au moins trimestriel pour les systèmes clés).
• Couverture Microsoft 365 (courriel / OneDrive / SharePoint), pas seulement le serveur de fichiers.
• RTO / RPO écrits dans le contrat.

4. Processus d’incident et transparence

Avant la crise, validez :

• Qui vous contacte, par quel canal, dans quel délai si un outil du MSP est suspecté compromis ?
• Quelles preuves sont fournies (chronologie, systèmes touchés, actions de confinement) ?
• Comment le MSP vous aide-t-il à alimenter votre registre d’incidents Loi 25 si des renseignements personnels sont en jeu ?
• Y a-t-il une assurance cyber et une procédure de coordination avec la vôtre ?

La transparence ne signifie pas publier chaque alerte sur LinkedIn ; elle signifie un canal client clair et des faits utilisables.

5. Qui détient vos données et quels sont vos droits de sortie ?

Un MSP sérieux documente :

• où sont hébergées les sauvegardes et consoles (et si un sous-traitant hors Québec est impliqué) ;
• le format de récupération de vos données et configurations en fin de contrat ;
• le délai et le coût de transition (éviter le « lock-in » silencieux) ;
• la suppression sécurisée des accès et copies après la sortie.

Grille de notation simple (à imprimer)

Attribuez 0 (absent), 1 (partiel) ou 2 (prouvé par écrit / démontré) à chaque ligne, puis comparez les totaux entre fournisseurs :

• MFA + comptes nominatifs sur RMM / admin (___ / 2)
• Segmentation multi-clients documentée (___ / 2)
• Sauvegarde immuable ou hors ligne + dernier test daté (___ / 2)
• RTO / RPO écrits par système critique (___ / 2)
• Procédure d’avis client si outil MSP suspect (___ / 2)
• Appui registre Loi 25 / journaux exploitables (___ / 2)
• Plan de sortie (format, délai, coût, suppression accès) (___ / 2)

Un score verbal « excellent » sans pièce jointe vaut 0. Un MSP local qui assume un 1 honnête avec un plan de correction sur 90 jours est souvent préférable à un discours national sans preuve.

Signaux d’alerte (red flags) courants

• « On ne partage pas nos contrôles, c’est confidentiel » — sans alternative (attestation, résumé, audit tiers).
• Un seul compte technicien partagé pour tous vos accès.
• Sauvegardes « dans le cloud » sans précision sur l’immutabilité ni sur les tests.
• Aucune clause de sortie, ou frais de transition disproportionnés révélés tardivement.
• Minimisation systématique de la Loi 25 (« ce n’est pas notre job ») alors que les journaux et accès sont chez eux.

Ces signaux n’impliquent pas une malveillance ; ils indiquent surtout un écart de maturité. Votre rôle d’acheteur est de le mesurer avant la signature — ou avant le renouvellement.

Comment Gestion TI Informatique répond à ces points (faits, pas bluff)

Nous sommes un MSP établi à Mirabel, au service des PME des Laurentides et du Grand Montréal. Dans une consultation, nous pouvons notamment :

• expliquer nos contrôles d’accès technicien (MFA, comptes nominatifs) ;
• cartographier votre périmètre (M365, postes, sauvegardes, périmètre réseau) ;
• proposer des RTO / RPO réalistes et des tests de restauration planifiés ;
• aligner la preuve technique avec vos obligations Loi 25 (registre, RPRP) sans remplacer un avis juridique ;
• rédiger un plan de sortie lisible — parce qu’un client qui reste par choix vaut mieux qu’un client captif.

Si vous comparez plusieurs MSP, imprimez cette checklist et notez les réponses côte à côte. Le meilleur discours marketing perd souvent face à une date de dernier test de restauration.