Un gros mot pour des questions nécessaires
Une due diligence, c’est le travail de vérification avant un engagement important. Rachat, investissement, choix d’un fournisseur… Selon le contexte, on regarde les finances, le juridique, le commerce. Côté tech, on regarde le produit, les gens qui le font tourner et ce qu’il faudra pour tenir les promesses.
La question n’est pas « est-ce que le code est joli ? ». C’est plutôt « dans quoi on s’embarque ? ». Un produit peut très bien marcher et reposer sur un déploiement fragile, ou sur une seule personne qui sait où sont tous les boutons.
Montre-moi comment ça se passe un mardi
Je préfère voir un déploiement, comprendre un incident et assister à une restauration plutôt que regarder un énième schéma parfait. Qui possède les dépôts et les comptes ? Qui a les accès ? Quelles dépendances ? Quelle facture pour faire tourner tout ça ? Comment une modification arrive chez le client ?
Ensuite, on ramène ça au concret. Si l’usage double, qu’est-ce qui coince ? Si une personne clé part, qui reprend ? Si un fournisseur change ses conditions, on a une porte de sortie ? Ce sont des questions à creuser, pas des conclusions déjà écrites.
Le rapport doit servir à décider
Un constat utile dit ce qu’on a vu, ce que ça peut coûter ou bloquer, ce qu’on ne sait pas encore et ce qu’on peut faire. Un processus mal documenté et une fuite de données confirmée, ce n’est pas la même histoire. Même si les deux méritent du travail.
Ce n’est ni un pentest ni une garantie que rien ne cassera après la signature. C’est une vision plus claire des forces, des risques et du boulot qui attend. Le guide NIST ci-dessous concerne les fournisseurs : utile pour ce cas précis, pas une recette complète pour tous les rachats.