Le Centre canadien pour la cybersécurité rappelle, dans ITSM.50.030, qu'« à titre de propriétaire des données, votre organisation est légalement responsable de leur sécurité ». Il recommande de définir vos exigences et de poser les bonnes questions avant de vous engager, afin de « définir une entente de niveau de service efficace ». Un centre d'assistance accède à vos systèmes : ses heures, ses niveaux de service et ses accès sont à préciser par écrit.
Réponse courte
Vous décrivez vos employés, vos outils et vos besoins de soutien : votre demande est analysée par l'équipe Courtier TI puis confiée à l'entreprise de services TI qui préparera votre soumission. Les heures couvertes, les canaux et les niveaux de service sont établis avec vous.
Ce que la soumission devrait couvrir
- Les heures couvertes et ce qui se passe en dehors de ces heures
- Les canaux pour joindre le centre d'assistance : téléphone, courriel, portail, clavardage
- Les niveaux de service exigés par écrit, avec la définition des priorités
- La méthode d'accès à distance aux postes, et l'accord de l'employé avant la prise de contrôle
- L'outil de suivi des demandes et l'accès de votre entreprise à l'historique
- Les rapports remis et leur fréquence
- Ce qui est inclus et exclu : appareils, logiciels, demandes d'accès, arrivées et départs d'employés
Comment fonctionne un centre d'assistance
- Un employé signale un problème ou fait une demande par l'un des canaux prévus
- La demande est enregistrée dans un outil de suivi, avec un numéro
- Elle est classée selon sa priorité, définie à l'avance avec vous
- Un technicien la traite, à distance ou sur place si le contrat le prévoit
- L'employé est informé de la résolution et la demande est fermée
- Les demandes sont regroupées dans des rapports périodiques
Heures, canaux et niveaux de service
Commencez par vos besoins réels : vos heures d'ouverture, vos employés en télétravail, vos activités en soirée ou la fin de semaine. La soumission devrait préciser les heures couvertes, les canaux offerts et la façon de joindre quelqu'un pour un problème urgent en dehors de ces heures, s'il y a lieu.
Les niveaux de service sont à exiger par écrit dans la soumission : priorités, engagements pour chacune, mesure et rapports. Notre guide pour choisir un fournisseur informatique explique en détail ce qu'une entente de niveau de service devrait contenir. Ici, retenez surtout que les priorités doivent être définies selon votre entreprise : un poste de caisse en panne n'a pas le même effet qu'une imprimante secondaire.
Accès à distance et sécurité
Le Centre, dans sa page sur la cyberactivité malveillante ciblant les fournisseurs de services gérés, rappelle que « l'accès à distance doit être accordé avec vigilance, au même titre que l'accès physique aux systèmes et à leurs renseignements sensibles ». Il conseille aussi de déterminer pendant combien de temps le fournisseur conserve les journaux de ses activités, leur niveau de détail et la façon dont ils sont protégés.
Selon ITSM.50.030, le contrôle d'accès doit reposer sur le droit d'accès minimal, et les fournisseurs de services « ne doivent avoir que l'accès leur permettant de gérer efficacement leurs services ». Faites préciser l'outil d'accès à distance, si l'employé doit accepter chaque prise de contrôle, qui détient des comptes administrateurs et comment ils sont protégés, par exemple avec l'authentification multifacteur.
Le centre d'assistance peut avoir accès à des renseignements personnels sur les postes de vos employés ou dans vos systèmes. Lorsque des renseignements personnels lui sont communiqués pour exécuter le contrat, la Loi sur la protection des renseignements personnels dans le secteur privé exige un mandat ou un contrat écrit qui précise les mesures de protection de la confidentialité (art. 18.3).
Suivi des demandes et rapports
Chaque demande devrait recevoir un numéro et rester consultable. Demandez si votre entreprise aura accès à l'historique des demandes, et si cet historique vous sera remis à la fin du contrat. Les rapports périodiques permettent de voir les problèmes récurrents, les appareils à remplacer et le respect des niveaux de service.
Prévoyez aussi les demandes courantes : arrivée d'un employé, départ, changement de poste. Le départ d'un employé, en particulier, devrait déclencher la désactivation rapide de ses accès. Faites préciser qui peut faire ces demandes au nom de l'entreprise et comment le centre d'assistance vérifie l'identité de la personne qui appelle.
Questions à vous poser avant de demander une soumission
- Combien d'employés et d'appareils le centre d'assistance devra-t-il soutenir ?
- À quelles heures vos employés travaillent-ils, et où ?
- Quels sont les systèmes dont une panne arrête vos activités ?
- Qui, chez vous, pourra autoriser les demandes d'accès et les changements ?
- Le soutien doit-il être offert en français, en anglais ou dans les deux langues ?
- Avez-vous besoin d'interventions sur place, ou le soutien à distance suffit-il ?
Pièges à éviter
- Des niveaux de service décrits de vive voix seulement, sans définition des priorités
- Des heures couvertes qui ne correspondent pas à vos heures d'activité
- Un accès à distance permanent et non supervisé à tous les postes
- Des comptes administrateurs partagés entre plusieurs techniciens
- Aucun accès à l'historique des demandes, ni remise de cet historique à la fin du contrat
- Une procédure de départ d'employé qui ne prévoit pas la désactivation de ses accès
Ce qu'il faut préciser dans votre demande
- Le nombre d'employés, de postes et de sites à soutenir
- Vos heures d'activité et la présence de télétravail
- Les logiciels et les systèmes principaux utilisés
- La langue du soutien
- Si des interventions sur place sont nécessaires
- Votre soutien TI actuel et ce qui doit changer
- Les exigences d'un client, d'un assureur ou d'un contrat à respecter
Vous pouvez ensuite décrire votre projet : l'équipe communique avec vous pour préciser votre besoin et vous remettre une soumission.
Questions fréquentes
Quelle est la différence entre un centre d'assistance et l'infogérance ?
Le centre d'assistance répond aux problèmes et aux demandes de vos employés. L'infogérance est plus large : elle peut inclure la surveillance, les mises à jour, les sauvegardes et la gestion du réseau. Un centre d'assistance est souvent l'une des composantes d'un contrat d'infogérance.
Quels niveaux de service exiger ?
Exigez par écrit les priorités définies selon votre entreprise, les engagements pour chacune, la façon de les mesurer et les rapports. Le Centre canadien pour la cybersécurité recommande de définir vos exigences avant de vous engager afin d'établir une entente de niveau de service efficace.
Le centre d'assistance peut-il prendre le contrôle de nos ordinateurs ?
Oui, avec un outil d'accès à distance. Le Centre recommande d'accorder cet accès avec la même vigilance qu'un accès physique. Faites préciser si l'employé doit accepter chaque session et si les sessions sont journalisées.
Le soutien en dehors des heures de bureau est-il inclus ?
Cela dépend de la soumission. Les heures couvertes et ce qui se passe en dehors de ces heures doivent y être précisés. Ne présumez pas qu'un problème signalé le soir sera traité avant le lendemain.
Que deviennent nos données à la fin du contrat ?
Faites préciser dans le contrat la remise de l'historique des demandes, de la documentation et des mots de passe administrateurs, ainsi que la suppression de vos données chez le fournisseur. La Loi exige que le contrat écrit prévoie que le prestataire ne conserve pas les renseignements personnels après la fin du contrat (art. 18.3).