PAS Informatique : Définition, Contenu et Guide Expert du Plan d'Assurance Sécurité (2026)
Orphée Grandsable
BLUF : Ce qu’il faut retenir
Le Plan d’Assurance Sécurité (PAS) informatique est un document contractuel par lequel un prestataire de services IT démontre à son client (maître d’ouvrage) comment il respecte les exigences de cybersécurité définies pour l’organisation et le système d’information. Il est obligatoire dans la plupart des appels d’offres sensibles et constitue une pièce maîtresse de la conformité RGPD (articles 28 et 32).
Exemple concret : Un hébergeur cloud souhaitant répondre à un appel d’offres d’une banque doit fournir un PAS détaillant ses mesures de chiffrement, de contrôle d’accès et de gestion des incidents. Sans PAS, sa candidature est irrecevable.
1. Concept : Qu’est-ce qu’un PAS informatique ?
Le PAS est la déclinaison opérationnelle et anonymisée de la Politique de Sécurité des Systèmes d’Information (PSSI) interne du prestataire. Il répond à deux objectifs :
- Juridique : Prouver que le sous-traitant met en œuvre les mesures techniques et organisationnelles exigées par le RGPD et la Loi Informatique et Libertés.
- Commercial : Rassurer le client sur le niveau de sécurité avant la signature du contrat.
PAS vs PSSI vs autres documents
| Document | Public | Confidentialité | Contenu principal |
|---|---|---|---|
| PSSI | Interne (employés, direction) | Haute (stratégique) | Politique générale, objectifs, rôles, sanctions |
| PAS | Externe (clients, prospects) | Modérée (anonymisée) | Mesures concrètes, référentiels, organisation |
| Cloud Risk Assessment | Client / auditeur | Variable | Analyse des risques spécifiques au cloud |
| PCA (Plan de Continuité d’Activité) | Interne + client (partiel) | Haute | Procédures de reprise après sinistre |
2. Mécanisme : Structure détaillée d’un PAS
Un PAS complet couvre tous les domaines de la sécurité applicables à la prestation. Voici une trame type enrichie d’exigences concrètes pour chaque section.
2.1 Présentation du document et description de la prestation
- Identifier le périmètre (services, systèmes, données concernés).
- Préciser les références normatives (ISO 27001, ANSSI, EBIOS RM).
2.2 Sécurité des ressources humaines
- Processus de vérification des antécédents (casier judiciaire, références).
- Clause de confidentialité dans les contrats de travail.
- Sensibilisation annuelle obligatoire (avec taux de complétion > 95 %).
2.3 Gestion des actifs
- Inventaire des actifs matériels et logiciels (outil CMDB).
- Classification des données (confidentiel, interne, public).
- Cycle de vie : acquisition, maintenance, destruction sécurisée (certificat d’effacement).
2.4 Gestion des accès logiques et des authentifiants
- Principe du moindre privilège.
- Authentification multi-facteurs (MFA) obligatoire pour tout accès distant.
- Rotation des mots de passe : tous les 90 jours (ou selon politique client).
- Traçabilité : logs d’accès conservés 12 mois.
2.5 Sécurité physique
- Contrôle d’accès biométrique ou par badge dans les datacenters.
- Vidéosurveillance 24/7 avec rétention 30 jours.
- Alarme anti-intrusion et détection incendie.
2.6 Sécurité de l’exploitation des SI
- Durcissement : suppression des services inutiles, configuration selon les guides ANSSI.
- Sauvegardes : règle 3-2-1 (3 copies, 2 supports, 1 hors site), test de restauration trimestriel.
- Gestion des correctifs : patch critique appliqué sous 72 h, correctif standard sous 30 jours.
- Protection contre les codes malveillants : antivirus + EDR + sandboxing.
2.7 Sécurité des communications
- Chiffrement TLS 1.3 pour toutes les données en transit.
- VPN obligatoire pour les accès distants.
- Segmentation réseau (DMZ, LAN, administration).
2.8 Sécurité des développements
- Cycle SDLC sécurisé : revue de code, analyse statique (SAST), tests d’intrusion avant mise en production.
- Gestion des dépendances (SBOM) et alerte sur vulnérabilités connues.
2.9 Gestion des incidents et des alertes
- Délai de détection : < 1 h pour les incidents critiques.
- Délai de notification au client : < 24 h (conformité NIS 2).
- Procédure de gestion de crise avec cellule dédiée.
2.10 Continuité d’activité
- PCA testé au moins une fois par an.
- RTO (Recovery Time Objective) et RPO (Recovery Point Objective) définis contractuellement.
2.11 Contrôle et évaluation
- Audit interne annuel + audit externe tous les 3 ans.
- Reporting trimestriel au client sur les indicateurs (KPIs sécurité).
3. Mise en œuvre : Comment rédiger un PAS efficace ?
Étapes clés
- Auditer votre PSSI interne - Identifiez les écarts entre vos pratiques et les exigences clients.
- Anonymiser - Remplacez les informations sensibles (noms, adresses IP internes, mots de passe) par des descriptions génériques.
- Structurer selon les attentes du client - Utilisez le sommaire type ci-dessus, adaptez-le au périmètre de la prestation.
- Ajouter les preuves - Références aux certifications (ISO 27001, HDS, PCI DSS), rapports d’audit, attestations.
- Faire relire par un juriste - Vérifiez la conformité RGPD et l’absence de divulgation excessive.
- Mettre à jour annuellement - Un PAS obsolète est pire que pas de PAS du tout.
Erreurs fréquentes à éviter
| Erreur | Conséquence | Solution |
|---|---|---|
| Copier-coller de la PSSI | Divulgation d’informations confidentielles | Anonymiser systématiquement |
| Être trop vague | Pas de valeur probante | Ajouter des mesures concrètes (ex. « MFA activé sur 100 % des accès ») |
| Ignorer la cascade de sous-traitants | Non-conformité RGPD | Inclure une clause de transmission du PAS aux sous-traitants |
| Négliger les mises à jour réglementaires | Risque juridique (NIS 2, DORA) | Veille normative trimestrielle |
| Oublier les preuves | Manque de crédibilité | Joindre les certificats et rapports d’audit |
4. Tableau comparatif : PAS vs autres documents de sécurité
| Critère | PAS | PSSI | Cloud Risk Assessment | Clause contractuelle |
|---|---|---|---|---|
| Objectif | Prouver la conformité aux clients | Définir la stratégie interne | Analyser les risques cloud | Fixer les obligations légales |
| Destinataire | Clients, prospects | Employés, direction | Client / DPO | Parties contractantes |
| Niveau de détail | Opérationnel (mesures) | Stratégique (principes) | Technique (risques) | Juridique (engagements) |
| Confidentialité | Anonymisé | Interne haute | Variable | Contractuelle |
| Obligation légale | Implicite (RGPD) | Non | Recommandé (ANSSI) | Oui |
| Mise à jour | Annuelle ou sur changement | Annuelle | À chaque évolution du SI | À la renégociation |
5. FAQ Expert
Q1 : Un prestataire doit-il fournir un PAS même s’il n’a pas de certification ISO 27001 ?
Oui. Le PAS n’exige pas une certification ; il décrit les mesures mises en œuvre. L’absence de certification peut être compensée par des références à d’autres standards (ANSSI, CIS Benchmarks) et des audits internes.
Q2 : Quelle est la différence entre un PAS et un « Security White Paper » ?
Le PAS est un document contractuel, souvent annexé au contrat. Le white paper est un support marketing non engageant. Le PAS doit être précis, vérifiable et opposable.
Q3 : Comment gérer la confidentialité des informations sensibles dans le PAS ?
Utilisez la technique de l’anonymisation par substitution : remplacez les valeurs réelles (ex. « serveur DB-01 ») par des rôles génériques (ex. « serveur de base de données principal »). Ne divulguez jamais de mots de passe, clés privées ou adresses IP internes.
Q4 : Le PAS est-il obligatoire pour tous les sous-traitants RGPD ?
Oui, dès lors que le sous-traitant traite des données personnelles pour le compte d’un responsable de traitement. L’article 28 du RGPD exige des garanties suffisantes ; le PAS en est la matérialisation la plus courante.
Q5 : Quelles évolutions réglementaires impacteront le PAS en 2026 ?
- NIS 2 (directive européenne) : obligation pour les entités essentielles et importantes d’exiger un PAS de leurs fournisseurs IT.
- DORA (secteur financier) : tests de résistance numérique, exigences renforcées sur la gestion des incidents.
- Cyber Resilience Act (en discussion) : pourrait imposer un PAS pour les produits connectés.
6. Conclusion
Le PAS informatique n’est pas une formalité administrative : c’est un outil stratégique de confiance et de conformité. Pour un prestataire IT, le rédiger avec rigueur (en suivant la structure détaillée ci-dessus) permet de se différencier lors des appels d’offres et de sécuriser juridiquement la relation client. Pour un donneur d’ordre, l’exiger et l’auditer est le premier rempart contre les risques cyber liés à l’externalisation.
À faire dès aujourd’hui :
- Mettez à jour votre PAS avec les exigences NIS 2 et DORA.
- Ajoutez des KPIs mesurables (temps de détection, taux de correctifs).
- Faites-le relire par un avocat spécialisé en droit du numérique.