PAS Informatique : Définition, Contenu et Mise en Œuvre du Plan d'Assurance Sécurité
Séraphine Clairlune
Qu’est-ce qu’un PAS informatique ? (BLUF)
Le Plan d’Assurance Sécurité (PAS) est un document contractuel par lequel un prestataire de services informatiques expose les mesures de sécurité qu’il applique pour protéger les systèmes d’information et les données de ses clients. Il répond aux exigences des articles 34 et 35 de la Loi Informatique et Libertés et aux obligations de sous-traitance du RGPD.
Pourquoi c’est important ? Sans PAS, un client ne peut pas vérifier que son prestataire respecte un niveau de sécurité suffisant, ce qui expose à des fuites de données, des sanctions CNIL et une perte de confiance.
Exemple concret : Un éditeur SaaS qui héberge des données de santé doit remettre un PAS détaillant le chiffrement, la gestion des accès, les sauvegardes et la procédure en cas d’incident. Ce document est annexé au contrat et audité annuellement.
Concept : Comprendre le PAS dans son écosystème
Définition et cadre légal
Le PAS est à la fois un document technique (mesures concrètes) et juridique (engagement contractuel). Il s’inscrit dans le prolongement de la Politique de Sécurité des Systèmes d’Information (PSSI) de l’entreprise cliente, mais en version anonymisée et adaptée au périmètre de la prestation.
| Document | Objectif | Destinataire | Caractère |
|---|---|---|---|
| PSSI | Définir la stratégie globale de SSI | Interne (direction, RSSI) | Confidentiel |
| PAS | Démontrer la conformité aux exigences clients | Externe (clients, prospects) | Anonymisé, communicable |
| PCA (Plan de Continuité d’Activité) | Garantir la reprise après sinistre | Interne + auditeurs | Partiellement confidentiel |
| Charte informatique | Encadrer les usages des utilisateurs | Tous les collaborateurs | Diffusé largement |
Le PAS est obligatoire dans la plupart des appels d’offres IT, en particulier pour les prestations d’hébergement cloud, de maintenance applicative ou de traitement de données personnelles.
Lien avec la PSSI et le RGPD
Le PAS reprend les principes de la PSSI mais en gommant les éléments sensibles (adresses IP internes, noms des administrateurs, versions exactes des logiciels). Le RGPD renforce l’obligation de documentation : le sous-traitant doit démontrer sa conformité (article 28). Le PAS est le vecteur principal de cette démonstration, face à des menaces croissantes comme le phishing par IA.
Mécanisme : Comment construire et utiliser un PAS
Contenu type d’un PAS
Voici les sections essentielles, avec des exemples concrets pour chacune.
| Section | Contenu à inclure | Exemple de mesure |
|---|---|---|
| Présentation du document | Objet, périmètre, destinataires, version | « Ce PAS couvre l’hébergement de la plateforme X pour le compte de Y. Version 2.1 du 01/03/2026. » |
| Description de la prestation | Services fournis, flux de données, responsabilités | « Sauvegarde quotidienne des bases de données, chiffrement AES-256. » |
| Sécurité des ressources humaines | Contrôle d’accès, habilitations, clauses de confidentialité, sensibilisation à l’ingénierie sociale | « Toute personne ayant accès aux données signe un engagement de confidentialité. » |
| Gestion des actifs | Inventaire des équipements, logiciels, données | « Liste des serveurs mise à jour mensuellement dans l’outil de CMDB. » |
| Gestion des accès logiques | Authentification multifacteur, revue trimestrielle des droits | « Accès VPN + token OTP ; révocation sous 24h en cas de départ. » |
| Sécurité physique | Contrôle d’accès aux locaux, vidéosurveillance, anti-intrusion | « Datacenter TIER III, accès par badge biométrique. » |
| Sauvegardes et restauration | Politique de sauvegarde, tests de restauration | « Sauvegarde full hebdomadaire + différentielle quotidienne ; test de restauration tous les 6 mois. » |
| Gestion des incidents | Détection des attaques ClickFix, escalade, délais, reporting | « Délai de notification client : 4h pour incident critique. » |
| Continuité d’activité | PCA, site de secours, RPO | « RPO = 4h, PTO = 24h pour les services critiques. » |
Checklist de rédaction (7 étapes)
- Définir le périmètre : quels services, quelles données, quels clients ?
- Auditer les mesures existantes : reprendre les éléments de la PSSI interne.
- Anonymiser : remplacer les noms, adresses, versions par des descriptions génériques.
- Rédiger chaque section en suivant le squelette ci-dessus.
- Faire valider par le RSSI et le juridique (conformité RGPD, absence de fuite d’info sensible).
- Soumettre au client en phase d’appel d’offres, puis annexer au contrat.
- Mettre à jour annuellement ou à chaque changement significatif (nouveau service, évolution technique).
Indicateurs de performance (KPI) à suivre
- Taux de complétude : % de sections du PAS renseignées (cible 100 %).
- Écart d’audit : nombre de non-conformités constatées lors d’un audit client (cible < 3).
- Délai de mise à jour : temps entre un changement technique et la publication d’une nouvelle version (cible < 30 jours).
- Taux d’acceptation : % de clients qui valident le PAS sans demande de complément (cible > 80 %).
Cas d’usage : Adapter le PAS à son activité
| Type de prestataire | Spécificités du PAS |
|---|---|
| Hébergeur cloud | Détail des certifications (ISO 27001, SecNumCloud), localisation des données, clause de sous-traitance en cascade. |
| Éditeur SaaS | Gestion des accès applicatifs, chiffrement en transit et au repos, procédure de mise à jour. |
| Prestataire de maintenance | Accès distant, traçabilité des interventions, gestion des mots de passe partagés. |
| Prestataire de développement | Sécurisation du pipeline CI/CD, revue de code, gestion des vulnérabilités des bibliothèques. |
Intégration dans le processus d’achat (TPRM)
Le PAS n’est pas un document isolé. Il s’inscrit dans une démarche de Third Party Risk Management :
- Appel d’offres : le client demande un PAS.
- Évaluation : le client analyse l’écart entre le PAS et ses exigences (gap analysis).
- Audit sur site : vérification des mesures déclarées.
- Contractualisation : le PAS est annexé, avec des clauses de mise à jour et de résiliation en cas de non-conformité.
- Suivi : revue annuelle, indicateurs, rapport d’audit.
Pièges à éviter
1. Confondre PAS et PSSI
Le PAS doit être anonymisé et orienté client. Ne pas y copier la PSSI interne avec les adresses IP, les noms des administrateurs, les versions exactes des correctifs.
2. Négliger la mise à jour
Un PAS obsolète (ex. : qui mentionne un datacenter fermé) est pire que pas de PAS du tout. Mettre en place un processus de révision trimestrielle.
3. Omettre le volet juridique
Le PAS doit être signé et daté, avec une clause de modification. Sans cela, il n’a pas de valeur contractuelle.
4. Sous-estimer la charge de rédaction
Un PAS complet peut représenter 20 à 40 pages. Prévoir un budget temps et impliquer les équipes techniques et juridiques dès le début.
FAQ
Q1 : Un PAS est-il obligatoire ?
Pas dans tous les cas, mais il est systématiquement demandé dans les appels d’offres publics et par les grands comptes. Le RGPD le recommande fortement pour les sous-traitants.
Q2 : Quelle différence avec un questionnaire de sécurité ?
Le questionnaire est un outil d’évaluation ponctuelle. Le PAS est un document structuré, évolutif, qui sert de référence contractuelle.
Q3 : Peut-on utiliser un PAS existant pour plusieurs clients ?
Oui, mais il faut l’adapter au périmètre de chaque prestation. Un PAS générique sans personnalisation sera rejeté.
Q4 : Comment traiter les informations confidentielles dans le PAS ?
Anonymiser les données sensibles (ex. : « le datacenter est situé en région parisienne » au lieu de l’adresse exacte). Décrire les processus sans donner les mots de passe ni les configurations précises.
Q5 : Quels sont les coûts de rédaction d’un PAS ?
Variable selon la complexité : comptez 2 à 5 jours de travail pour un RSSI interne, ou 3 000 à 10 000 € si vous faites appel à un consultant spécialisé.
En résumé : Le PAS informatique est un document clé pour tout prestataire IT souhaitant rassurer ses clients et se conformer au RGPD. Sa rédaction demande rigueur et méthode, mais les bénéfices (confiance, avantage concurrentiel, conformité) justifient l’investissement. Utilisez la checklist et le squelette fournis pour démarrer efficacement.