[et_pb_section fb_built=\u00a0\u00bb1″ _builder_version=\u00a0\u00bb4.27.6″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb][et_pb_row _builder_version=\u00a0\u00bb4.27.6″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb][et_pb_column type=\u00a0\u00bb4_4″ _builder_version=\u00a0\u00bb4.27.6″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb][et_pb_text _builder_version=\u00a0\u00bb4.27.6″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb hover_enabled=\u00a0\u00bb0″ global_colors_info=\u00a0\u00bb{}\u00a0\u00bb sticky_enabled=\u00a0\u00bb0″]<\/p>\n
Dans le paysage SaaS actuel, la s\u00e9curit\u00e9 n\u2019est plus une r\u00e9flexion technique apr\u00e8s coup. Les acheteurs doivent \u00eatre vigilants et bien inform\u00e9s sur les fonctionnalit\u00e9s de s\u00e9curit\u00e9 et les conformit\u00e9s d\u00e9clar\u00e9es d\u2019un logiciel. <\/p>\n
Consid\u00e9rez l\u2019enqu\u00eate Gartner\u2019s 2025 Software Buying Trends<\/a>, qui illustre l\u2019importance croissante de la s\u00e9curit\u00e9. Le nombre d\u2019acheteurs citant la gestion et la pr\u00e9vention des menaces de s\u00e9curit\u00e9<\/a> comme un d\u00e9fi commercial majeur a augment\u00e9 de 46 % par rapport \u00e0 l\u2019ann\u00e9e pr\u00e9c\u00e9dente. L\u2019att\u00e9nuation des vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 est d\u00e9sormais la principale pr\u00e9occupation lors de l\u2019achat d\u2019un logiciel. <\/p>\n Peu importe la richesse des fonctionnalit\u00e9s ou la convivialit\u00e9 d\u2019une solution. Si elle n\u2019est pas s\u00e9curis\u00e9e, les acheteurs n\u2019iront pas plus loin. <\/p>\n Pour les organisations qui n\u2019ont pas de sp\u00e9cialiste de la cybers\u00e9curit\u00e9 dans leur \u00e9quipe d\u2019approvisionnement, il devient de plus en plus critique de comprendre quelles normes de s\u00e9curit\u00e9 comptent et quelles affirmations ne sont que du jargon marketing.<\/p>\n Nous avons \u00e9labor\u00e9 une liste de contr\u00f4le compl\u00e8te de la s\u00e9curit\u00e9 SaaS pour vous aider \u00e0 y voir plus clair. Que vous examiniez un logiciel de gestion de troph\u00e9es ou n\u2019importe quelle solution cloud, vous pouvez utiliser cette ressource pour vous aider \u00e0 comprendre de quelles fonctionnalit\u00e9s de cybers\u00e9curit\u00e9 vous avez besoin, ce que signifie la terminologie et comment \u00e9valuer n\u2019importe quel fournisseur SaaS en toute confiance. <\/p>\n Utilisez la liste de contr\u00f4le suivante comme cadre pratique lors de l\u2019\u00e9valuation de n\u2019importe quelle solution.<\/p>\n Ce qu\u2019il faut rechercher :<\/strong> Le chiffrement emp\u00eache vos donn\u00e9es d\u2019\u00eatre lues par des parties non autoris\u00e9es, tant pendant leur transmission que lorsqu\u2019elles sont au repos dans un stockage de donn\u00e9es.<\/p>\n Pourquoi c\u2019est important :<\/strong> Les donn\u00e9es non chiffr\u00e9es en transit sont vuln\u00e9rables \u00e0 l\u2019interception. Les donn\u00e9es non chiffr\u00e9es au repos peuvent \u00eatre expos\u00e9es lors d\u2019une violation. Les deux sont inacceptables pour les solutions g\u00e9rant des soumissions sensibles, des informations personnelles ou des donn\u00e9es commercialement confidentielles. <\/p>\n En savoir plus :<\/strong> Award Force prot\u00e8ge toutes les donn\u00e9es en transit \u00e0 l\u2019aide du TLS 1.3 avec un chiffrement AES-256 bits et des certificats sign\u00e9s SHA-256. Toutes les donn\u00e9es au repos sont stock\u00e9es chiffr\u00e9es par d\u00e9faut. En savoir plus sur notre protection des donn\u00e9es<\/a>. <\/p>\n Ce qu\u2019il faut rechercher :<\/strong> Un syst\u00e8me robuste de contr\u00f4le d\u2019acc\u00e8s bas\u00e9 sur les r\u00f4les (RBAC) garantit que chaque utilisateur ne peut voir et faire que ce qu\u2019il est cens\u00e9 faire, et rien de plus.<\/p>\n Pourquoi c\u2019est important :<\/strong> Un acc\u00e8s trop permissif est l\u2019une des causes les plus courantes d\u2019exposition interne des donn\u00e9es. Qu\u2019il soit accidentel ou malveillant, le risque qu\u2019un utilisateur acc\u00e8de \u00e0 des donn\u00e9es en dehors de sa comp\u00e9tence doit \u00eatre minimis\u00e9 par conception, et non par la seule confiance. Lors de la configuration des r\u00f4les et des autorisations, il est important de tenir compte du principe du \u00ab besoin d\u2019en conna\u00eetre \u00bb. <\/p>\n En savoir plus :<\/strong> Lisez notre article sur nos contr\u00f4les granulaires sur les r\u00f4les et les autorisations des utilisateurs<\/a>.<\/p>\n Ce qu\u2019il faut rechercher :<\/strong> La MFA ajoute une deuxi\u00e8me couche de v\u00e9rification d\u2019identit\u00e9 au-del\u00e0 du mot de passe, comme un code \u00e0 usage unique envoy\u00e9 \u00e0 un appareil mobile ou g\u00e9n\u00e9r\u00e9 par une application d\u2019authentification.<\/p>\n Pourquoi c\u2019est important :<\/strong> Les mots de passe sont r\u00e9guli\u00e8rement compromis par le phishing, le bourrage d\u2019identifiants ou les violations de donn\u00e9es. La MFA r\u00e9duit consid\u00e9rablement le risque d\u2019acc\u00e8s non autoris\u00e9, m\u00eame lorsqu\u2019un mot de passe a \u00e9t\u00e9 vol\u00e9. <\/p>\n En savoir plus :<\/strong> Gouvernance, risques et contr\u00f4le : garanties int\u00e9gr\u00e9es dans les programmes de troph\u00e9es<\/a><\/p>\n Ce qu\u2019il faut rechercher :<\/strong> L\u2019endroit o\u00f9 r\u00e9sident vos donn\u00e9es et la mani\u00e8re dont cette infrastructure est s\u00e9curis\u00e9e importent \u00e9norm\u00e9ment.<\/p>\n Pourquoi c\u2019est important :<\/strong> La s\u00e9curit\u00e9 de l\u2019infrastructure cloud est fondamentale. Les solutions construites sur des environnements cloud de classe entreprise bien architectur\u00e9s h\u00e9ritent de contr\u00f4les de s\u00e9curit\u00e9 importants. La r\u00e9sidence des donn\u00e9es est tout aussi importante : des r\u00e9glementations telles que le RGPD, la CCPA et les Australian Privacy Principles pr\u00e9cisent o\u00f9 les donn\u00e9es peuvent et ne peuvent pas \u00eatre stock\u00e9es. <\/p>\n En savoir plus :<\/strong> R\u00e9sidence des donn\u00e9es : ce que vous devez savoir<\/a><\/p>\n C\u2019est ici que les affirmations marketing sont valid\u00e9es ou d\u00e9masqu\u00e9es. Les certifications de cybers\u00e9curit\u00e9 r\u00e9put\u00e9es n\u00e9cessitent une v\u00e9rification ind\u00e9pendante par un tiers ; elles ne peuvent pas \u00eatre simplement autod\u00e9clar\u00e9es. <\/p>\n Certifications cl\u00e9s \u00e0 demander :<\/p>\n Conseil d\u2019expert :<\/strong> Ne demandez pas seulement si un fournisseur d\u00e9tient une certification, demandez \u00e0 voir le certificat. Les fournisseurs r\u00e9put\u00e9s publient des certificats t\u00e9l\u00e9chargeables sur leurs pages de s\u00e9curit\u00e9 ou de confiance. S\u2019ils ne peuvent pas ou ne veulent pas partager la documentation, consid\u00e9rez cela comme un signal d\u2019alarme. M\u00e9fiez-vous \u00e9galement des fournisseurs qui pr\u00e9tendent \u00eatre certifi\u00e9s ISO ou SOC 2, alors qu\u2019en r\u00e9alit\u00e9, c\u2019est seulement leur partenaire d\u2019h\u00e9bergement (AWS, Azure, etc.) qui d\u00e9tient cette certification. <\/p>\n En savoir plus :<\/strong> Award Force d\u00e9tient toutes les certifications ci-dessus, y compris l\u2019ISO 27001, le SOC 2 Type II, Cyber Essentials, PCI DSS et la conformit\u00e9 HIPAA, chacune appuy\u00e9e par des certificats t\u00e9l\u00e9chargeables. Visitez notre Centre de confiance<\/a>. <\/p>\n Ce qu\u2019il faut rechercher :<\/strong> Selon l\u2019endroit o\u00f9 se trouvent vos utilisateurs, votre organisation peut \u00eatre soumise \u00e0 une ou plusieurs r\u00e9glementations sur la confidentialit\u00e9 des donn\u00e9es.<\/p>\n Pourquoi c\u2019est important :<\/strong> Un fournisseur qui traite des donn\u00e9es personnelles pour votre compte devient votre sous-traitant de donn\u00e9es selon la plupart des cadres de protection de la vie priv\u00e9e. Cette relation doit \u00eatre r\u00e9gie par un contrat formel. Si un fournisseur ne peut pas produire de DPA, il n\u2019est probablement pas \u00e9quip\u00e9 pour soutenir vos obligations de conformit\u00e9. <\/p>\n En savoir plus :<\/strong> Fonctionnalit\u00e9s RGPD d\u2019Award Force<\/a><\/p>\n Ce qu\u2019il faut rechercher :<\/strong> M\u00eame avec la MFA en place, une bonne hygi\u00e8ne des mots de passe reste une ligne de d\u00e9fense critique.<\/p>\n Pourquoi c\u2019est important :<\/strong> Les mots de passe faibles ou mal stock\u00e9s figurent parmi les vuln\u00e9rabilit\u00e9s les plus couramment exploit\u00e9es lors des violations de SaaS. L\u2019approche d\u2019un fournisseur en mati\u00e8re de gestion des identifiants refl\u00e8te la rigueur de sa culture de s\u00e9curit\u00e9 globale. <\/p>\n Ce qu\u2019il faut rechercher : La s\u00e9curit\u00e9 n\u2019est pas un accomplissement ponctuel ; elle n\u00e9cessite une vigilance constante.<\/p>\n Pourquoi c\u2019est important :<\/strong> Le rapport IBM Cost of a Data Breach<\/a> montre syst\u00e9matiquement que les organisations qui identifient et contiennent rapidement les violations subissent des co\u00fbts nettement inf\u00e9rieurs. Un fournisseur engag\u00e9 dans des tests et des correctifs r\u00e9guliers d\u00e9montre des habitudes de s\u00e9curit\u00e9 proactives plut\u00f4t que r\u00e9actives. <\/p>\n Ce qu\u2019il faut rechercher :<\/strong> M\u00eame les solutions les plus s\u00e9curis\u00e9es ne sont pas \u00e0 l\u2019abri d\u2019incidents. Ce qui compte, c\u2019est la rapidit\u00e9 et la transparence avec lesquelles un fournisseur r\u00e9pond. <\/p>\n Pourquoi c\u2019est important :<\/strong> En vertu du RGPD, les organisations doivent notifier l\u2019autorit\u00e9 de contr\u00f4le comp\u00e9tente d\u2019une violation de donn\u00e9es dans les 72 heures. Le processus de notification de violation d\u2019un fournisseur affecte directement votre capacit\u00e9 \u00e0 respecter cette obligation. Demandez sp\u00e9cifiquement : \u00ab Si vous subissiez une violation affectant mes donn\u00e9es, dans quel d\u00e9lai me pr\u00e9viendriez-vous et quelles informations me fourniriez-vous ? \u00bb <\/p>\n Ce qu\u2019il faut rechercher :<\/strong> Si la solution g\u00e8re des candidatures payantes, des inscriptions ou des transactions de toute nature, la s\u00e9curit\u00e9 des paiements n\u00e9cessite une attention particuli\u00e8re.<\/p>\n Pourquoi c\u2019est important :<\/strong> Le stockage des donn\u00e9es de carte est une responsabilit\u00e9 importante. L\u2019approche la plus s\u00fbre consiste pour une solution \u00e0 transmettre les d\u00e9tails de paiement directement \u00e0 une passerelle de paiement certifi\u00e9e et \u00e0 ne jamais les conserver. Confirmez que c\u2019est bien le cas. <\/p>\n Ce qu\u2019il faut rechercher :<\/strong> Un journal d\u2019audit est un enregistrement inalt\u00e9rable et horodat\u00e9 des actions effectu\u00e9es au sein d\u2019une solution. Il est essentiel pour la responsabilit\u00e9, la conformit\u00e9 et l\u2019enqu\u00eate sur les incidents. <\/p>\n Pourquoi c\u2019est important :<\/strong> En cas de litige, d\u2019incident de s\u00e9curit\u00e9 ou d\u2019examen de conformit\u00e9, les journaux d\u2019audit fournissent des preuves v\u00e9rifiables. Pour les programmes de troph\u00e9es en particulier, o\u00f9 l\u2019int\u00e9grit\u00e9 des d\u00e9cisions du jury peut \u00eatre examin\u00e9e, une piste d\u2019audit compl\u00e8te sert \u00e9galement de puissant m\u00e9canisme de confiance. <\/p>\n En savoir plus :<\/strong> Journaux d\u2019audit<\/a> dans Award Force<\/p>\n Ce qu\u2019il faut rechercher :<\/strong> La r\u00e9silience est aussi importante que la s\u00e9curit\u00e9. Une solution doit \u00eatre capable de se r\u00e9tablir rapidement apr\u00e8s des pannes mat\u00e9rielles, des suppressions accidentelles ou des attaques par ran\u00e7ongiciel. <\/p>\n Pourquoi c\u2019est important :<\/strong> La cybers\u00e9curit\u00e9 pour les applications SaaS vise \u00e0 la fois \u00e0 pr\u00e9venir les violations et \u00e0 assurer la continuit\u00e9. Un programme de troph\u00e9es fonctionnant selon un calendrier critique ne peut pas se permettre plusieurs jours d\u2019interruption. <\/p>\n Ce qu\u2019il faut rechercher :<\/strong> La plupart des solutions SaaS modernes se connectent \u00e0 d\u2019autres outils via des API et des int\u00e9grations. Chaque connexion est une surface d\u2019attaque potentielle. <\/p>\n Pourquoi c\u2019est important :<\/strong> Une solution peut \u00eatre hautement s\u00e9curis\u00e9e de mani\u00e8re isol\u00e9e, tout en exposant vos donn\u00e9es via une int\u00e9gration mal s\u00e9curis\u00e9e. Demandez aux fournisseurs de confirmer comment les connexions tierces sont authentifi\u00e9es et audit\u00e9es. <\/p>\n Rassembler la liste de contr\u00f4le ci-dessus n\u2019est que la premi\u00e8re \u00e9tape. Voici comment la mettre en \u0153uvre efficacement lors d\u2019un processus d\u2019approvisionnement. <\/p>\n Demandez de la documentation, pas seulement des affirmations.<\/strong> N\u2019importe quel fournisseur peut \u00e9crire \u00ab nous prenons la s\u00e9curit\u00e9 au s\u00e9rieux \u00bb sur une page web. Demandez des certificats t\u00e9l\u00e9chargeables, des DPA publi\u00e9s et des liens vers des rapports d\u2019audit ind\u00e9pendants. Les fournisseurs r\u00e9put\u00e9s sont fiers de les partager. <\/p>\nLa liste de contr\u00f4le ultime de la s\u00e9curit\u00e9 SaaS<\/h2>\n
1. Chiffrement des donn\u00e9es<\/h3>\n
\n
2. Contr\u00f4les d\u2019acc\u00e8s et autorisations des utilisateurs<\/h3>\n
\n
3. Authentification multi-facteurs (MFA)<\/h3>\n
\n
4. S\u00e9curit\u00e9 de l\u2019infrastructure et de l\u2019h\u00e9bergement<\/h3>\n
\n
5. Certifications et audits ind\u00e9pendants<\/h3>\n
\n
6. Conformit\u00e9 aux lois sur la protection de la vie priv\u00e9e<\/h3>\n
\n
7. Politiques de mots de passe et s\u00e9curit\u00e9 des identifiants<\/h3>\n
\n
8. Tests de vuln\u00e9rabilit\u00e9 et tests d\u2019intrusion<\/h3>\n
\n
9. R\u00e9ponse aux incidents et notification de violation<\/h3>\n
\n
10. S\u00e9curit\u00e9 des paiements<\/h3>\n
\n
11. Journaux d\u2019audit et transparence<\/h3>\n
\n
12. Sauvegarde et r\u00e9cup\u00e9ration des donn\u00e9es<\/h3>\n
\n
13. Int\u00e9grations s\u00e9curis\u00e9es et s\u00e9curit\u00e9 des API<\/h3>\n
\n
Comment utiliser cette liste de contr\u00f4le lors de l\u2019\u00e9valuation d\u2019un fournisseur<\/h2>\n