Plan d'Assurance Sécurité (PAS) Informatique : Définition, Contenu et Mise en Œuvre
Apollinaire Monteclair
Qu’est-ce qu’un Plan d’Assurance Sécurité (PAS) informatique ?
BLUF : Le Plan d’Assurance Sécurité (PAS) est un document contractuel par lequel un prestataire de services informatiques démontre à ses clients les mesures de sécurité qu’il met en œuvre pour protéger leurs données et systèmes. Il répond aux exigences des articles 34 et 35 de la loi Informatique et Libertés et du RGPD. Exemple : Un hébergeur cloud joint un PAS à son offre pour prouver qu’il chiffre les données, limite les accès et effectue des sauvegardes quotidiennes.
Le PAS est devenu un passage obligé pour tout sous-traitant traitant des données personnelles. Il permet au client de comparer objectivement les niveaux de sécurité des prestataires lors d’un appel d’offres.
Pourquoi votre entreprise a besoin d’un PAS ?
- Obligation légale : Le RGPD (article 28) impose au sous-traitant de garantir un niveau de sécurité approprié. Le PAS formalise cet engagement.
- Avantage concurrentiel : 87 % des entreprises françaises exigent un PAS avant de signer un contrat d’externalisation (source : CESIN 2025). Un PAS bien rédigé accélère la décision d’achat.
- Réduction des risques : En 2025, le coût moyen d’une cyberattaque pour une PME était de 180 000 € (ANSSI). Le PAS force à structurer la sécurité et à anticiper les incidents.
Différence entre PAS, PSSI et PCA
| Document | Objectif | Public | Contenu principal | Quand l’utiliser |
|---|---|---|---|---|
| PAS (Plan d’Assurance Sécurité) | Démontrer la conformité aux exigences de sécurité du client | Clients, prospects | Mesures techniques et organisationnelles, référentiels (ISO 27001, etc.) | Avant-vente, réponse à appel d’offres |
| PSSI (Politique de Sécurité des Systèmes d’Information) | Définir la stratégie et les règles internes de sécurité | Employés, direction | Principes directeurs, organisation, responsabilités | Interne, socle de la gouvernance SSI |
| PCA (Plan de Continuité d’Activité) | Assurer la reprise des activités critiques après un sinistre | Direction, équipes opérationnelles | Procédures de reprise, scénarios de crise, ressources alternatives | Préparation aux crises, audit |
Le PAS est souvent une version anonymisée et orientée client de la PSSI, enrichie des engagements contractuels.
Contenu type d’un PAS
Un PAS complet couvre au moins les 20 sections suivantes. Voici un modèle de table des matières avec les éléments clés à inclure :
| Section | Description | Exemple de contenu |
|---|---|---|
| 1. Présentation du document | Objet, périmètre, destinataires | « Ce PAS s’applique au service d’hébergement mutualisé. » |
| 2. Description de la prestation | Services fournis, flux de données | « Stockage de bases clients, accès via API. » |
| 3. Sécurité des ressources humaines | Contrôle des antécédents, clauses de confidentialité | « Vérification des CV et signature d’un NDA. » |
| 4. Gestion des actifs | Inventaire des équipements et logiciels | « Liste des serveurs, versions d’OS, licences. » |
| 5. Gestion des accès logiques | Authentification, autorisations, revue des droits | « MFA obligatoire pour tous les comptes admin. » |
| 6. Gestion des identifiants/authentifiants | Politique de mots de passe, coffre-fort | « Mots de passe de 12 caractères, rotation tous les 90 jours. » |
| 7. Sécurité physique | Contrôle d’accès aux locaux, vidéosurveillance | « Badge + biométrie pour accès au datacenter. » |
| 8. Sécurité de l’exploitation SI | Durcissement, sauvegardes, correctifs | « Sauvegarde quotidienne avec rétention 30 jours. » |
| 9. Sécurité des communications | Chiffrement, VPN, segmentation réseau | « TLS 1.3 pour toutes les connexions externes. » |
| 10. Sécurité des développements | Cycle de vie sécurisé, tests d’intrusion | « Revue de code et analyse SAST avant chaque release. » |
| 11. Maintenance des SI | Procédures de mise à jour, fenêtres de maintenance | « Correctifs critiques appliqués sous 48h. » |
| 12. Relations avec les tiers | Sous-traitants, clauses de sécurité | « Audit des sous-traitants tous les 2 ans. » |
| 13. Gestion des incidents et alertes | Détection, escalade, délais de notification | « Notification au client sous 24h pour incident grave. » |
| 14. Gestion de la continuité d’activité | PCA, tests de reprise | « Test de restauration complet tous les 6 mois. » |
| 15. Mise à jour des systèmes | Politique de patch management | « Patching mensuel, critique sous 7 jours. » |
| 16. Sécurité des postes de travail | Antivirus, verrouillage, restrictions | « Suite EDR déployée sur tous les postes. » |
| 17. Utilisation de terminaux personnels (BYOD) | Règles d’usage, conteneurisation | « Espace de travail isolé via VM chiffrée. » |
| 18. Protection des données critiques | Chiffrement, masquage, minimisation | « Données clients chiffrées en base et en transit. » |
| 19. Gestion de la documentation | Procédures, rapports d’audit | « Documentation accessible via portail sécurisé. » |
| 20. Contrôle et évaluation | Audit interne, indicateurs, fréquence | « Revue semestrielle par un RSSI externe. » |
Comment rédiger un PAS efficace ? (6 étapes)
- Identifier les exigences du client : Analyser le cahier des charges, les clauses types, les référentiels imposés (ISO 27001, HDS, etc.).
- Anonymiser votre PSSI : Retirer les informations internes sensibles (noms, versions exactes, adresses IP). Conserver les principes et les mesures.
- Structurer selon le plan type : Reprendre les 20 sections ci-dessus. Adapter le niveau de détail à la criticité du service.
- Ajouter des preuves tangibles : Certifications (ISO 27001, SOC 2), résultats d’audits récents, dates de tests d’intrusion.
- Faire relire par un juriste : Vérifier la conformité RGPD, la cohérence avec le contrat, et l’absence d’engagement excessif.
- Mettre à jour régulièrement : Au moins une fois par an ou lors de tout changement majeur (nouveau sous-traitant, évolution technique).
Checklist de validation :
- Toutes les sections du plan type sont couvertes.
- Les mesures sont décrites de manière suffisamment précise (pas de « nous faisons de la sécurité »).
- Aucune information confidentielle interne n’est divulguée.
- Les normes et certifications sont mentionnées avec leur périmètre.
- Les délais d’incident et de notification sont explicites.
- Un contact RSSI est identifié pour les questions.
Erreurs fréquentes à éviter
| Erreur | Conséquence | Solution |
|---|---|---|
| PAS trop générique | Le client ne perçoit pas de valeur ajoutée | Personnaliser chaque section pour le service concerné |
| Oublier le contexte légal (RGPD) | Risque de non-conformité contractuelle | Citer les articles 28, 32, 33 du RGPD |
| Inclure des informations trop sensibles | Fuite d’information concurrentielle | Anonymiser les adresses, versions, configurations exactes |
| Ne pas mettre à jour le PAS | Décalage entre le document et la réalité | Planifier une revue annuelle avec le RSSI |
| Absence de preuves (certifications, audits) | Crédibilité diminuée | Joindre les rapports d’audit en annexe confidentielle |
FAQ
Q : Un PAS est-il obligatoire pour tous les prestataires IT ?
R : Non, mais il est systématiquement demandé dans les appels d’offres publics et privés dès qu’il y a traitement de données personnelles ou sensibles.
Q : Quelle est la différence entre un PAS et une annexe de sécurité contractuelle ?
R : Le PAS est un document autonome décrivant les mesures. L’annexe de sécurité est une clause du contrat qui renvoie au PAS et fixe les responsabilités juridiques.
Q : Combien de pages doit faire un PAS ?
R : Entre 10 et 30 pages selon la complexité du service. L’essentiel est la précision, pas la longueur.
Q : Puis-je utiliser le même PAS pour tous mes clients ?
R : Non, chaque client a des exigences spécifiques. Créez un PAS de base modulable, puis ajustez les sections pertinentes pour chaque offre.
Ressources utiles
- Guide ANSSI : « Élaboration d’une PSSI » (2017, mis à jour 2024)
- CNIL : « Guide du sous-traitant RGPD » (2023)
- ISO 27001 : Exigences pour un système de management de la sécurité de l’information
- Modèle de PAS téléchargeable : [Lien vers un template vierge (à créer)]
En résumé, le PAS informatique est un outil de confiance indispensable dans les relations B2B. Il démontre votre professionnalisme, sécurise juridiquement la relation et vous différencie de la concurrence. Sa rédaction demande une collaboration entre équipes techniques, juridiques et commerciales.