Comment créer un registre des risques multi-locataires ISO 27001 pour les fournisseurs de services gérés (MSP) qui soit évolutif

Pourquoi vos registres de risques MSP commencent à se dégrader à mesure que votre entreprise se développe

Les registres de risques des fournisseurs de services gérés (MSP) deviennent inefficaces lorsque la méthode de suivi des risques ne correspond plus au fonctionnement réel de vos services partagés. Vous avez probablement commencé avec un registre de risques ISO 27001 par client, dans un tableur ou un outil simple, ce qui convient pour quelques clients. Dès lors que vous gérez des dizaines de clients sur des plateformes communes, cette approche « un registre par client » ne fournit plus d'informations fiables ni de preuves crédibles pour la norme ISO 27001, et chaque évaluation ou audit semble plus complexe que le précédent.

Un registre des risques mutualisé et bien conçu ne se limite pas à la simple mise en forme de feuilles de calcul. Il vous permet de prouver, à vous-même et aux autres, que vous comprenez les risques liés à vos services partagés, que ces risques sont traités de manière cohérente pour chaque client et que vous pouvez défendre votre conformité à la norme ISO 27001 lorsqu'un auditeur ou un client important pose des questions pointues.

Le risque lié à la multi-location est un problème de portefeuille, pas un problème de tableur.

Si vous êtes propriétaire d'un fournisseur de services gérés (MSP), directeur des opérations (COO), responsable de la sécurité des systèmes d'information (CISO), responsable de la sécurité ou gestionnaire de services, les modèles présentés dans ce guide sont conçus pour correspondre à votre réalité : outils partagés, nombreux clients, marges réduites et surveillance externe constante.

Les symptômes révélateurs d'un registre qui ne s'adapte pas à l'échelle

On constate une défaillance d'un registre des risques mutualisé lorsque des problèmes récurrents se manifestent, tandis que les données sont fragmentées et difficiles à interpréter. À ce stade, il n'existe plus de vision unique et fiable des risques pour l'ensemble de la clientèle, et chaque audit ou questionnaire se transforme en un exercice de reconstruction stressant où chacun s'efforce de concilier des listes disparates dans l'urgence.

Un registre des risques multi-locataires qui commence à dysfonctionner présente généralement les mêmes symptômes. Lorsque les fournisseurs de services gérés atteignent une certaine taille, les problèmes deviennent flagrants :

Selon l'enquête 2025 d'ISMS.online, les clients attendent de plus en plus de leurs fournisseurs qu'ils s'alignent sur des cadres formels tels que l'ISO 27001, l'ISO 27701, le RGPD, Cyber Essentials et SOC 2 plutôt que de se fier à des déclarations informelles de bonnes pratiques.

Le même risque apparaît dans dix feuilles de calcul différentes, avec des descriptions, des évaluations et des propriétaires légèrement différents.
Certains registres de clients définissent « élevé » comme un score de 12, d'autres comme 15, ce qui rend les rapports à l'échelle du portefeuille dénués de sens.
Les risques partagés, tels que la compromission de votre plateforme de surveillance et de gestion à distance (RMM), sont traités de manière totalement différente selon le client.
Chaque audit ou appel d'offres important déclenche une course contre la montre pour harmoniser les listes, rechercher les mises à jour et corriger les incohérences dans le temps imparti.
Les équipes hésitent à stocker les informations multi-locataires en un seul endroit car elles ne savent pas comment maintenir la séparation des données clients.

Selon la norme ISO 27001, il ne s'agit pas simplement d'un problème d'efficacité. La norme exige la mise en place d'un processus systématique et continu d'évaluation et de traitement des risques liés à la sécurité de l'information (SMSI), et des registres fragmentés et incohérents rendent très difficile la démonstration de cette rigueur. Cette exigence figure dans les spécifications de la norme ISO 27001 relatives à l'établissement, la mise en œuvre, le maintien et l'amélioration continue d'un processus d'évaluation et de traitement des risques liés à la sécurité de l'information, tel que décrit dans la norme publiée par l'ISO.

Pourquoi la multilocation modifie l'équation du risque

Le mutualisation modifie la donne en matière de risques, car un compromis ou une décision de conception peut impacter simultanément de nombreux clients. Les implémentations traditionnelles de la norme ISO 27001 supposent souvent une organisation unique ; or, dans la réalité, les outils et plateformes partagés amplifient les conséquences des bonnes comme des mauvaises décisions au sein de l’ensemble de votre activité. Par conséquent, les failles se propagent plus rapidement et plus largement si elles ne sont pas gérées de manière centralisée. Ce type d’effet domino est une caractéristique bien connue des risques liés à la chaîne d’approvisionnement et aux services partagés, comme le soulignent les organismes régionaux de cybersécurité tels que l’ENISA.

Par exemple :

La plupart des organisations ayant participé à l'enquête 2025 d'ISMS.online sur l'état de la sécurité de l'information ont déclaré avoir été touchées par au moins un incident de sécurité lié à un tiers ou à un fournisseur au cours de l'année écoulée.

Une simple décision de conception sur votre plateforme (par exemple, modifier les paramètres de sécurité pour RMM ou la sauvegarde) peut avoir un impact sur les risques pour des dizaines de locataires.
Un attaquant qui compromet vos outils partagés peut s'infiltrer simultanément dans de nombreux environnements clients.
Une faiblesse dans la configuration d'un client peut révéler un problème récurrent dans l'ensemble de votre portefeuille.

Si vous gérez les risques de chaque client de manière isolée, vous n'avez aucun moyen fiable d'identifier les tendances, de prioriser les solutions systémiques ni de les expliquer à votre conseil d'administration et à vos clients. Un registre des risques mutualisé permet de mettre en évidence ces problématiques transversales tout en offrant à chaque client une vue claire et spécifique à son locataire.

L'opportunité : passer de listes dispersées à une structure de portefeuille unifiée.

Un registre des risques mutualisé robuste transforme des listes éparses de problèmes en une structure de base globale pour les décisions, les audits et les échanges avec les clients. L’objectif n’est pas d’abandonner les fondements de la norme ISO 27001, mais de les exprimer dans un modèle de données qui intègre les locataires, les services partagés et le reporting au niveau du portefeuille, afin de pouvoir répondre aux questions d’audit détaillées et aux interrogations stratégiques de la direction à partir des mêmes données sous-jacentes.

Il n’est pas nécessaire d’abandonner les fondements de la norme ISO 27001 pour résoudre ce problème. Il faut plutôt :

Conservez les concepts fondamentaux de la norme ISO 27001 que les auditeurs s'attendent à voir.
Repenser le modèle de données afin qu'il prenne explicitement en compte les locataires et les services partagés.
Distinguer les définitions de risques réutilisables des instances de risques propres à chaque locataire.
Intégrez le tout dans des flux de travail et des contrôles d'accès conviviaux pour le personnel des fournisseurs de services gérés, les auditeurs et les clients.

Au lieu de traiter chaque registre client comme un élément distinct, vous pouvez opter pour un modèle unique multi-locataires qui prend en charge à la fois les audits individuels et les décisions au niveau du portefeuille.

Demander demo

Concepts de risque de la norme ISO 27001 que vous devez représenter dans un environnement mutualisé

Un registre des risques mutualisé doit toujours intégrer les concepts fondamentaux de la norme ISO 27001, même si le stockage et le découpage des données se complexifient. Avant de modifier l'architecture, il est essentiel de bien comprendre les exigences de la norme ISO 27001 concernant votre processus de gestion des risques. La norme ne prescrit pas de format particulier pour le registre des risques, mais elle exige d'identifier les éléments importants, les risques potentiels, les faiblesses, la probabilité d'occurrence des événements et les mesures prises pour les prévenir, ainsi que d'identifier, d'analyser, d'évaluer, de traiter et de surveiller les risques liés à la sécurité de l'information de manière systématique. Concrètement, cela signifie que votre registre doit consigner explicitement certains concepts afin que les auditeurs puissent suivre le cheminement des menaces et des faiblesses vers les décisions et les contrôles. La norme ISO 27001 et sa norme associée de gestion des risques décrivent ces résultats en termes de processus d'évaluation et de traitement reproductible, tout en évitant délibérément d'imposer un format de registre unique, comme en témoignent les publications de l'ISO.

La clarté concernant les concepts de risque facilite grandement la défense de vos décisions.

Les éléments constitutifs : actifs, menaces, vulnérabilités, risques et contrôles

Chaque risque que vous consignez doit être compréhensible par des non-spécialistes. Pour chaque risque, vous devez pouvoir indiquer les enjeux, les conséquences possibles, les causes potentielles et les mesures prises pour y remédier, afin qu'un auditeur ou un client puisse suivre le raisonnement sans avoir à décrypter un jargon technique ni à deviner votre logique.

Pour chaque risque, vous devriez pouvoir identifier :

Atout: – Quels sont les enjeux ? Il peut s’agir du système ERP d’un client, d’une plateforme de sauvegarde partagée, d’un ensemble de comptes privilégiés ou d’un processus métier tel que la « facturation client ».
Menace: – Qu’est-ce qui pourrait mal tourner ? Hameçonnage, vol d’identifiants, utilisation abusive par des initiés, déni de service, panne de centre de données, etc.
Vulnérabilité: – Quelle faiblesse rend cette menace plus probable ou plus dommageable ? Absence d’authentification multifacteurs, systèmes non corrigés, privilèges excessifs, diligence raisonnable insuffisante envers les fournisseurs et problèmes similaires.
Risque: – la combinaison de la probabilité et de l’impact si la menace exploite la vulnérabilité de cet actif.
Contrôles : – les mesures que vous mettez en place pour modifier le risque : techniques, organisationnelles et procédurales.

Les normes ISO 27001 et ISO 27005 vous laissent la liberté d'utiliser une approche par actifs ou par scénarios, mais ces concepts restent toujours sous-jacents. Ces deux normes décrivent des techniques d'identification et d'analyse des risques liés à la sécurité de l'information, basées sur les actifs ou sur des scénarios, sans imposer d'approche particulière. Vous pouvez ainsi adopter la méthode la plus adaptée à votre organisation, tout en respectant les recommandations de l'ISO. Votre registre mutualisé doit pouvoir enregistrer et relier ces éléments afin de démontrer aux auditeurs votre approche de chaque risque.

Les champs que chaque fiche de risque MSP devrait inclure

Vos données de risques doivent comporter des champs uniformes pour permettre la comparaison, l'agrégation et la production de rapports entre clients sans intervention manuelle. Si chaque ligne de risque présente des différences, vous aurez des difficultés à interpréter vos données avant même de pouvoir répondre aux questions essentielles concernant votre portefeuille, et les auditeurs pourraient remettre en question la cohérence de votre méthodologie.

Un ensemble de champs uniformes facilite la comparaison et la production de rapports pour de nombreux locataires. Que vous utilisiez une feuille de calcul ou une plateforme SMSI dédiée, une structure logique au niveau des lignes pour chaque risque est la suivante :

Identifiant du risque (unique et stable dans le temps).
Identifiant du locataire (client).
Service ou environnement (par exemple, « Point de terminaison géré », « Abonnement Azure A », « Production », « Test »).
Nom et type de l'actif.
Description du risque (souvent formulée comme suit : « Menace exploitant une vulnérabilité de l’actif et entraînant un impact »).
Domaine d'impact principal (confidentialité, intégrité, disponibilité ou autre propriété que vous suivez).
Probabilité et impact inhérents (avant les contrôles).
Score de risque inhérent (selon l'échelle ou la matrice que vous avez choisie).
Commandes existantes.
Décision thérapeutique (réduire, éviter, transférer, accepter).
Contrôles ou actions supplémentaires prévus.
Probabilité résiduelle, impact et score (après traitement).
Responsable des risques.
Statut (ouvert, en cours de traitement, fermé, accepté).
Prochaine date de révision.

Dans un contexte mutualisé, vous ajouterez également des métadonnées telles que « risque imputable au fournisseur de services gérés vs risque imputable au client », des balises réglementaires et des références aux composants partagés. Ces champs constituent la base du reporting de portefeuille et vous offrent la traçabilité recherchée par les auditeurs lorsqu'ils évaluent un risque et vous demandent de justifier son évaluation et son traitement.

Rendre le langage utilisable par les non-spécialistes

Un registre des risques n'est efficace à grande échelle que si les ingénieurs, les gestionnaires de comptes et les parties prenantes chez le client peuvent y contribuer sans être perdus dans un jargon technique. Si les utilisateurs ne savent pas comment formuler ou évaluer les risques, ils éviteront le processus ou le rempliront de données incohérentes, et votre modèle, pourtant soigneusement élaboré, perdra rapidement toute crédibilité.

La plupart des personnes qui contribueront à votre registre des risques ne sont pas des spécialistes des risques. Ce sont des ingénieurs, des gestionnaires de comptes, des architectes et des interlocuteurs clients. Si vous souhaitez obtenir des données cohérentes et de haute qualité, vous devez :

Fournissez des définitions simples et des exemples pour chaque champ de votre modèle ou outil.
Utilisez autant que possible des listes déroulantes et des consignes de notation plutôt que du texte libre.
Proposez des exemples d'énoncés de risques pour des scénarios courants de fournisseurs de services gérés (MSP), à copier et à adapter.

C’est là qu’une plateforme comme ISMS.online peut s’avérer utile en intégrant des modèles de risques, des échelles de notation et des descriptions de champs dans l’expérience utilisateur, afin que vos équipes n’aient pas besoin de mémoriser la norme ou de débattre de la terminologie chaque fois qu’elles ajoutent un risque.

ISMS.online vous donne une longueur d'avance de 81 % dès votre connexion

La norme ISO 27001 simplifiée

Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.

Commencer

Concevoir un modèle de données de risque multi-locataires qui fonctionne réellement

Un modèle de données de risques mutualisé doit offrir à chaque client une vue claire et isolée de ses risques et vous fournir, en tant que fournisseur de services gérés (MSP), une vision globale et connectée des tendances, des thématiques et des expositions partagées. Cela implique d'aller au-delà d'un simple registre par client ou de l'ajout d'une colonne « locataire » à votre feuille de calcul existante ; vous avez besoin d'une structure qui vous permette de segmenter et d'analyser les données avec précision, de garantir l'isolation des locataires et la conformité à la norme ISO 27001, et de répondre aux questions spécifiques à chaque locataire comme à celles relatives à l'ensemble du portefeuille, sans intervention manuelle constante ni génération de rapports personnalisés à chaque nouvelle question.

Avant de modifier vos outils, il peut être utile de comparer le comportement des registres de risques mono-locataire et multi-locataire.

Une façon simple de constater la différence est de comparer les deux motifs côte à côte :

Ce tableau montre pourquoi un registre mono-locataire légèrement modifié a peu de chances de pouvoir gérer l'échelle d'un MSP et pourquoi vous devez être plus attentif à votre modèle de données.

Utilisez un modèle à deux couches : modèles et instances

La séparation des modèles de risques globaux et des cas spécifiques à chaque locataire permet de maintenir des définitions cohérentes tout en adaptant l'impact et le traitement à chaque client. Ce modèle à deux niveaux est généralement la seule façon durable de gérer de nombreux locataires sans se noyer sous des déclarations de risques dupliquées ou des exceptions complexes. Le modèle le plus robuste consiste à séparer :

Modèles de risques globaux : – définitions réutilisables des risques courants liés aux fournisseurs de services gérés.
Exemples de risques liés aux locataires : – les enregistrements par client qui font référence à ces modèles.

Un modèle global pourrait inclure :

ID et nom du modèle (par exemple, « R‑PHISH‑001 : L’hameçonnage conduit au vol d’identifiants »).
Description du scénario.
Types d'actifs et services typiquement touchés.
Mesures de contrôle recommandées (formation à la sensibilisation à la sécurité, filtrage des courriels, authentification multifacteur, surveillance des risques de connexion).
Probabilité et impact qualitatifs du défaut (pour un locataire « typique »).
Thèmes de contrôle mappés (par exemple, les catégories de l'annexe A de la norme ISO 27001).

Chaque instance de locataire ajoute ensuite le contexte spécifique :

Identifiant du locataire.
Actifs et groupes d'utilisateurs réellement concernés chez ce client.
Probabilité et impact réels dans la situation de ce client.
Contrôles réellement mis en œuvre et lacunes.
Plan de traitement, propriété et dates de révision.
Décision relative au risque résiduel (par exemple, accepté, réduction supplémentaire prévue).

Cela vous permet de maintenir une formulation et une cartographie cohérentes pour les risques communs tout en adaptant l'impact, la probabilité et le traitement à chaque locataire.

Décidez comment vous allez isoler les données des locataires

Votre modèle de risque doit intégrer l'isolation des locataires de manière suffisamment claire pour que vous puissiez l'expliquer sans hésitation aux auditeurs et aux équipes de sécurité de vos clients. Cela implique de choisir un modèle de stockage sûr et de documenter comment l'accès, le chiffrement et la surveillance le prennent en charge, afin de démontrer non seulement que les risques sont identifiés, mais aussi que les informations sensibles restent isolées.

Une fois les modèles et les instances séparés, déterminez comment les données des locataires sont isolées et stockées. Voici quelques options courantes :

Base de données ou schéma distinct par locataire : – Isolation maximale, mais coûts opérationnels plus élevés à mesure que la taille de l'entreprise augmente. Convient aux entreprises soumises à des contraintes réglementaires ou de résidence strictes, ou qui gèrent des clients importants et à forte valeur ajoutée.
Base de données partagée avec clés locataires : – Un ensemble unique de tables où chaque ligne contient un identifiant de locataire ; l’isolation est assurée dans la logique applicative et les requêtes. Plus facile à déployer à grande échelle, mais exige une conception et des tests rigoureux.
Hybride: – par exemple, une base de données partagée pour les modèles communs et les petits locataires, des schémas distincts pour les clients réglementés ou à haut risque.

Quel que soit votre choix, documentez-le clairement et assurez-vous que vos contrôles d'accès, votre chiffrement et votre surveillance correspondent au modèle. Les auditeurs et les équipes de sécurité des clients vous demanderont comment vous empêchez les données à risque d'un client d'être divulguées à un autre.

Ajoutez les métadonnées appropriées adaptées au locataire

Les métadonnées prenant en compte les locataires devraient simplifier la réponse aux questions relatives au portefeuille, sans nécessiter d'exportation ni de fusion manuelle des données. Si vous ne pouvez pas répondre rapidement à des questions simples concernant plusieurs locataires, votre modèle ne vous apporte pas encore la valeur ajoutée qu'une approche multi-locataires est censée offrir, et les échanges sur les rapports continueront de ressembler à des projets ponctuels.

Pour permettre la production de rapports par locataire et par portefeuille, chaque instance de risque doit comporter au minimum :

Identifiant et nom du locataire.
Secteur locataire (par exemple, santé, finance, industrie manufacturière).
Région ou juridiction réglementaire.
Services concernés (par exemple, « Réseau géré », « Support de la plateforme cloud »).
Environnement (production, préproduction, test).
Indicateur précisant s'il s'agit principalement d'un risque lié à la plateforme MSP, à l'environnement client ou à une responsabilité partagée.

Ces champs permettent de répondre facilement à des questions telles que :

« Parmi nos clients du secteur des services financiers, lesquels présentent encore un risque résiduel élevé en matière de gestion des accès privilégiés ? »
« Combien de locataires sont encore exposés à des compromissions RMM à un niveau élevé ? »
« Quels clients, dans une région donnée, présentent des risques liés à la résidence des données ? »

Une plateforme ISMS bien conçue vous permettra de filtrer et de segmenter les données selon ces attributs sans avoir à les exporter et à les réassembler manuellement, ce qui est particulièrement important lorsque les auditeurs ou les grands clients demandent des preuves à l'échelle du portefeuille.

Des champs et des métadonnées qui mettent les auditeurs à l'aise

Les auditeurs sont plus à l'aise lorsqu'ils peuvent retracer l'origine de chaque risque échantillonné jusqu'aux évaluations, traitements, contrôles et preuves clairement identifiés. Vos champs et métadonnées doivent simplifier ce processus, même dans un environnement mutualisé où la responsabilité est partagée entre vous et vos clients, afin qu'un échantillon de risques permette d'avoir une vision fidèle du fonctionnement réel de votre processus.

Principaux domaines de risque, réexaminés pour les auditeurs

Imaginez un auditeur consultant votre registre des risques et vous demandant pourquoi vous l'avez évalué ainsi et quelles mesures vous avez prises. Si vous pouvez répondre à ces questions directement à partir de votre registre, sans avoir à consulter d'autres documents ni à deviner le contexte, vous apaisez ses inquiétudes et facilitez grandement la démonstration que votre processus ISO 27001 est à la fois conçu et opérationnel. Vous pouvez considérer chaque risque comme un élément que l'auditeur pourrait extraire du registre et examiner étape par étape. De son point de vue, les questions suivantes doivent pouvoir être facilement résolues pour chaque risque sélectionné :

Quel est le risque ? La description du risque doit être claire et précise. Il convient d'indiquer clairement quel actif et quelle zone d'impact sont concernés.
Pourquoi est-il noté ainsi ? – Votre méthodologie et vos critères de probabilité et d’impact doivent être documentés et appliqués de manière cohérente ; le registre doit indiquer les évaluations choisies.
Que faites-vous à ce sujet ? – la décision de traitement, les actions prévues et les propriétaires doivent être documentés, avec les dates.
Quelle est la position résiduelle ? – si vous acceptez un risque résiduel, la justification doit être claire.
Quel est le lien avec les commandes ? – le risque doit être lié à un ou plusieurs contrôles figurant dans votre déclaration d’applicabilité ou un document équivalent.

Concrètement, un auditeur pourrait identifier un risque lié à votre plateforme RMM, vous demander de détailler les risques inhérents et résiduels, puis exiger des justificatifs pour les contrôles que vous avez listés. Si vos champs permettent cette discussion, vous êtes sur la bonne voie. Il n'est pas nécessaire de prévoir une colonne distincte pour chaque nuance, mais vous devez pouvoir répondre à ces questions à partir des informations enregistrées.

Les auditeurs de métadonnées spécifiques aux multi-locataires se soucient de

Dans un contexte mutualisé, les auditeurs cherchent également à comprendre comment vous définissez les limites du périmètre et gérez les risques systémiques sur les plateformes partagées. Sachant qu'un contrôle partagé défaillant peut impacter de nombreux clients, ils examinent attentivement la manière dont vous catégorisez ces risques et en attribuez la responsabilité, ainsi que la façon dont vous démontrez qu'un même problème n'est pas ignoré à différents endroits. Les préoccupations relatives aux contrôles partagés et aux points de défaillance uniques sont un thème récurrent dans les recommandations des agences nationales de cybersécurité, telles que le NCSC britannique, qui soulignent la nécessité de bien comprendre les limites du périmètre et les dépendances communes dans les environnements de cloud et de services gérés.

Ils recherchent notamment :

Clarté du périmètre par locataire : – Quels services et actifs sont couverts par le SMSI du MSP, et lesquels sont hors périmètre ou réservés au client ?
Clarté des responsabilités : – pour chaque risque, que les actions thérapeutiques soient de votre responsabilité, de celle du client ou partagées.
Traitement cohérent des risques liés aux plateformes partagées : – la preuve que vous ne négligez pas les problèmes systémiques qui affectent plusieurs locataires.
Séparation des tâches : – par exemple, en veillant à ce que la personne qui actionne un dispositif de contrôle ne soit pas la seule à évaluer le risque associé.

L'ajout de champs explicites tels que « Responsabilité (MSP / client / partagé) » et la liaison des risques à votre catalogue de services et à vos plateformes partagées permettent de répondre à ces questions sans confusion et facilitent la justification de la raison pour laquelle certaines actions relèvent de votre SMSI tandis que d'autres relèvent de programmes côté client.

Rendre le registre utilisable pour les tâches quotidiennes

Un registre des risques qui n'est consulté que lors des audits devient vite obsolète et source de frustration ; vous avez besoin d'un outil qui facilite la prise de décision au quotidien pour les ingénieurs, les responsables et les chefs de compte. Cela implique de lier les enregistrements de risques aux tickets, aux modifications et à des vues simples que vos équipes peuvent réellement utiliser, afin que la mise à jour du registre devienne une activité courante et non une tâche administrative supplémentaire.

Parmi les ajouts utiles, on peut citer :

Des champs pour les références de tickets ou de modifications afin que les équipes puissent passer facilement de votre registre des risques aux outils opérationnels où le travail est effectué.
Des indicateurs d'état tels que « Nécessite un examen suite à l'incident », « En attente de décision du client » ou « En attente du fournisseur ».
Des présentations et des vues simples pour différents publics : direction, ingénieurs, gestionnaires de comptes, contacts clients.

C’est là que l’utilisation d’une plateforme ISMS dédiée telle que ISMS.online, avec ses filtres, vues et enregistrements liés intégrés, peut vous éviter de vous débattre avec des feuilles de calcul complexes ou des outils génériques qui ne sont pas conçus pour la gestion des risques multi-locataires.

Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.

Réservez votre démo

Création d'un catalogue de risques standard pour les fournisseurs de services gérés (MSP) sans perdre le contexte client

Un catalogue de risques standard pour fournisseurs de services gérés (MSP) permet de recenser une fois pour toutes les situations de risques récurrentes et de les réutiliser de manière cohérente pour plusieurs clients. Bien conçu, il offre un langage et des modèles communs sans pour autant dénaturer les réalités spécifiques de chaque client, ce qui permet d'accroître l'efficacité sans perdre le contexte nécessaire à la pertinence des décisions de traitement individualisées. Une fois les risques correctement représentés, la question suivante est de savoir comment éviter de réinventer la roue pour chaque client. Un registre multi-locataires doit faciliter la réutilisation des modèles tout en respectant la situation spécifique de chaque client, notamment lorsqu'il s'agit de gérer des plateformes partagées avec des modèles économiques, des zones géographiques ou des exigences réglementaires différents.

Commencez par une bibliothèque de risques MSP principale

Votre référentiel de risques principal doit recenser les tendances observées chez vos clients, notamment celles impliquant des plateformes partagées, des tiers et des techniques d'attaque courantes. Partir de ces scénarios récurrents vous permet d'adopter un langage cohérent pour décrire les risques et évite aux équipes de formuler des risques quasi identiques, avec des variations, pour chaque client. Il en résulte une simplification des rapports et des améliorations au niveau du portefeuille.

Pour chaque risque, définissez clairement l'énoncé des risques, les services susceptibles d'être affectés, les mesures de contrôle habituelles et des exemples d'impacts. Ces éléments constituent vos modèles de référence dans le catalogue global décrit précédemment et établissent un langage commun pour vos équipes.

Environ 41 % des organisations interrogées dans le cadre de l’enquête 2025 d’ISMS.online ont déclaré que la gestion des risques liés aux tiers et le suivi de la conformité des fournisseurs constituaient un défi majeur en matière de sécurité de l’information.

Commencez par énumérer les scénarios de risque courants qui s'appliquent à la plupart de vos clients. Par exemple :

Hameçonnage et ingénierie sociale menant au vol d'identifiants.
Compromission de vos outils RMM ou d'accès à distance.
Défaillance ou mauvaise configuration des services de sauvegarde et de restauration partagés.
Panne ou incident de sécurité chez un fournisseur de cloud ou de SaaS tiers clé.
Gestion inadéquate des privilèges sur les comptes d'administrateur partagés.
Problèmes de résidence ou de transfert des données sur les plateformes partagées.

Il est important de bien distinguer ce qui est standard et ce qui est local.

Votre catalogue doit clairement indiquer quelles composantes d'un risque relèvent de définitions globales et lesquelles doivent être adaptées à chaque locataire. Si cette distinction est imprécise, vous risquez de perdre en cohérence ou de négliger des détails importants propres à chaque client, ce qui, dans les deux cas, nuira à la confiance accordée au catalogue et aux rapports qui s'appuient sur celui-ci.

Pour chaque modèle, déterminez quels éléments sont :

Standardisé : – par exemple, la formulation du scénario, les thèmes de contrôle cartographiés et peut-être un niveau de risque qualitatif par défaut pour un locataire « moyen ».
Spécifique au client : – par exemple, les actifs et systèmes exacts touchés, l’impact réel sur leur activité et la probabilité réelle compte tenu de leur environnement et de leurs utilisateurs.

Lorsque vous créez un modèle pour un locataire, vos équipes doivent pouvoir modifier les champs locaux tout en conservant la définition globale intacte. Vos outils doivent clairement indiquer cette différence afin d'éviter d'écraser accidentellement le travail effectué sur le locataire lors de la modification du modèle.

Promouvoir les découvertes locales dans le catalogue mondial

Au fil du temps, de nouveaux risques apparaîtront chez certains clients, révélant des tendances plus générales et transversales. Il vous faut une méthode simple et rigoureuse pour intégrer ces découvertes à votre base de données globale des risques, afin de ne pas passer à côté de thèmes émergents ni de les laisser enfouis dans des registres isolés.

Vous ne pourrez pas anticiper tous les risques. Vos équipes découvriront des problèmes spécifiques à chaque client, notamment dans les secteurs spécialisés ou pour des configurations sur mesure. Certains de ces problèmes s'avéreront être des variantes de modèles existants ; d'autres constitueront des schémas véritablement inédits.

Établissez des règles simples pour déterminer quand un élément doit être intégré à la bibliothèque globale. Par exemple :

Ce scénario a été observé, ou est susceptible de l'être, chez au moins trois locataires.
Cela concerne une plateforme, un service ou un tiers partagé dont dépendent de nombreux clients.
Cela reflète une nouvelle tendance réglementaire ou une menace que vous souhaitez suivre systématiquement.

Déterminez qui est responsable de l'approbation de ces modifications et consignez les justifications. Ainsi, votre catalogue évoluera de manière réfléchie et non accidentelle, et deviendra un atout stratégique pour le développement et la sécurisation de vos services partagés.

Mise en œuvre : flux de travail et gouvernance entre locataires

Un registre des risques mutualisé n'est pas qu'une simple base de données ; il n'apporte de valeur que lorsqu'il est intégré à des flux de travail et une gouvernance clairs. La norme ISO 27001 préconise un cycle d'identification, d'analyse, d'évaluation, de traitement et de surveillance. Il est essentiel de traduire ce cycle en étapes reproductibles, applicables à de nombreux clients et compréhensibles sans ambiguïté pour les auditeurs et les clients. Ainsi, votre registre reflète un processus évolutif et non un inventaire statique rapidement obsolète face aux aléas de la réalité. Ce cycle est à l'image du processus de gestion des risques décrit dans la norme ISO 27001 et détaillé dans la norme ISO 27005. Les organismes sont tenus d'identifier, d'analyser, d'évaluer, de traiter et de surveiller en continu les risques liés à la sécurité de l'information, conformément à la documentation ISO.

Environ deux tiers des personnes interrogées dans le rapport 2025 d'ISMS.online sur l'état de la sécurité de l'information ont déclaré que la rapidité et le volume des changements réglementaires rendent la conformité beaucoup plus difficile à maintenir.

Définir des flux de travail clairs et reproductibles

Vous avez besoin d'un ensemble restreint et bien défini de processus décrivant la gestion des risques, de leur identification à leur résolution, et précisant les intervenants à chaque étape. Si ces processus sont imprécis ou varient d'un client à l'autre, vos équipes auront du mal à maintenir le registre à jour et la certification ISO 27001 sera difficile à justifier, car vous ne pourrez pas démontrer que des problèmes similaires sont traités de manière identique.

Au minimum, concevoir des flux de travail pour :

Étape 1 – Évaluation des risques

Définissez comment les nouveaux risques sont identifiés et consignés à partir des évaluations, des incidents, des changements, des conversations avec les clients et des renseignements sur les menaces, et assurez-vous que les équipes savent quels champs remplir.

Étape 2 – Évaluation et notation

Définissez qui évalue la probabilité et l'impact, les échelles utilisées et la manière dont les désaccords sont résolus, afin que les évaluations soient cohérentes entre les locataires et au fil du temps.

Étape 3 – Approbation et planification du traitement

Décrivez comment les responsables des risques approuvent les évaluations et conviennent des options de traitement, y compris les seuils clairs définissant quand l'acceptation est autorisée ou quand une escalade est nécessaire.

Étape 4 – Exécution et suivi

Démontrez comment les actions de traitement sont enregistrées, priorisées et suivies jusqu'à leur achèvement, idéalement en les reliant à vos outils de gestion des tickets et des changements afin que le travail soit visible aux deux endroits.

Étape 5 – Examen périodique

Expliquez comment et quand les risques sont réévalués, par exemple annuellement, après des incidents ou lorsque les services changent, afin de démontrer que le risque est activement surveillé.

Chaque étape doit préciser les rôles et responsabilités de vos équipes et, le cas échéant, des parties prenantes du client. Les matrices RACI et les diagrammes de flux simples permettent de communiquer clairement ces informations, et ce même modèle peut souvent être appliqué à plusieurs locataires.

Coordonner les activités de nombreux locataires sans perdre le contrôle

Il vous faut une coordination centralisée permettant d'harmoniser des dizaines de registres de locataires sans que chaque décision ne devienne un goulot d'étranglement. L'objectif est de définir des rythmes et des seuils afin que les actions appropriées soient menées au bon niveau, que ce soit pour un locataire spécifique ou à l'échelle du portefeuille, et ainsi démontrer que les problèmes systémiques sont gérés de manière cohérente plutôt que d'être laissés à la charge de chaque individu.

Comme vous gérez les risques pour de nombreux clients, vous avez besoin d'une coordination centrale :

Utilisez des cycles d'examen standard lorsque cela est possible (par exemple, des examens annuels par locataire, avec des calendriers échelonnés).
Regrouper les activités similaires par locataire (par exemple, mettre à jour tous les risques liés à la gestion des risques liés à la gestion des risques après un changement majeur de plateforme).
Établir des seuils qui déclenchent des actions à l’échelle du portefeuille (par exemple, « si plus de cinq locataires signalent un risque résiduel élevé sur X, programmer un examen d’amélioration au niveau de la plateforme »).

À mesure que vos flux de travail internes se stabilisent, vous pouvez exposer plus clairement vos structures aux clients, par exemple en convenant de cycles d'examen conjoints ou en co-rédigeant des plans de traitement avec les locataires à risque plus élevé.

Impliquez les clients aux moments opportuns.

Votre processus doit clairement indiquer quand l'avis du client est nécessaire concernant les décisions relatives aux risques, notamment lorsque les dépenses, l'expérience utilisateur ou les risques juridiques sont en jeu. Une approche rigoureuse renforce les relations et conforte votre rôle de fournisseur certifié ISO 27001, car les clients constatent que vous prenez vos responsabilités partagées au sérieux et que vous êtes disposé à discuter des compromis.

Certains locataires, notamment ceux soumis à une réglementation, souhaiteront participer directement aux décisions relatives aux risques. Veillez à ce que votre processus le permette en prévoyant des étapes de consultation et d'approbation du client, le cas échéant.

Vous pourriez, par exemple, impliquer des clients lorsque :

Un plan de traitement implique de nouvelles dépenses ou un impact notable sur les utilisateurs.
Le risque résiduel est accepté à un niveau susceptible d'affecter leurs obligations légales ou contractuelles.
Les problèmes inter-locataires nécessitent une action coordonnée de la part de plusieurs de leurs fournisseurs.

En précisant clairement quand et comment vous impliquez vos clients, vous évitez les surprises et vous soutenez à la fois les exigences de la norme ISO 27001 et les relations commerciales.

Rendre le processus auditable et améliorable

Vos processus doivent générer des enregistrements et des indicateurs démontrant l'efficacité de la gestion des risques et mettant en évidence les axes d'amélioration. Si vous pouvez prouver que vous examinez régulièrement les risques, que vous mettez en œuvre des actions correctives et que vous tirez des enseignements des incidents, les audits seront grandement simplifiés et votre direction aura davantage confiance dans vos informations relatives aux risques.

La gouvernance de votre processus de gestion des risques multi-locataires doit inclure :

Procédures documentées pour chaque flux de travail.
Des archives indiquant qui a pris quelles décisions, et quand.
Des indicateurs tels que :

Nombre de risques ouverts par locataire et par service.
Pourcentage de risques faisant l'objet d'examens en cours.
Taux d'achèvement du traitement.
Délai entre l'identification du risque et l'approbation du traitement.

Utilisez ces indicateurs pour identifier les points de blocage et les axes d'amélioration. À terme, vous constaterez une diminution des mauvaises surprises de dernière minute avant les audits et des revues de risques plus prévisibles et sereines. Une plateforme comme ISMS.online peut faciliter cette démarche en reliant les risques, les actions, les activités d'audit et les revues de direction de manière à ce que les auditeurs et les clients puissent suivre le processus.

ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.

Réservez votre démo

Transformer le registre en rapports et en valeur client

Un registre des risques mutualisé devient véritablement stratégique lorsqu'il permet une communication claire avec les dirigeants, des échanges constructifs avec les clients et une meilleure prise de décision concernant les produits. Bien conçu, ce registre transforme la production de rapports, d'une simple formalité de conformité, en une source d'informations précieuses et même de valeur commerciale. Au lieu de jongler avec des feuilles de calcul disparates, vous pouvez répondre rapidement aux questions des dirigeants, présenter aux clients des analyses de risques claires et exploiter les tendances observées au niveau du portefeuille pour orienter les améliorations de la plateforme et la conception des services.

Conception de vues adaptées à différents publics

Vous devriez concevoir trois vues principales de votre registre : une pour la direction du fournisseur de services gérés, une pour chaque client et une pour les opérations internes. Chaque vue exploite les mêmes données, mais les présente dans le langage et avec le niveau de détail adaptés à chaque public, évitant ainsi à quiconque d’avoir à interpréter des enregistrements de risques bruts, truffés de codes et d’abréviations internes.

Vous aurez besoin d'au moins trois types de vues :

Vue d'ensemble du portefeuille de dirigeants MSP : – données de risque agrégées pour l’ensemble des locataires, montrant :

Principaux thèmes de risque récurrents.
Répartition du risque résiduel par service, plateforme ou région.
Évolution au fil du temps des niveaux de risque et de l'achèvement du traitement.
Signaux d'investissement (par exemple, de nombreux locataires s'appuyant sur un modèle de contrôle faible).

Vue spécifique au locataire pour les clients : – une vue filtrée affichant :

Leurs propres risques, traitements et statuts.
Les risques liés aux plateformes partagées qui les concernent, présentés en termes clairs.
Évolution au fil du temps (par exemple, le nombre de dossiers à « haut risque » clôturés au cours de la dernière période).

Vue opérationnelle pour vos équipes : – des listes de risques et d’actions filtrées par service, propriétaire ou période, conçues pour la gestion quotidienne plutôt que pour la communication au niveau du conseil d’administration.

Veillez à ce que chaque vue respecte l'isolement du locataire et que les rapports destinés aux clients ne révèlent rien par inadvertance sur les autres clients.

Lier les données du portefeuille à la stratégie MSP

Les données de risque à l'échelle du portefeuille doivent influencer activement la conception, la tarification et le développement de vos services gérés. Si des schémas récurrents révèlent une faiblesse dans un contrôle ou un risque disproportionné pour un service, il est impératif d'ajuster vos plateformes et vos offres plutôt que de simplement accepter le risque en espérant qu'il ne se concrétise pas.

Environ un tiers des organisations citées dans le rapport 2025 d'ISMS.online sur l'état de la sécurité de l'information ont déclaré que leurs employés utilisaient déjà des outils d'IA générative sans autorisation ni directives.

Par exemple, si vous constatez que de nombreux locataires présentent un risque résiduel élevé lié aux accès privilégiés, il peut être judicieux d'investir dans une solution centralisée de gestion des privilèges ou de renforcer la sécurité de vos outils d'administration. La centralisation de la gestion des accès privilégiés et le renforcement des outils d'administration sont régulièrement mis en avant dans les recommandations des communautés de sécurité et des organismes professionnels tels que le SANS Institute, qui considèrent les comptes privilégiés comme une cible privilégiée des attaquants.

De même, si vous constatez que certains services entraînent systématiquement plus de risques ou nécessitent plus d'efforts de traitement, vous pouvez :

Réexaminez comment ces services sont conçus et fournis.
Ajuster les prix en fonction des risques et des efforts impliqués.
Faites de la réduction des risques un objectif clé lors de la proposition de modifications de services aux clients.

Utiliser votre registre des risques comme boucle de rétroaction pour les décisions relatives aux produits et aux plateformes renforce à la fois votre posture de sécurité et votre stratégie commerciale.

Intégrez-vous aux outils que vous utilisez déjà

Votre registre des risques reste précis et fiable lorsqu'il est connecté aux outils que vos équipes utilisent déjà, tels que les services d'assistance, les inventaires d'actifs et les plateformes de surveillance. Ainsi, le registre reflète les changements réels au lieu de devenir un document isolé mis à jour uniquement lors des audits ou des renouvellements de contrats importants.

Pour que le registre reste à jour et précis, intégrez-le avec :

Outils de centre de services et de PSA : – ainsi, les tickets et les modifications qui affectent le risque (par exemple, les correctifs, le déploiement de l'authentification multifacteur, les nouveaux projets) peuvent être liés et parfois même créés à partir d'actions de traitement des risques.
Gestion des actifs et CMDB : – afin que les actifs référencés dans vos risques restent synchronisés lorsque les clients ajoutent et suppriment des systèmes.
Outils de surveillance et de sécurité : – de sorte que les incidents majeurs et les alertes répétées déclenchent des analyses de risques au lieu d'être traités entièrement en dehors du processus de gestion des risques.

Il n’est pas nécessaire d’automatiser tout d’un coup. Commencez par des connexions simples et à forte valeur ajoutée (par exemple, lier les actions de gestion des risques aux tickets ou extraire les données des actifs d’une source fiable), puis développez-les au fur et à mesure que vos équipes prennent confiance.

Utilisez la caisse enregistreuse comme un atout pour vos clients.

Votre registre des risques peut être un élément visible de votre stratégie de valorisation et de renforcement de la confiance avec vos clients, et non un simple document ISO confidentiel. En partageant les informations pertinentes, vous faites preuve de rigueur et établissez un cadre décisionnel commun, au lieu de demander à vos clients d'accepter des changements de plateforme sans en comprendre les enjeux.

Un registre multi-locataires bien structuré vous permet de :

Fournissez des rapports de risques réguliers et adaptés à chaque client dans le cadre de vos services.
Mettez en avant votre propre rigueur en matière de norme ISO 27001 comme argument de vente.
Utilisez les données de risque pour justifier les améliorations de service ou les ventes additionnelles (par exemple, la surveillance avancée, la formation à la sensibilisation à la sécurité ou les contrôles supplémentaires) en fonction du risque résiduel documenté.

Menée avec soin, cette démarche n'a pas pour but d'effrayer les clients pour les inciter à acheter davantage. Il s'agit plutôt d'utiliser des informations partagées pour prendre de meilleures décisions ensemble et étayer les attestations externes souvent exigées par les grands clients lorsqu'ils vous évaluent en tant que fournisseur.

Réservez une démo avec ISMS.online dès aujourd'hui

ISMS.online vous offre une solution pratique pour passer de listes de risques dispersées, propres à chaque client, à une infrastructure de gestion des risques unique et mutualisée conforme à la norme ISO 27001, adaptée à vos équipes, vos auditeurs et vos clients. Si vous êtes conscient des difficultés liées à la fragmentation des registres de risques clients et que vous souhaitez sérieusement mettre en place une infrastructure de gestion des risques globale et alignée sur la norme ISO 27001, la présentation d'un environnement opérationnel conçu pour les fournisseurs de services gérés mutualisés vous permettra de déterminer plus facilement si une plateforme ISMS dédiée constitue la base idéale pour votre prochaine phase de croissance.

Presque toutes les organisations interrogées dans le cadre de l'enquête 2025 d'ISMS.online ont indiqué que l'obtention ou le maintien de certifications de sécurité telles que l'ISO 27001 ou le SOC 2 figurait parmi leurs principales priorités pour les années à venir.

Ce que vous pouvez voir dans une démo

Une démonstration ciblée vous montrera comment une plateforme ISMS mutualisée recense les risques communs une seule fois, puis les réutilise pour plusieurs clients sans perdre les spécificités propres à chaque client. C'est aussi l'occasion de tester l'adéquation des flux de travail, des contrôles d'accès et des vues de reporting avec le fonctionnement réel de votre MSP, afin de vous assurer que votre achat n'est pas purement théorique. Les guides des fournisseurs et des experts, notamment ceux d'ISMS.online, soulignent souvent que les outils ISMS développés en interne et basés sur des tableurs peuvent engendrer des coûts importants en matière d'ingénierie, de gouvernance et d'audit, à mesure que vos obligations et les attentes de vos clients augmentent.

Une plateforme comme ISMS.online peut vous offrir :

Un modèle de risque structuré qui prend déjà en compte les actifs, les contrôles, les traitements et les exigences de la norme ISO 27001.
La capacité de maintenir une bibliothèque globale des risques courants liés aux fournisseurs de services gérés et de les instancier par locataire en fonction du contexte local.
Segmentation claire des données des locataires, avec un accès basé sur les rôles pour vos équipes et les parties prenantes du client.
Des flux de travail liés pour l'évaluation des risques, leur traitement, l'audit interne et la revue de direction, afin que le risque ne se résume jamais à une simple feuille de calcul statique.
Des rapports qui répondent à la fois à vos besoins de certification et à des synthèses des risques prêtes à être présentées à vos clients.

Vous pourriez en réaliser une partie vous-même avec des tableurs et des outils génériques, mais cela impliquerait des coûts continus en matière d'ingénierie, de gouvernance et d'audit. Explorer une plateforme qui a déjà permis à de nombreuses organisations de résoudre ces problèmes peut vous éviter bien des tâtonnements.

Comment déterminer si une plateforme vous convient ?

Pour déterminer si ISMS.online répond à vos besoins, venez à la démonstration avec quelques scénarios concrets : un service partagé complexe, un client exigeant ou un audit récent. La visualisation de ces cas sur la plateforme vous en apprendra davantage qu’une simple liste de fonctionnalités, car elle recentre la discussion sur vos contraintes et objectifs réels.

Si vous souhaitez découvrir concrètement à quoi ressemble un registre des risques ISO 27001 mutualisé, en fonction de vos propres scénarios et questions, vous pouvez organiser une courte session avec l'équipe ISMS.online. Cet échange vous permettra de tester les concepts présentés ici dans votre environnement, de planifier la migration depuis vos registres actuels et de déterminer si une plateforme ISMS dédiée constitue la base idéale pour votre prochaine phase de développement.

Demander demo

Foire aux questions

En quoi un registre des risques ISO 27001 multi-locataires diffère-t-il des feuilles de calcul distinctes par client pour un MSP ?

Un registre des risques ISO 27001 mutualisé vous offre une structure de gestion des risques cohérente pour tous vos clients, au lieu de dizaines de feuilles de calcul fragiles et divergentes.

Pourquoi les feuilles de calcul par client cessent-elles de fonctionner à mesure que votre MSP se développe ?

À petite échelle, une feuille de calcul par client semble gérable. Mais dès qu'on a dix, vingt ou cinquante locataires, les problèmes deviennent difficiles à ignorer :

Le même scénario (« compromission RMM », « panne de la plateforme de sauvegarde », « défaillance du fournisseur d'identité ») apparaît, formulé en des termes légèrement différents, dans chaque fichier.
Chaque feuille se divise en ses propres échelles de notation et étiquettes.
Personne n'ose modifier quoi que ce soit globalement de peur d'oublier un onglet et de créer des incohérences.

Cela rend les questions de portefeuille les plus simples fastidieuses. « Quels clients présentent encore un risque résiduel élevé sur notre RMM partagé ? » peut nécessiter des heures de recherche manuelle, de copier-coller et de vérification. Cela fragilise également votre argumentation auprès des auditeurs et des conseils d’administration, car vous savez que certains risques sont systémiques, mais vos preuves sont dispersées et difficiles à comparer.

Un registre des risques mutualisé vous évite de dupliquer la logique dans chaque feuille de calcul et vous permet de gérer une infrastructure unique et intégrée. Vous continuez d'identifier, d'évaluer, de traiter et de réviser les risques pour chaque locataire, mais vous le faites grâce à une vue structurée unique qui reflète le fonctionnement réel de vos services gérés.

Lorsque vous centralisez la structure, vous pouvez répondre aux questions relatives à l'ensemble du portefeuille en quelques clics, et non en quelques jours, et vous vous donnez une base beaucoup plus solide pour les normes ISO 27001, NIS 2 et les cadres similaires.

Comment fonctionne concrètement un modèle de risque multi-locataires ?

Dans un modèle multi-locataire, vous détenez votre Catalogue des risques à l'échelle du MSP une fois, puis créez instances spécifiques au locataire qui font référence à ces modèles.

Chaque instance comporte :

Un identifiant de locataire, un service et un environnement.
Évaluation locale, propriété, choix du traitement et date de révision.
Des indicateurs clairs permettent de déterminer si le risque est imputable au fournisseur de services gérés, au client ou s'il est partagé.

Cela vous permet de filtrer clairement par client tout en conservant une vue d'ensemble du portefeuille et des lignes de services. Les risques partagés, tels que l'accès privilégié à votre plateforme RMM ou la résilience d'un service de sauvegarde centralisé, sont définis une seule fois, mis à jour une seule fois et réutilisés partout où ils s'appliquent.

Un système intégré de gestion de la sécurité de l'information tel qu'ISMS.online prend déjà en charge ce modèle mutualisé. Vous passez ainsi de fichiers dispersés à un système de gestion de la sécurité de l'information centralisé, sans avoir à concevoir vous-même les structures, les relations ou les contrôles d'accès.

Quand est-il judicieux d'abandonner les tableurs ?

Vous savez qu'il est temps de déménager quand :

Répondre à une question relative aux risques d'un portefeuille, que ce soit pour la direction ou un client important, prend plus d'une journée de travail.
Le même risque lié au service apparaît formulé différemment et avec des scores différents dans plusieurs feuilles de calcul.
Les auditeurs ou les clients clés commencent à vous interroger sur la manière dont vous gérez les risques partagés sur l'ensemble de votre plateforme, et non plus seulement dans leur propre périmètre.

À ce stade, un système de gestion de l'information mutualisé (SMSI) concerne moins l'organisation que la protection de vos marges, de votre réputation et de votre capacité à parler de manière crédible des risques à mesure que vous évoluez.

Quels sont les champs et métadonnées essentiels qui rendent un registre des risques d'un fournisseur de services gérés multi-locataires véritablement facile à utiliser pour les auditeurs ?

Un registre des risques multi-locataires facile à utiliser pour les auditeurs permet à quiconque de sélectionner n'importe quel risque et de voir, en un seul endroit, ce qui pourrait arriver, pourquoi c'est important, qui en est responsable et ce qui a été fait.

Quelles informations doivent figurer dans chaque dossier de risques multi-locataires ?

Pour un MSP, chaque fiche de risque doit systématiquement répondre à cinq questions :

Qu'est-ce qui pourrait arriver?
Une description concise du risque qui établit un lien entre une menace, une vulnérabilité et un impact.
À quoi ?
Le locataire, le service et le(s) bien(s) concerné(s).
En quoi est-ce important?
Impact sur la confidentialité, l'intégrité et la disponibilité, ainsi que sur tout engagement contractuel ou réglementaire.
Que faites-vous à ce sujet ?
Contrôles existants, option de traitement choisie et actions prévues.
À qui appartient le résultat ?
Propriétaire(s) désigné(s) de votre côté et, le cas échéant, du côté du client.

Concrètement, cela signifie généralement des champs pour :

Identifiant du risque, identifiant du locataire et nom du locataire.
Service ou environnement (par exemple, « Point de terminaison géré – Production »).
Détails des actifs et déclaration de risques standardisée.
Domaines d'impact et scores de probabilité/impact inhérents.
Contrôles existants alignés sur l'annexe A de la norme ISO 27001 et autres référentiels que vous utilisez.
Option de traitement (réduire, éviter, transférer, accepter) et date cible.
Évaluation du risque résiduel après traitement.
Responsable du risque, responsables des actions, statut et date de révision.
Indicateur de responsabilité (MSP, client, partagé).

Si vos enregistrements suivent ce modèle, les auditeurs et les clients peuvent retracer les décisions, du scénario au traitement, en quelques clics, au lieu de devoir déduire votre intention à partir de notes éparses.

En quoi les métadonnées supplémentaires rendent-elles votre registre MSP plus utile au quotidien ?

Une fois les bases acquises, l'ajout de quelques champs de métadonnées bien choisis transforme votre registre en un outil d'aide à la décision plutôt qu'en une simple archive de conformité. Voici quelques exemples courants :

Secteur d'activité, taille et situation géographique du locataire.
Niveau de criticité (pour votre entreprise et pour le client).
Profil réglementaire (par exemple, « lié au NHS », « PCI dans le champ d’application », « soumis à NIS 2 »).

Une fois cela en place, des questions comme « Quels clients britanniques réglementés présentent encore un risque résiduel élevé en matière d’accès à distance ? » ou « Quels locataires du secteur de la santé dépendent de notre plateforme de sauvegarde existante ? » deviennent de simples questions, et non des mini-projets.

ISMS.online intègre un schéma conforme à la norme ISO 27001 qui anticipe déjà ces besoins. Vous modélisez les locataires et les services une seule fois, ajoutez les métadonnées pertinentes pour votre MSP, puis utilisez cette structure pour répondre aux questions que vous posent les auditeurs, les clients et votre direction.

Comment cette structure permet-elle de réduire le bruit pour les auditeurs et votre propre équipe ?

Une structure claire et des métadonnées pertinentes raccourcissent les discussions. Au lieu de longs échanges d'e-mails pour tenter d'interpréter une ligne d'un tableur, vous pouvez :

Accompagner un auditeur, d'une clause à un contrôle, puis à un risque concret et aux preuves de son traitement.
Fournissez aux ingénieurs des listes de tâches filtrées, axées sur les risques résiduels les plus élevés dans leur secteur d'activité.
Fournir aux équipes commerciales des vues concises et reproductibles qu'elles peuvent partager lors des revues trimestrielles d'activité (QBR).

Ce changement de perspective – passer de « interpréter ce que ce document essaie de dire » à « utiliser ces données pour décider de la suite des opérations » – est l’un des moyens les plus rapides d’alléger la pression qui pèse sur vos praticiens et vos examinateurs externes.

Comment un fournisseur de services gérés peut-il standardiser les risques communs liés à la norme ISO 27001 entre ses locataires sans perdre le contexte de chaque client ?

Vous standardisez les risques communs de la norme ISO 27001 en définissant une seule fois des modèles partagés, puis en laissant chaque instance locataire gérer son propre système de notation, ses propres contrôles et son propre contexte métier.

À quoi ressemble concrètement un modèle de risque MSP réutilisable ?

Dans un portefeuille MSP classique, une grande partie des risques provient de scénarios récurrents : hameçonnage, ransomware, utilisation abusive d’identifiants privilégiés, défaillance d’un service de surveillance ou de sauvegarde partagé, interruptions de service chez un fournisseur, etc. Il est rarement souhaitable de réinventer la roue en matière de description et de contrôle des incidents.

Un modèle réutilisable dans votre SMSI comprend généralement :

Une déclaration de risques standard.
Services et actifs typiques concernés.
Contrôles et processus de soutien suggérés à l'annexe A.
Exemples d'indicateurs permettant de voir si le risque augmente ou diminue.

Pour chaque client, vous créez ensuite une instance de ce modèle et :

Reliez-le à leurs actifs, identités et classifications de données spécifiques.
Ajuster la probabilité et l'impact sur leur utilisation du service et leur cadre réglementaire.
Consignez leurs commandes réelles et les éventuelles lacunes.
Convenir des actions de traitement concrètes et revoir le rythme.

Considérez le modèle comme un moule et chaque instance locataire comme un moulage façonné par la réalité de ce client.

Avec le temps, vous identifierez les risques locaux récurrents, notamment la manière dont les clients intègrent l'identité, exposent les interfaces de gestion ou dépendent de l'accès distant tiers. Lorsqu'un même scénario se produit chez plusieurs locataires, vous pouvez l'intégrer à la bibliothèque principale et éviter de le résoudre systématiquement.

Comment éviter la standardisation par cases à cocher ?

La standardisation ne devient qu'une simple formalité si elle masque les différences qui comptent vraiment. On évite cela en :

Indiquer clairement quels éléments sont partagés et lesquels doivent être personnalisés.
Intégrez des contrôles à votre processus afin qu'un échantillon de cas locataires soit comparé à la réalité réelle, et non pas seulement au modèle.
Faites de la place dans votre catalogue pour les nouveaux modèles découverts par les ingénieurs, et pas seulement pour ceux inscrits sur un tableau blanc.

Bien conçue, la bibliothèque offre aux ingénieurs et aux gestionnaires de comptes un point de départ, et non un carcan. Elle permet de bénéficier de l'efficacité d'un langage commun et de concepts de contrôle, tout en laissant la possibilité de s'adapter aux besoins, à l'architecture et aux obligations de chaque client.

Un système de gestion de la sécurité de l'information (SGSI) comme ISMS.online est conçu autour de ce modèle bibliothèque-plus-instance, ce qui vous permet de garder votre catalogue de risques à la fois bien organisé et ancré dans la réalité de vos services gérés actuels.

Comment les fournisseurs de services gérés (MSP) doivent-ils concevoir le modèle de données sous-jacent d'un registre des risques ISO 27001 multi-locataires ?

Le modèle de données sous-jacent à votre registre multi-locataires doit rendre impossible le mélange accidentel des données des locataires, mais permettre de voir facilement comment les plateformes partagées engendrent des risques pour l'ensemble de votre portefeuille.

Quels sont les éléments constitutifs essentiels d'un modèle mutualisé sécurisé ?

La plupart des modèles MSP performants partagent quelques composants de base :

Locataires ou organisations : – représentant chaque environnement client.
Services et actifs : – décrire ce que vous livrez et sur quoi cela fonctionne.
Modèles et exemples de risques : – modèles partagés et enregistrements spécifiques aux clients.
Contrôles et preuves : – mesures techniques, procédurales et organisationnelles, ainsi que la documentation justificative.
Incidents et changements : – des événements qui déclenchent de nouveaux risques ou des réévaluations.

Les liens entre ces éléments sont essentiels. Un seul incident de risque peut être lié à une plateforme partagée, à l'utilisation de cette plateforme par un client spécifique, aux contrôles ISO 27001 et NIS 2 sur lesquels vous vous appuyez, et au dernier incident ayant entraîné une modification de votre score. C'est cette chaîne de causalité qui vous permet de fournir une explication cohérente lorsqu'on remet en question votre gestion des risques.

Du point de vue de la location, les fournisseurs de services gérés (MSP) ont tendance à choisir l'un des trois modèles suivants :

Bases de données isolées par locataire, avec une couche de reporting par-dessus.
Une base de données partagée où chaque ligne comporte une clé de locataire et des contrôles d'accès stricts.
Un modèle hybride où les locataires à haute sensibilité sont isolés et les autres partagent l'infrastructure.

Quel que soit votre choix, vous souhaitez un modèle qui permette un filtrage sans ambiguïté au niveau du locataire et des vues au niveau du portefeuille sûres et précises.

Comment savoir si votre modèle actuel résistera à un examen externe ?

Un test rapide et honnête consiste à vérifier si vous pouvez effectuer les opérations suivantes sans recourir à des solutions de contournement manuelles :

Extraire tous les risques, contrôles et preuves relatifs à un seul locataire sans divulguer les données de quiconque d'autre.
Indiquez quels locataires sont concernés si vous modifiez un modèle partagé ou si vous mettez hors service une plateforme héritée.
Produire une vue filtrée des enregistrements relevant du champ d’application de la norme ISO 27001, NIS 2, DORA ou SOC 2 sans modification manuelle des listes.

Si ces tâches s'avèrent complexes ou peu fiables, les auditeurs et les organismes de réglementation finiront par ressentir la même gêne. Opter pour un système de gestion de la sécurité de l'information (SGSI) conçu pour une utilisation multi-entités, tel que ISMS.online, signifie que la plateforme prend en charge les questions de location, de périmètre et de liaison, vous permettant ainsi de vous concentrer sur la prise de décisions éclairées en matière de gestion des risques plutôt que sur le débogage de votre propre schéma.

Quels sont les flux de travail pratiques permettant de maintenir à jour un registre des risques ISO 27001 multi-locataires pour de nombreux clients MSP ?

Un registre mutualisé ne gagne la confiance que s'il évolue au même rythme que vos services gérés, et non pas seulement au rythme de vos audits externes.

Quels sont les flux de travail récurrents les plus importants pour maintenir le registre actif ?

La norme ISO 27001 exige d'identifier, d'évaluer, de traiter et de surveiller les risques. Pour un fournisseur de services gérés (MSP), le défi consiste à traduire ce cycle en comportements concrets adaptés au travail du client. Les configurations les plus efficaces reposent généralement sur quelques flux de travail prévisibles :

Intégration et changement : – L’arrivée de nouveaux clients et les changements importants apportés aux services déclenchent des schémas de risque définis, et non pas un simple examen de routine.
Signaux opérationnels : – Les incidents, les constats de vulnérabilité, les changements de fournisseurs et les alertes de surveillance créent ou mettent à jour des risques liés, plutôt que de générer des tickets déconnectés.
Notation et étalonnage : – il existe une grille d’évaluation claire et simple de la probabilité et de l’impact, de sorte que « élevé » chez un locataire commercial ressemble globalement à « élevé » chez un locataire du secteur de la santé.
Traitement et responsabilisation : – Les décisions d’accepter, de réduire, de transférer ou d’éviter un risque sont enregistrées avec les noms des responsables et les dates d’échéance, tant du côté du MSP que du client.
Cadence de révision : – Des examens périodiques sont programmés par risque ou par service, avec des rappels et une visibilité en cas d'oubli.

Vous pouvez schématiser ces flux dans des manuels et des diagrammes RACI, mais le travail devient beaucoup plus facile lorsque le système de gestion de l'information (SGSI) prend en charge les tâches les plus ardues : attribution des tâches, envoi de rappels, liaison des preuves et affichage des examens en retard sur les tableaux de bord.

ISMS.online a été conçu pour ce type de contrôle. Plutôt que de devoir penser à « mettre à jour le tableau des risques avant l’arrivée de l’auditeur », votre équipe visualise la gestion des risques au même titre que les tickets, les modifications et les autres activités qui rythment déjà leur quotidien.

Comment maintenir l'implication active des clients au lieu de porter soi-même toutes les décisions relatives aux risques ?

Plus votre entreprise grandit, plus il est risqué de prendre des décisions à la place du client sans son accord explicite. Maintenir l'engagement des clients est plus facile lorsque :

Chaque risque rend la propriété évidente : MSP, client ou partagée, avec des noms et pas seulement des rôles.
Les séances d'examen utilisent des résumés visuels simples qui mettent en évidence les principaux risques, les changements intervenus et vos recommandations.
Les décisions sont formulées en langage commercial (« accepter ce risque », « investir dans des contrôles supplémentaires », « adapter le service ») plutôt qu'en jargon de sécurité.

En consignant ces décisions dans votre SMSI, vous constituez un historique qui protège les deux parties. Si un organisme de réglementation, un auditeur ou un nouveau RSSI vous demande ultérieurement « Pourquoi avons-nous accepté cela ? », vous pouvez lui indiquer quand la question a été abordée, quelles options ont été présentées et qui a donné son accord.

Comment les fournisseurs de services gérés peuvent-ils transformer un registre des risques multi-locataires en rapports que les clients apprécient réellement ?

Les clients apprécient votre registre lorsqu'il les aide à visualiser et à maîtriser leur exposition, et non lorsqu'il ne s'agit que d'un simple outil de conformité invisible.

Quels types de rapports importent généralement le plus aux parties prenantes des MSP ?

On trouve généralement trois publics qui ont besoin de différentes facettes d'une même vérité sous-jacente :

Votre propre leadership : – s’intéresse aux thèmes transversaux, à la concentration des risques dans les plateformes partagées, aux tendances du risque résiduel par ligne de service et zone géographique, et à la façon dont cela s’aligne sur les revenus.
Le leadership de chaque client : – souhaite une vision claire et pragmatique de ses principaux risques, des changements intervenus depuis la dernière fois et des domaines où il compte sur vous.
Équipes opérationnelles : – aussi bien vos ingénieurs que le personnel informatique et de sécurité du client, qui ont besoin de listes tactiques des risques ouverts, des actions en retard et des dépendances.

Lorsque les trois points de vue proviennent d'un registre structuré multi-locataires unique, vous n'avez plus besoin de réinventer vos présentations pour chaque réunion. Vous pouvez répondre aux questions « Quels sont les trois principaux risques pour l'ensemble du portefeuille ce trimestre ? » et « Quels risques importants avons-nous neutralisés pour ce client depuis notre dernier examen ? » en utilisant les mêmes données.

ISMS.online ajoute des tableaux de bord de portefeuille et des exportations prêtes à l'emploi pour les clients en plus du registre, de sorte que la création de ces vues fait partie de votre rythme normal plutôt que d'un effort ponctuel.

Comment une meilleure gestion des risques renforce-t-elle la position commerciale de votre fournisseur de services gérés ?

Au fil du temps, un reporting régulier modifie la façon dont les clients vous perçoivent :

Les conseils d'administration et les organismes de réglementation considèrent que vous gérez les risques de manière systémique, et non comme une simple réflexion après coup avant chaque audit.
Les discussions relatives aux comptes ouvrent naturellement la voie à des mises à niveau de service ou à des contrôles supplémentaires, car les risques et les tendances résiduels sont visibles plutôt qu'implicites.
Les clients potentiels qui comparent les fournisseurs peuvent constater que vous êtes l'un des rares MSP à offrir une analyse structurée et reproductible des risques et de la conformité au lieu de simples résumés Excel ponctuels.

Pour de nombreux fournisseurs, cette évolution – de « nous réagissons rapidement lorsqu’un problème survient » à « nous pouvons vous montrer, en langage clair, votre niveau de sécurité et les prochaines étapes à prioriser » – transforme un système de gestion de la sécurité de l’information d’un coût interne en un élément visible de votre proposition de valeur.

Si vous souhaitez que votre organisation soit reconnue comme un partenaire de sécurité et de conformité à long terme plutôt que comme un simple prestataire de services, l'une des manières les plus fiables d'y parvenir est de fonder ces pratiques de reporting sur un registre des risques mutualisé.

Nous sommes un leader dans notre domaine

Responsable régional - Hiver 2026 Royaume-Uni

Responsable régional - Hiver 2026 Marché intermédiaire UE

Responsable régional - Hiver 2026 Marché intermédiaire EMEA

« ISMS.Online, outil exceptionnel pour la conformité réglementaire »
— Jim M.

« Facilite les audits externes et relie de manière transparente tous les aspects de votre SMSI »
— Karen C.

« Solution innovante pour la gestion des accréditations ISO et autres »
— Ben H.

Comment créer un registre des risques ISO 27001 multi-locataire pour les MSPS