Cadrer les interventions des fournisseurs en télémaintenance, pas si simple

Cela paraît simple, mais dans les faits ce n'est pas si trivial. Les interventions se classent en effet en deux catégories : celles qui correspondent à des changements programmés (au sens ITIL), et celles qui correspondent à des interventions en urgence suite à un incident (ITIL encore).

Pour la première catégorie, dans l'idéal, l'intervention à distance est partie intégrante du processus de gestion de changement au sein de la DSI...quand il existe et a été formalisé, ce qui est rarement le cas. Rentrer dans une telle démarche nécessite une gestion prévisionnelle des changements (comité du changement, décision collégiale, présence de la MOA, etc.), une qualification par les équipes AMOA, une gestion de planning des équipes d'exploitation, etc. La difficulté n'est donc absolument pas technique (le seul outil nécessaire est un fichier Excel) : il s'agit d'une question de maturité de la DSI.

Pour la seconde catégorie, toute la question concerne le mode d'appel du fournisseur en cas d'incident. Si le fournisseur est appelé en direct par les utilisateurs et que la DSI n'a pas mis en place d'astreinte, rien n'est possible. Mais même dans le cas contraire, une intervention même en urgence doit être validée par un référent fonctionnel, passer par une phase de qualification à minima : j'ai en mémoire des cas d'intervention de sociétés pourtant réputées dans l'informatique de laboratoire, qui ont planté le logiciel métier principal pendant tout un week-end à cause d'une intervention à la mode cow-boy.

Enfin quel est le besoin réel : s'agit-il d'ouvrir une barrière « à la demande » ? Si tel est le cas, le garde-barrière doit connaître les raisons de l'ouverture sans quoi sa valeur ajoutée est nulle et autant le remplacer par un portail automatisé de gestion des demandes. S'il s'agit de tracer ce que font les fournisseurs, le besoin est différent car il nécessite de mettre en place des bastions d'administration, sans pour autant fermer la barrière. S'il s'agit enfin de protéger l'accès à des données sensibles (données de santé par exemple), c'est encore autre chose : dans un monde toujours parfait, les fournisseurs ne doivent pas accéder à ce type de données. Dans les faits, je n'ai encore jamais rencontré un établissement de santé public ou privé qui ait séparé les environnements pour protéger ses données de santé.