Changer de prestataire informatique : l’inventaire des accès et des contrats

Un prestataire informatique détient des accès sur votre environnement : c’est la condition pour qu’il fasse son travail. Certains de ces accès sont ouverts à son nom, d’autres au vôtre, et la répartition s’établit au fil des années, dossier par dossier, sans que personne ne l’ait arrêtée en une fois.

Cette répartition entre les accès qui vous appartiennent et ceux qui appartiennent à votre prestataire redevient visible le jour où vous voulez changer de prestataire informatique, reprendre une partie de l’exploitation en interne, ou répondre à une question d’audit. Ces accès ne forment pas un bloc : les licences et les abonnements, le nom de domaine et son DNS, la sauvegarde, ce que prévoit le contrat et la documentation technique se détiennent séparément, et chacun peut être d’un côté ou de l’autre. Aucun ne dépend de la qualité de la relation avec votre prestataire actuel.

Ce qui reste de votre responsabilité, sur site comme en ligne

Microsoft publie un tableau de responsabilité partagée qui compare quatre situations, de l’installation sur site jusqu’au service en ligne prêt à l’emploi. Les données, les configurations et les identités y figurent du côté du client dans les quatre. Microsoft écrit que, quel que soit le modèle, vous êtes propriétaire de vos données et de vos identités, et il nomme quatre responsabilités qui vous restent dans tous les cas : les données, les terminaux, la gestion des comptes utilisateurs et la gestion des accès.

Cette propriété ne dit rien de qui exerce le contrôle au quotidien. Un prestataire administre parce que des rôles lui ont été attribués, et ces rôles s’attribuent séparément de la propriété. Pour Microsoft 365, le détail — quels rôles existent, ce qu’ils permettent, où les relations partenaires se lisent et comment elles se retirent — est traité dans qui possède votre tenant Microsoft 365. La même question se pose pour les serveurs, les postes de travail, le réseau, la téléphonie, les applications métier et leurs abonnements.

L’étendue des accès qu’un prestataire détient suit le périmètre de son mandat. Une infogérance complète suppose des droits plus larges qu’une intervention ponctuelle, et il n’y a rien à en conclure : ce qui compte est de savoir lesquels il détient, et où ils sont écrits.

Les licences et les abonnements : le compte, la facture, la console

Un abonnement dépend de deux comptes qui ne sont pas toujours les mêmes : celui auprès duquel il est souscrit et facturé, et celui depuis lequel il s’administre. Le premier peut être chez vous et le second chez votre prestataire.

Trois questions se posent donc pour chaque abonnement, du logiciel de messagerie à l’antivirus, de la téléphonie à l’application métier : à quel nom le contrat est-il souscrit, qui reçoit la facture, et sous quel compte l’administration se fait-elle.

L’achat par un intermédiaire produit un effet que Microsoft documente : seuls les Global Administrators peuvent voir et gérer les abonnements achetés par l’intermédiaire d’un partenaire. Ces administrateurs disposent d’un accès presque illimité aux réglages de l’organisation et à la plupart de ses données, et Microsoft demande d’en limiter le nombre autant que possible. Un utilisateur de votre organisation qui ne détient pas ce rôle ne peut donc pas consulter ces abonnements.

Qu’un abonnement soit transférable ne se déduit pas d’un produit à l’autre. Un abonnement souscrit en direct, un abonnement souscrit chez un revendeur et une licence perpétuelle installée sur un serveur ne se traitent pas de la même façon : posez la question à l’éditeur concerné.

Vous pouvez établir seul la liste de vos abonnements informatiques, avec pour chacun l’entité facturée et l’adresse de la console d’administration. Vos propres factures en donnent déjà une partie.

Le nom de domaine et le DNS : le compte chez le registrar

Vos adresses de messagerie et l’adresse de votre site reposent sur votre nom de domaine. Ce domaine est enregistré chez un registrar, l’organisme auprès duquel votre entreprise l’a déposé, et c’est le compte ouvert chez ce registrar qui commande ses enregistrements DNS, ou qui désigne l’hébergeur qui les publie. Microsoft identifie d’ailleurs le plus souvent une organisation par un ou plusieurs noms de domaine DNS publics, et c’est cette organisation qui contient ses abonnements.

Ce compte sert aussi à prouver que le domaine est le vôtre. Microsoft vérifie qu’un nom de domaine vous appartient par un enregistrement DNS TXT — une ligne de texte publiée dans la configuration du domaine, chez le registrar. C’est le cas à l’ajout d’un domaine personnalisé, où il faut saisir les enregistrements TXT pour prouver la propriété du nom. C’est le cas aussi dans la procédure de reprise que Microsoft documente pour un annuaire non géré : l’enregistrement TXT s’ajoute chez le registrar, et une fois ces enregistrements vérifiés, vous pouvez administrer l’organisation Microsoft Entra, l’annuaire qui contient vos comptes. La reprise externe demande le même processus de validation que la reprise interne.

Cette procédure a une portée étroite : elle traite le cas d’un annuaire né d’une inscription en libre-service, et non celui d’un environnement administré depuis des années. Quand le tenant de votre entreprise — l’espace Microsoft 365 qui contient ses comptes et ses données — est déjà administré, d’autres leviers s’appliquent.

Que le compte chez le registrar soit tenu par votre prestataire se comprend : il y publie les enregistrements dont vos services ont besoin. La question porte sur qui peut entrer dans ce compte, pas seulement sur qui s’en sert. Trois réponses suffisent : chez quel registrar le domaine est inscrit, qui détient l’identifiant et le mot de passe du compte, et à quelle adresse partent les avis de renouvellement. Un avis de renouvellement envoyé à une boîte que personne ne relève chez vous ne vous apprendra rien avant l’échéance.

Pour un domaine en .ch, la première de ces trois réponses se lit sans rien demander à personne. Switch gère le registry — le registre central des noms en .ch — sur mandat de l’Office fédéral de la communication, et sa requête publique de noms de domaine affiche, pour un domaine enregistré, le registrar et les détails techniques. Les données personnelles, en revanche, ne sont plus divulguées depuis le 1er janvier 2021, et obtenir des informations sur les détenteurs n’est possible que dans des cas exceptionnels : pour connaître le nom du détenteur inscrit, il faut le demander au registrar. Switch renvoie d’ailleurs vers celui-ci pour toute question sur un domaine .ch, et pour toute modification sur un domaine déjà enregistré.

La sauvegarde : où elle est stockée, qui la paie, qui peut restaurer

Une sauvegarde se détient en trois morceaux, et les trois ne sont pas forcément entre les mêmes mains : l’abonnement au produit et sa facturation, la durée de rétention configurée, et la console depuis laquelle une restauration se déclenche.

Microsoft 365 Backup en donne une illustration documentée. Microsoft écrit que c’est une offre facturée à la consommation, et non à la licence par utilisateur, et que ce produit s’exploite aussi bien depuis le centre d’administration Microsoft 365 que depuis les applications partenaires construites sur sa plateforme de stockage. Pour une application partenaire, il précise que l’exploitation de l’outil est gérée et payée entièrement à travers l’application du partenaire. Ce n’est donc pas la même console qui déclenche une restauration selon le montage retenu.

Le même découpage s’applique au reste du parc. Pour vos serveurs, la sauvegarde repose sur un support, dans un logiciel, et sur un site : chez vous, chez le prestataire, ou dans un hébergement tiers. Pour vos postes de travail, la première question est de savoir lesquels sont sauvegardés. Pour vos applications métier, les données peuvent être dans une base que vous hébergez ou chez l’éditeur, avec les délais de conservation que celui-ci applique.

Savoir que la sauvegarde existe et savoir qu’une restauration fonctionne sont deux informations distinctes. La seconde s’obtient en demandant le compte rendu du dernier test de restauration, ou en demandant à en voir un.

Pour une application développée pour vous, la même question se pose sur le code, sur les données et sur les accès d’administration : elle est traitée dans qui possède l’application quand elle est finie.

Le contrat : ce qui est prévu à la fin du mandat

La restitution des accès et de la documentation à la fin d’un mandat n’est pas acquise par défaut : elle dépend de ce que le contrat prévoit. Un contrat qui n’en dit rien ne crée aucune difficulté tant qu’il court ; il laisse la question ouverte pour le jour où elle devient concrète.

Quatre points se lisent dans un contrat d’infogérance existant :

1. le délai de résiliation, et à partir de quand il court ;
2. ce qui est prévu à la fin du contrat sur les comptes d’administration et sur la documentation technique ;
3. la restitution des données, et le format dans lequel elles sont rendues ;
4. la période pendant laquelle le prestataire sortant reste joignable pour les questions du suivant.

Ce sont des questions ordinaires au moment de la signature, et le renouvellement est l’occasion naturelle de les relire.

L’inventaire technique : matériel, comptes d’administration, schémas

Un inventaire technique répond à trois questions : ce que vous avez, comment on y entre, et comment c’est relié.

Ce que vous avez. La liste des équipements, avec pour chacun son numéro de série, sa date de fin de garantie ou de support, et le contrat qui le couvre. Cette liste sert en dehors de tout changement de prestataire : le jour où un équipement tombe en panne, c’est elle qui dit s’il est encore couvert.

Comment on y entre. Les comptes d’administration des équipements et des logiciels, et l’endroit où leurs mots de passe sont conservés. Détenir le mot de passe d’un compte partagé n’équivaut pas à détenir un compte : ce mot de passe peut être changé par tous ceux qui le connaissent.

Comment c’est relié. Le schéma du réseau, les plages d’adresses, les liaisons opérateur avec leurs numéros de contrat, et la liste des applications métier avec leur éditeur et leur contact de support.

La forme compte autant que le contenu. Une documentation qui n’existe que dans l’outil de gestion de votre prestataire reste consultable tant que vous avez accès à cet outil, et le jour où cet accès s’arrête, vous ne la consultez plus. Une copie déposée de votre côté, dans un format qui s’ouvre sans cet outil, suffit à régler ce point.

Notre lecture

Nous tranchons sur l’ordre : commencez par le nom de domaine. Vos adresses de messagerie en dépendent, la vérification de vos domaines auprès de Microsoft en dépend, et la procédure de reprise que Microsoft documente en dépend aussi. La vérification tient en une lecture et une demande : pour un .ch, le registrar se lit dans la requête publique de Switch, et l’identifiant du compte se demande à ce registrar.

Cette réponse change si vous ne détenez aucun accès d’administration sur votre environnement principal. Dans ce cas, commencez par là : le domaine ouvre une procédure, encore faut-il quelqu’un de votre côté pour la mener.

Nous ne publions pas de durée moyenne de reprise ni de coût moyen d’un changement de prestataire. Ces valeurs dépendent du nombre de services, de l’état de la documentation et de la disponibilité des deux prestataires. Une moyenne empruntée à une autre entreprise n’aiderait pas à budgéter la vôtre.

Une idée reçue mérite d’être corrigée : un contrat qui prévoit la restitution des accès ne produit pas ces accès. Il décrit ce qui doit se passer, et l’inventaire dit ce qui existe réellement. Les deux ont leur utilité, et l’inventaire vient d’abord, parce qu’il dit ce que le contrat aura à couvrir.

Enfin, cet inventaire n’est pas lié à un projet de changement. Les mêmes réponses servent le jour où la personne qui savait tout s’en va, chez vous ou chez votre prestataire. Si elles sont déjà connues et écrites, il n’y a rien à entreprendre : le sujet ne justifie pas un mandat.

Ce que vous pouvez établir sans prestation extérieure

1. Listez vos abonnements informatiques et, pour chacun, l’entité qui reçoit la facture et l’adresse de la console d’administration.
2. Pour un domaine en .ch, lisez le nom du registrar dans la requête publique de Switch. Demandez-lui ensuite le nom du détenteur inscrit, l’identifiant du compte, et l’adresse à laquelle partent les avis de renouvellement.
3. Vérifiez que vous détenez, sur vos systèmes principaux, au moins un compte d’administration qui vous est propre, et que vous savez vous en servir.
4. Demandez, pour chaque périmètre sauvegardé, où les sauvegardes sont stockées, sur quel abonnement elles sont facturées, quelle durée de rétention est configurée, et qui peut déclencher une restauration.
5. Relisez votre contrat d’infogérance : délai de résiliation, sort des comptes d’administration et de la documentation à la fin du contrat, restitution des données et leur format, et période pendant laquelle le prestataire sortant reste joignable.
6. Demandez une copie de la documentation technique dans un format qui s’ouvre sans l’outil de votre prestataire, et conservez-la chez vous.

Aucun de ces six points ne demande un mandat : ce sont des questions à poser à votre prestataire actuel et des documents à ranger de votre côté. Aucun ne suppose non plus que quelque chose aille mal.

Les sources

• Requête de noms de domaine — Switch
• Informations juridiques sur les noms de domaine .ch — Switch
• Questions fréquentes sur les noms de domaine .ch — Switch
• Shared responsibility in the cloud
• About administrator roles in the Microsoft 365 admin center
• Subscriptions, licenses, accounts, and tenants for Microsoft’s cloud offerings
• Admin takeover of an unmanaged directory
• Overview of Microsoft 365 Backup