Infogérance dans l'Essonne : de la recherche, et des périmètres que personne n'a écrits

Nos chercheurs travaillent moitié chez nous, moitié au laboratoire. Les accès ?

C'est le point que les accords de collaboration oublient à peu près toujours. Il faut une convention d'accès écrite : qui ouvre, qui ferme, sur quel matériel, et ce qui se passe à la fin du projet. Nous rédigeons la partie technique.

Nos données sont scientifiques mais concernent des personnes. On applique quoi ?

Les deux régimes, mais seulement là où c'est nécessaire. Appliquer le plus strict à tout le système paralyse la recherche pour rien : nous identifions les jeux réellement concernés.

Nos résultats valent des années. Vous les protégez comment ?

Comme deux risques séparés : la perte, par une sauvegarde versionnée et une restauration testée ; la confidentialité, par le contrôle des accès et la journalisation. Les traiter avec le même outil est l'erreur la plus commune.

Notre laboratoire dépend d'instruments qui ont leur propre PC, souvent ancien. On en fait quoi ?

On les isole : un poste qui pilote un instrument ne navigue pas sur le web et ne reçoit pas de courrier. Il garde son système tant que le constructeur l'exige, mais derrière une cloison réseau, avec une copie de sa configuration que l'on sait remettre en place.

Les financements arrivent par projet. Le contrat peut suivre le nombre de postes ?

Il suit le nombre d'utilisateurs, déclaré chaque mois. Un projet qui recrute trois personnes ajoute trois lignes ; la fin du projet les retire. Rien n'est engagé sur la durée, et rien ne reste facturé pour un bureau vide.

Nos doctorants ont une adresse à l'université et une autre chez nous. Deux messageries, deux mots de passe, et ils mélangent tout.

Le mélange est le vrai risque : un fichier de résultats envoyé depuis le mauvais compte n'est plus sous votre contrôle. Nous gardons un seul environnement Microsoft 365 pour l'entreprise, avec double authentification, et le compte universitaire y entre comme invité, sur des dossiers précis et pour la durée du projet. À la soutenance, l'invitation se ferme d'elle-même ; vos données n'ont jamais changé de propriétaire.

Un investisseur entre au capital et demande une revue de notre sécurité informatique avant de signer. On n'a jamais rien formalisé.

Un audit répond à cette demande mieux qu'un discours : nous inventorions les comptes, les accès, les sauvegardes et l'exposition des serveurs, puis nous classons les écarts par gravité, avec un coût et un délai pour chacun. L'investisseur reçoit un document daté, lisible sans être technicien, où figure aussi ce que vous avez déjà corrigé entre l'audit et la signature. Une entreprise de recherche qui montre ses failles et son plan rassure davantage qu'une entreprise qui n'en montre aucune.

Nos instruments produisent chaque semaine des volumes de mesures que notre ligne ne pourra jamais envoyer vers une sauvegarde en ligne.

Alors on ne sauvegarde pas tout de la même manière. Les données brutes restent sur un stockage local, doublé sur un second support dans un autre bâtiment ou une autre pièce ; seuls les résultats traités, bien plus légers, partent hors site chaque nuit. Nous écrivons avec vos chercheurs ce qui doit survivre à un sinistre et ce qui peut être remesuré. La restauration est testée sur les deux niveaux, pas seulement sur le plus commode.