Due diligence avant refonte infra : le commercial envoie un PDF « conformité » de 80 pages — screenshots produits, pas d'attestation. Le RSSI demande le SOC2 Type II : « confidentiel, NDA enterprise only ». Le projet avance quand même. Six mois plus tard, l'audit client révèle que le datacenter utilisé n'était pas dans le périmètre certifié.
Auditer un hébergeur, ce n'est pas répéter le questionnaire fournisseur sans le lire. C'est obtenir des preuves exploitables : datées, périmétrées, corrélables à votre produit et votre région.
Grille de preuves lisibles
| Document | Ce qu'il doit dire | Red flag |
|---|---|---|
| ISO 27001 | Numéro, date, scope services/sites | Scope = « admin only » |
| SOC 2 | Type II, période, critères | Refus total PME |
| DPA | Sous-traitants, notification 72 h | Template non signé |
| Pentest | Date, périmètre externe | > 18 mois |
| SLA | Exclusions maintenance | Crédits symboliques |
Demandez le même produit que vous achèterez : l'ISO d'une filiale cloud ne couvre pas forcément le mutualisé historique.
Un logo certification sans numéro d'attestation est un décor — pas une preuve.
Méthode en trois rendez-vous
- Documentaire — DPA, ISO scope, liste sous-traitants, politique backup/incident.
- Technique — région, chiffrement, logs admin, restauration testée (voir preuve restauration).
- Contractuelle — SLA, plafond responsabilité, réversibilité, notification violation.
Gardez une matrice de décision : critère, preuve reçue, écart, action.
Le sommet
Décider et avancer sans angle mort
Short-listez deux hébergeurs, envoyez la même grille de preuves, comparez réponses sous 15 jours. Annuaire + comparateur + Sous-traitants.
Questions fréquentes
Preuves en premier ?
ISO/SOC2 datés + périmètre, DPA, incident, sous-traitants, pentest récent.
Audit sur site ?
Rarement ; questionnaire + docs + call suffit si preuves vérifiables.
Vérifier périmètre ISO ?
Annexe services/sites ; exclusions explicites.
Hébergeur refuse ?
Signal sur projet sensible ; comparez ou durcissez contrat.
Auditer un hébergeur, c'est collecter des preuves qu'un DPO étranger pourrait comprendre — pas remplir un Excel pour cocher une case achat.