Le modèle de Contrat d’Audit informatique est disponible en téléchargement sur le Cloud Contrats :

Ce modèle de contrat d’audit informatique encadre la relation entre une entreprise et un prestataire spécialisé, chargé de réaliser un audit des systèmes d’information de l’entreprise. Ce contrat définit les modalités, objectifs et conditions de l’audit, ainsi que les obligations des parties.

Principales missions de l’Auditeur informatique :

1. Analyse des systèmes d’information : Examiner l’infrastructure informatique, y compris les serveurs, les réseaux, les logiciels et les bases de données, pour évaluer leur conformité, leur sécurité et leur performance.
2. Évaluation de la sécurité : Identifier les vulnérabilités potentielles dans les systèmes informatiques et les réseaux, et proposer des mesures correctives.
3. Contrôle de la conformité : S’assurer que l’entreprise respecte les normes en vigueur (RGPD, ISO, etc.) en matière de gestion des données et de sécurité des systèmes.
4. Revue des politiques IT : Analyser les procédures et politiques internes liées à l’informatique, y compris la gestion des accès, la sécurité des données et la gouvernance des systèmes.
5. Proposition de recommandations : Formuler des recommandations pour améliorer la sécurité, la performance et la gestion des systèmes d’information.
6. Rédaction d’un rapport d’audit : Fournir un rapport détaillé à l’entreprise avec un résumé des constatations, une analyse des risques et des suggestions d’améliorations.
7. Suivi post-audit : Offrir un accompagnement pour la mise en place des actions correctives identifiées pendant l’audit.

---

.

CONTRAT D’AUDIT INFORMATIQUE

.

.

ENTRE LES SOUSSIGNES :

Dénomination Sociale : …………………………………………………………………………………………………..

Forme juridique [SARL, SA, SAS, Association..] : ………………………………………………

Numéro d’enregistrement [RCS / SIRET] : ………………………………………

Capital social [en euros] : …………………………………………

Siège social : Rue / voie / : ………………………………………………… CP : …………Ville : ……………… Pays : …………….

Représentant légal : ……………………………………………………………….. Fonction : ………………

Téléphone : ……………………………. Télécopie : ………………………………… E-mail :

.

Ci-après dénommée : « Le Prestataire»

.

D’une part,

.

.

.

.

.

.

ET :

.

Dénomination Sociale : …………………………………………………………………………………………………..

Forme juridique [SARL, SA, SAS, Association..] : ………………………………………………

Numéro d’enregistrement [RCS / SIRET] : ………………………………………

Capital social [en euros] : …………………………………………

Siège social : Rue / voie / : ………………………………………………… CP : …………Ville : ……………… Pays : …………….

Représentant légal : ……………………………………………………………….. Fonction : ………………

Téléphone : ……………………………. Télécopie : ………………………………… E-mail :

.

Ci-après dénommée : « Le Client »

.

D’autre part,

.

Ensemble dénommées « les Parties »

.

.

.

.

.

.

.

.

PREAMBULE

.

Le présent Contrat et ses annexes ont pour objet de définir les conditions dans lesquelles le Prestataire, à la demande du Client, prend en charge une prestation d’Audit informatique définie comme l’évaluation précise des risques informatiques auxquels est exposé le Client. Le Client a préalablement défini ses besoins par une analyse d’opportunités et a engagé les ressources financières et humaines nécessaires à la bonne exécution des présentes.

.

Présentation du Client

.

Nom	Signification	Spécificités
Cobit .	Control objectives for information and technology .	Méthode accessible à tous, dans un langage simple. Les outils fournis permettent la mesure des performances mais la méthode est aujourd’hui davantage assimilée à une méthode de gouvernance des SI. .
Ebios .	Expression des Besoins et Identification des Objectifs de Sécurité .	Notamment déployée au sein de l’administration française, cette méthode comprend une base de connaissances et un recueil de bonnes pratiques. Elle est téléchargeable sur le site de la DCSSI et s’accompagne d’un logiciel. .
Feros .	Fiche d’Expression Rationnelle des Objectifs de Sécurité .	Pas une méthode à proprement parler mais un document permettant à une autorité donnée (secteur secret défense notamment) de définir le niveau d’engagement de sa responsabilité dans l’application d’une politique de sécurité. .
Marion .	Méthodologie d’Analyse de Risques Informatiques Orientée par Niveaux .	Fonctionne par questionnaires débouchant sur 27 indicateurs répartis en 6 catégories. 2 phases (audit des vulnérabilités et analyse des risques) permettent la définition et la mise en œuvre de plans d’actions personnalisés. .
Mehari	Méthode Harmonisée d’Analyse de Risques .	Succède à la méthode Marion. S’articule autour de 3 plans. Permet désormais d’apprécier les risques au regard des objectifs “business” de l’entreprise. .

.

.

.

.

Article 3 – Besoins du Client

.

Le Prestataire est informé des attentes et besoins du Client :

.

.

De façon générale, le Client souhaite disposer d’une prestation accompagnée d’une haute réactivité, professionnelle, d’un strict respect des délais et d’une prestation conforme à l’état de l’art en matière d’Audit informatique.   

.

Article 4 – Obligation de collaboration renforcée

.

Il est convenu que les Parties sont soumises à une obligation de collaboration renforcée en termes d’échange d’information. Le présent Contrat nécessite une forte collaboration, tant dans sa préparation et sa mise en place qu’au quotidien entre le Prestataire et le Client. Dans le cadre de leur obligation de collaboration et d’échange d’informations, les Parties acceptent de mettre en place un Comité de suivi constitué de :

.

.

Chez le Client  .	Chez le Prestataire .
M. Mme : Fonction : Téléphone : Email : .	M. Mme : Fonction : Téléphone : Email : .
M. Mme : Fonction : Téléphone : Email : .	M. Mme : Fonction : Téléphone : Email : .

.

.

Le Comité de suivi a pour mission de gérer la mise en place et l’évolution de la prestation d’Audit informatique, notamment sur le volet du respect du calendrier, de la conformité des prestations, du respect de l’obligation de collaboration des Parties. Il est entendu que chaque personne du Comité de suivi a un pouvoir de validation.

.

La Cellule doit se réunir régulièrement même en l’absence de difficulté particulière et au moins ……………… fois par trimestre.

.

Les demandes d’information doivent impérativement être transmises par courrier électronique, ce mode de preuve étant parfaitement opposable entre les parties en cas de litige.

.

Distribution des tâches :

.

Le Manager de l’Audit est …………………, ses missions sont les suivantes :

– Définir les objectifs de chacun, essayer d’établir la charge de travail nécessaire à chaque tâche (Diagramme de Gantt) et d’organiser et mettre en relation tous les acteurs de l’Audit ;

.

– Cerner tous les éléments (commercial, juridique et technique) de l’Audit afin que, même en l’absence des différents experts, il y ait une redondance des informations et la possibilité d’avoir au moins un interlocuteur compétent face aux demandes des intervenants ;

  

– Se pencher sur les différentes méthodes d’Audit

.

Le Coordinateur désigné est ……………….ses missions sont les suivantes :

– Tenir informer l’équipe des dates de réunions, des sujets, des participants, des objectifs et faire transiter les informations.

.

– Participer à l’épluchage des logs après les confrontations ;

.

– Définir un mini-cahier des charges ;

.

– Rôle de « volant » susceptible d’être appelé pour différentes tâches d’où une compréhension globale de tous les aspects du projet.

.

– Gère le rédactionnel de l’équipe pour décharger les pôles et leurs permettre de ne pas perdre de temps sur la mise en forme de leurs travaux.

.

– Participer à l’épluchage des logs après les confrontations.

.

Le Responsable commercial et juridique désigné est ………………. ses missions sont les suivantes :

.

– Etablir un cadre juridique et commercial entre les Parties ;

.

– Vérifier l’application de la politique de sécurité au jour le jour et rapporter à l’ensemble de l’équipe, les vices de procédures ;

.

– Rédiger des avenants signés par les deux parties pour régulariser la situation en cas de besoin ;

.

– Participer à l’épluchage des logs après les confrontations.

.

Le Responsable technique désigné est ………………… ses missions sont les suivantes :

.

– Installer la sonde et les outils adéquats ;

– Identifier les différentes failles et les attaques réalisés pour les notifier (Date, Type d’attaque, Heure..) à l’ensemble de l’équipe ;

.

– Etablir les procédures nécessaires à l’obstruction des failles et des procédures de reprise sur incidents au cas où le système défendu venait à être touché.

.

Article 5 – Périmètre de l’Audit

.

Pour l‘exécution de sa mission, le Prestataire disposera d’un droit accès physique au système du Client pour la mise en place d’outils d’analyse et de détection (analyse des logs, scans, sondes). Sur autorisation explicite, le Prestataire pourra effectuer des tests d’intrusions selon des scénarios potentiels d’attaque, afin de déterminer les vulnérabilités et les failles de sécurité.

.

Chaque phase d’analyse et d’évaluation réalisée par les soins de l’équipe d’analyse devra faire l’œuvre d’un rapport complet présentant de manière explicite les vulnérabilités détectées sur le système audité, et proposant des améliorations techniques et organisationnelles pouvant entraîner une revue de la politique de sécurité. A son tour la défense devra informer l’auditeur de toute modification ou évolution de son système de sécurité.

.

Le Prestataire devra intégrer dans sa prestation d’Audit informatique, une approche de sécurité multi-niveaux, physique, matérielle et logicielle. La politique de sécurité proposée à l’issue de l’Audit devra notamment inclure :

.

La Sécurité comportementale et la sécurité des informations :

.

.

La Sécurité physique :

.

.

La Sécurité dans le déploiement des moyens :

.

.

La Sécurité physique :

.

.

Le Prestataire devra également proposer au Client une procédure de sauvegarde des données informatiques, ladite sauvegarde ne devant consommer de façon excessive les ressources de la bande passante du réseau. Le Client fera son affaire personnelle des licences de logiciels et d’exploitation du matériel nécessaires au déploiement des solutions proposées à l’issue de l’Audit.

.

Article 6 – Actualisation des risques opérationnels

.

Dans le cadre de l’Audit informatique, le Prestataire a l’obligation de mener une analyse préalable des risques du Client pour évaluer la nature et la gravité des impacts consécutifs à une divulgation d’informations sensibles du Client et de prendre toute décision opportune.

.

Cet Audit devra notamment porter sur l’analyse des liaisons établies de façon permanente avec l’extérieur, des mots de passe, des éventuelles failles dans les interfaces d’accès, des mises à jour des systèmes d’exploitation, de la traçabilité des actions du personnel du Client. L’Audit sera suivi de la prise de toutes les mesures opportunes, tant techniques qu’organisationnelles.

.

Le Prestataire devra désigner un interlocuteur responsable de la sécurité, pilotant l’ensemble des questions de sécurité inhérentes à la prestation. Cet interlocuteur sera en charge de la rédaction d’un Plan d’Assurance Sécurité pour répondre aux exigences de sécurité du Client pendant toute la durée du contrat.  

.

Article 7 – Sous-traitance, Offshoring  

.

Dans le cadre de ses missions, le Prestataire est autorisé à recourir à des sous-traitants offshore à condition toutefois d’avoir obtenu du Client l’acceptation de chaque sous-traitant et l’agrément de ses conditions de paiement. En fonction de la nature des prestations et des contraintes de sécurité du Client, ce dernier se réserve le droit de récuser tout sous-traitant ne présentant pas les garanties suffisantes pour exécuter les prestations conformément aux exigences de sécurité et de l’état de l’art en matière informatique.

.

Le Prestataire reste personnellement responsable de toutes les obligations résultant des présentes.

.

Le Prestataire  déclare respecter parfaitement ses obligations et que les contraintes liées à la distance, à la différence de culture, au fuseau horaire, aux problématiques de la langue, ne constitueront pas une cause de mauvaise exécution de la prestation d’Audit informatique.

.

Le Prestataire s’assure que le ou les sous-traitants disposent des capacités techniques et financières nécessaires à la bonne exécution des prestations.

.

Article 8 – Help Desk

.

Le Prestataire met à la disposition du Client un Help desk qui remplit les critères qualitatifs attendus de la prestation et qui devra permettra de répondre aux questions du Client sur le déroulement de la prestation d’Audit :

.

Taux et temps de réponse aux questions : …………………………..

Temps moyen de décrochage du support téléphonique : …………………………..

Taux d’abandon des appels : …………………………..

Qualité de l’accueil : …………………………..

.

Les tâches externalisées sont réalisées i) dans les locaux du Prestataire, lorsque le système du Client y est hébergé, ou ii) au moyen d’une liaison permettant d’intervenir à distance sur le système du Client, ou iii) dans les locaux du Client par les équipes du Prestataire en charge des interventions techniques.

.

Lorsque le télédiagnostic, la télémaintenance ou la télédistribution n’est pas opportune, le Prestataire intervient dans les locaux du Client pour assurer ses prestations d’Audit.

.

Il est convenu que le Prestataire peut, lorsque cela se révèle nécessaire, mettre en place une liaison informatique permettant d’intervenir directement à distance chez le Client.

.

Le Prestataire missionne en cas de besoin, un ou plusieurs salariés par Contrat de placement de main d’œuvre.     

.

Concernant l’assistance technique et les prestations d’Audit, le Prestataire intervient selon les modalités suivantes :

.

Le délai d’intervention est d’un jour ouvré suivant la demande d’intervention, compte tenu des heures de bureau du Client :

.

Matinée : de …….. heures à……….. heures

Après midi : de ………….. heures à …………. heures

.

Dans ce cadre, le Prestataire met à la disposition du Client :

.

– une assistance téléphonique joignable :

.

– aux heures d’ouvertures du lundi au vendredi de 10h à 19h au numéro suivant : ……………………..

.

– 24h/24 et 7 jours sur 7 en dehors des heures visées ci-dessus au numéro suivant : ………………………

.

– une assistance par email joignable 24 heures sur 24 et 7 jours sur 7 à l’adresse : ………………….

.

.

.

.

.

.

.

Article 9 – Obligations des Parties

.

Obligations du Prestataire

.

En tant que professionnel de l’informatique, le Prestataire est tenu à une obligation de conseil, de mise en garde et de recommandations à l’égard du Client.

.

Le Prestataire prend en charge chaque mission et intervention avec ses préposés, le matériel et les logiciels nécessaires.

.

Le Prestataire procède aux interventions sur appel téléphonique ou demande par email. Cette assistance à distance par téléphone ou email comprend :

.

.

Le Prestataire devra mettre en oeuvre les techniques le plus adaptées aux besoins exprimés par le Client et fournir une prestation d’Audit d’une qualité répondant aux normes de qualité et aux usages dans le domaine informatique.

.

Il est entendu que l’obligation de moyen du Prestataire est conditionnée au respect par le Client de l’ensemble de ses obligations et notamment de la communication de toutes les données nécessaires (fichiers, textes … ) dans les délais convenus.

.

Le Prestataire s’assure de respecter et faire respecter par ses préposés, la protection des droits de propriété intellectuelle du Client et de conserver la plus stricte confidentialité sur les informations dont il pourrait avoir à connaître dans le cadre de la prestation d’Audit. En tant que professionnel, le Prestataire déclare également avoir une parfaite connaissance de la loi informatique et libertés n° 78-17 du 6 janvier 1978.

.

Obligations du Client

.

Le Client devra communiquer au Prestataire toutes les informations nécessaires à la bonne exécution de la prestation d’Audit et aux interventions du Prestataire : historique, installations, formalisation des besoins et autres, le tout dans un délai raisonnable. Tout retard dans la communication de ces informations entraînera un retard dans l’exécution de la prestation.   

.

Le Client devra permettre un accès à ses locaux et équipements facile et raisonnable dans la durée afin de permettre au Prestataire d’exécuter au mieux ses missions.

.

Le Client devra assister le Prestataire er valider chaque choix technique et stratégique par une procédure contradictoire adéquate.

.

.

.

.

.

.

Article 10 – Rapport d’Audit

.

Le Prestataire devra remettre et présenter, dans le respect des délais convenus, son rapport d’Audit. Celui-ci devra impérativement et a minima : i) Synthétiser le contenu des logs et l’exploitation faite par les différents membres du groupe d’Audit ; ii) Proposer des solutions pour éviter de rencontrer de nouveaux les mêmes problèmes de sécurité y compris l’implémentation de nouveaux outils (monitoring réseau, bouclier de serveur, scans réseau, adoption d’outils de défense offensive …).

.

Le Rapport d’Audit devra formuler des recommandations (grille d’analyse) sur les sept catégories suivantes:

.

Efficacité : concerne toute information significative et pertinente pour le processus de gestion, distribuée de manière ponctuelle, correcte, cohérente et utilisable.

.

Efficience : concerne la mise à disposition de l’information grâce à l’utilisation optimale (la plus productive et la plus économique) des ressources.

.

Confidentialité : concerne la protection de l’information sensible contre toute divulgation non autorisée.

.

Intégrité : touche à l’exactitude et à l’intégralité de l’information ainsi qu’à sa validité au regard des valeurs de l’entreprise et de ses perspectives.

.

Disponibilité : propriété de l’information qui est d’être disponible et de le rester lorsqu’un processus de gestion en a besoin. Concerne aussi la sauvegarde des ressources nécessaires et des moyens associés.

.

Conformité : consiste à se conformer aux lois, aux réglementations et aux clauses contractuelles auxquelles le processus de gestion est soumis, c’est-à-dire aux critères de gestion imposés par l’environnement extérieur.

.

Fiabilité de l’information : s’adresse au management et concerne la fourniture d’informations pertinentes pour le fonctionnement de l’entité et l’exercice des responsabilités sur le plan des finances et des rapports de conformité.

.

Le Rapport d’Audit devra inclure une proposition de politique de gestion de patchs ou de correctifs de sécurité sur trois volets : i) l’identification des failles et l’évaluation de leur impact, ii) la récupération et l’installation des patchs correctifs, iii) le suivi et le contrôle de l’état du parc informatique du Client par rapport aux patchs de sécurité.

.

Le Rapport d’Audit devra lister l’ensemble des actions nécessaires au bon déploiement des patchs correctifs (rédaction d’une politique de patch management associée à une organisation et des procédures de mise en œuvre des modifications et des contrôles et vérifications).

.

Le Rapport d’Audit devra parfaitement identifier les failles constatées, en évaluer les impacts mais aussi proposer une politique de suivi et de contrôle de l’état du parc du Client. Au même titre que les autres mesures de sécurité doivent être vérifiées, la mise en place des patchs correctifs doit être contrôlée (planification et complétude). La vérification préconisée devra être la plus large et automatisée possible.

.

Le Rapport d’Audit devra proposer un plan de secours et de reprise d’activité du Client.

.

Le Rapport d’Audit devra prévoir une solution d’identity Management : la gestion centralisée des droits de tous les équipements et couches reconnus (systèmes d’exploitations, bases de données, serveurs Web, messagerie, etc.) à travers une interface standard avec automatisation d’actes d’administration, tel que la création des comptes bureautique des nouveaux salariés de l’entreprise ou le verrouillage des comptes des salariés quittant l’entreprise ; gestion simplifiée des mots de passe, visant à synchroniser les mots de passe des comptes d’une même personne ou à déléguer la capacité de déverrouillage d’un compte à l’utilisateur qui en est propriétaire (self-service) ; gestion des demandes d’habilitations, à travers la mise en place d’un Workflow pilotant le processus organisationnel d’attribution d’un droit d’accès.

.

Article 11 – Garantie d’éviction

.

Les logiciels et applicatifs installés et utilisés par le Prestataire dans le cadre de la prestation d’Audit, sont sous sa seule et unique responsabilité en termes de validité des licences de propriété intellectuelle. Le Prestataire garantit le Client contre tout recours, réclamation, revendication, action ou condamnation qui serait prononcée à son encontre.

Article 12 – Conditions financières

.

Dans le cadre des présentes, les Parties ont négocié les conditions financières suivantes :

.

Option 1

Forfait global et intégral non révisable de …………………. Euros HT (chiffres et lettres). Le paiement du forfait convenu entre les Parties est exigible en appels de fonds de montant égal dont le versement intervient selon les modalités suivantes :

.

Opérations d’Audit informatique en jour / homme

. • Evaluation …………….…………………………… euros HT (chiffres et lettres) • Contrôle : ……………………………………. euros HT (chiffres et lettres) • Interventions techniques : …………………. euros HT (chiffres et lettres) • Rédaction du rapport d’Audit : …………………. euros HT (chiffres et lettres) .