S’informer sur le prestataire et son organisation

4La première question est sans doute de savoir si l’éditeur de l’application est également l’hébergeur de la solution et des données s’y rapportant. Dans le cas contraire, il est fort probable que l’application n’est pas en mode SaaS mais en mode ASP [5]. Ce mode ASP complique l’examen de la sûreté globale du projet puisqu’il faudra s’enquérir de ce que fait l’éditeur (développeur) pour maîtriser son hébergeur par le biais d’un contrat établi entre les deux parties.

5Dès que la certitude est acquise que le fournisseur que l’on a pressenti édite et héberge la solution, s’intéresser à ses références augmentera la crédibilité de son offre. Si le prestataire est inconnu ou ne peut pas citer de noms de clients auxquels s’adresser pour avoir leur retour d’expérience, il sera préférable de l’éviter. Plutôt que de devoir remédier ultérieurement aux conséquences d’une confidentialité mal assurée, il vaut mieux ne pas s’adresser à un fournisseur peu sûr.

6Si les données et documents que vous souhaitez manipuler au travers de l’applicatif en mode SaaS sont particulièrement sensibles, il sera possible d’accroître le niveau de détails donnés en s’informant des méthodes utilisées par le prestataire en matière de recrutement de ses personnels et d’achats de services auprès de sociétés tierces en posant des questions sur les clauses de confidentialité de ses contrats.

Obtenir des détails sur l’applicatif

7L’applicatif doit pouvoir disposer des fonctionnalités de base pour l’administration et la sécurisation des accès. En tant que client, vous devez pouvoir gérer les autorisations d’accès au cloud de vos propres utilisateurs en toute indépendance du prestataire. Pour cela, vous devez disposer d’un droit d’administration et de possibilités de paramétrer, avec une certaine finesse, les autorisations de lecture/écriture de telles ou telles catégories de données ou de documents, ou de structuration de répertoires. Cela permet à votre administrateur d’élaborer, lui aussi, la stratégie de protection des données au sein de votre propre organisation.

8Il convient de s’intéresser au fonctionnement de la solution logicielle. L’interrogation doit se porter sur l’étanchéité effective des espaces « données-documents » utilisés par les clients différents du même applicatif. Ainsi, pour certains logiciels de veille en mode SaaS, la liste des sources à surveiller est initialement fournie par le prestataire. Mais, dans certains cas, elle peut être enrichie par les clients du progiciel de façon non protégée.

Connaître les choix du prestataire en matière de sûreté des communications et de sauvegarde

9Comme le principe même d’un applicatif en mode SaaS est de passer par Internet pour l’utiliser, il convient d’aborder le sujet de la sûreté du réseau et de la lutte contre les intrusions logicielles dont pourrait être victime le prestataire que l’on sélectionne.

10La liaison Internet vers l’applicatif doit être sécurisée et porter le logo mentionnant le cryptage des informations échangées, notamment lors de la connexion de l’utilisateur [6]. La vérification de l’éditeur du certificat et sa date d’échéance sont des informations supplémentaires qui peuvent être vérifiées aisément.

11Chercher à savoir comment s’organise le fournisseur pour sécuriser les flux entrants est pertinent, même si obtenir des réponses est difficile. Vous montrerez combien vous êtes sensible à cette problématique en le questionnant sur ses équipements de protection ou sur l’existence d’indicateurs concernant les tentatives d’intrusion stoppées par son pare-feu.

12Le dernier aspect portant sur l’immatériel sera celui des stratégies de sauvegarde et leur insensibilité à la propagation des malwares [7] de type crypto-lockers [8]. Ces logiciels malveillants ont pour effet de crypter tous les fichiers accessibles par le biais du réseau interne du prestataire. Les sauvegardes, reliées au réseau, deviennent inexploitables une fois codées par le ransomware [9] : la restauration du système devient compliquée. À ce titre, le prestataire devrait pouvoir parler de ses méthodes de sauvegarde, de ses plans de reprise d’activité (PRA) ou de continuation de l’activité (PCA) après une cyberattaque. L’apport d’éléments tangibles sur leur test périodique en conditions réelles serait un plus avant de lui confier le résultat de vos activités en utilisant son applicatif en mode SaaS.

S’informer sur l’infrastructure physique

13Il est impératif de ne pas négliger l’infrastructure physique contenant l’applicatif, les données et les documents. Ceci est incontournable pour identifier le risque juridique et ceux encourus physiquement par les infrastructures et équipements du fournisseur.

14Le risque juridique est lié au fait que la loi applicable est celle du lieu où sont hébergés les documents et données, voire celle de la nationalité du prestataire. Selon les États, le cadre légal est plus ou moins contraint par le législateur [10]. En fonction de la criticité des données que vous souhaitez confier à l’applicatif en mode SaaS, connaître le pays d’implantation du fournisseur vendant le service, sa nationalité et les lois applicables en matière d’accès aux informations dématérialisées peut conduire à refuser l’offre de ce fournisseur.

15La configuration des locaux devrait être aussi abordée : l’extinction d’un départ de feu dans des locaux proches peut anéantir la salle des serveurs en sous-sol du fait des eaux de ruissellement liées à l’intervention des pompiers, etc. Questionner le prestataire sur la gestion des autorisations d’entrée sur son site, de l’accès aux salles des serveurs, ou sur l’emplacement des salles informatiques dans les locaux prend alors du sens.

Le client se connecte pour télécharger le document

18Cette situation se rapproche du cas évoqué en première partie. Ce logiciel, sur lequel le client va se connecter, peut être situé sur un système d’information propre ou hébergé par un hôte. Dans les deux cas, l’applicatif qui contient le livrable doit permettre une administration fine. Il est alors possible de créer un accès temporaire au client en lui attribuant un profil et en lui remettant des codes d’accès. Les autorisations utiles au seul retrait des livrables sont associées au client, pour une durée limitée. On trouve ce mode de fonctionnement chez certains vendeurs de documentations en ligne où le téléchargement des documents achetés ne peut se faire que pendant une durée déterminée.

19Dans le cas d’un système d’information propre, parfaire la filtration de l’accès par le biais de la connaissance préalable des adresses MAC [11] des équipements du client doit être envisagé. Contrairement aux adresses IP qui peuvent être choisies, les adresses MAC sont affectées, dès l’origine, au matériel. Difficilement modifiables, elles permettent de reconnaître le périphérique ou l’ordinateur qui cherche à entrer sur le réseau. L’administrateur du réseau augmentera le niveau de sûreté en rejetant les demandes de connexion émanant d’équipements non autorisés.

Le document est remis chez le client en mode « push »

20Une autre solution peut être le transfert, chez le client, des livrables attendus. L’erreur courante est l’envoi, sans chiffrement préalable, du document demandé par le client, par le biais d’une messagerie électronique comme Gmail, ou la mise à disposition sur Drive ou Dropbox. Pour assurer la confidentialité du contenu des fichiers envoyés, il est préférable de les crypter préalablement.

21Le client remet une clé publique à utiliser pour chiffrer [12] le document. Cette clé n’a pas besoin de mesure de protection particulière : comme son nom l’indique, elle est accessible à tous et ne sert qu’à crypter le document. Le client dispose d’une clé privée qui lui permettra de déchiffrer le document. Sans la clé privée, le déchiffrement du document est rendu extrêmement difficile, limitant toute chance de pouvoir accéder à son contenu. Cette méthode, applicable à toutes natures de fichiers, permet de « pousser » le document chez le client par le biais d’une messagerie ou par une solution cloud.

22Lorsque la sensibilité des documents n’est pas extrême, des solutions intermédiaires peuvent être trouvées comme le cryptage de fichier au format PDF. Plus simple à mettre en œuvre, cette procédure présente l’inconvénient de limiter la nature des fichiers de départ (texte, présentation), d’empêcher ultérieurement leur modification aisée par le client et de devoir partager un mot de passe avec le client destinataire afin qu’il puisse décrypter le livrable. Cette possibilité de chiffrement est disponible en standard dans la plupart des logiciels de conversion au format PDF, comme PDFCreator, FoxitReader, CutePDF, etc.

23Le client peut également permettre un accès temporaire sur son propre système d’information. L’emploi d’un logiciel de transfert de fichier en mode FTP [13] permet de remettre au client les documents qu’il attend. Notons qu’avec cette méthode, le client porte la plus grande partie de la sécurisation de l’échange de données mais garde ainsi la maîtrise des mesures de sûreté.