Questionnaire sécurité fournisseur SaaS : les questions à poser, nos réponses

Que contient un questionnaire sécurité pour un fournisseur SaaS ?

Un questionnaire sérieux tourne autour de six sujets. Les accès : qui, chez le fournisseur et chez vous, peut ouvrir vos informations, avec quels droits, et comment on se connecte. Le stockage : dans quel pays les informations sont conservées, comment elles sont séparées de celles des autres clients, quelles sauvegardes existent. Les incidents : comment et dans quel délai vous êtes prévenu. Les sous-traitants : quelles sociétés interviennent en coulisses, à commencer par l’hébergeur. Les preuves : certifications de sécurité, rapports d’audit, résultats de tests d’intrusion. La sortie : comment vous récupérez vos informations en fin de contrat et quand elles sont effacées.

Deux sujets manquent souvent : la continuité, c’est-à-dire ce qui se passe si le service s’arrête une journée, et la reprise d’un outil dont l’auteur a quitté l’entreprise.

Que dit le RGPD quand le fournisseur traite des données personnelles ?

Dès qu’un logiciel SaaS conserve pour vous des noms, des e-mails ou des dossiers clients, le fournisseur est sous-traitant au sens du RGPD. L’article 28 vous demande de ne choisir qu’un sous-traitant qui présente des garanties suffisantes et de signer un contrat qui fixe l’objet et la durée du traitement, les données concernées, les mesures de sécurité, votre accord écrit avant tout autre sous-traitant et la suppression ou le renvoi des données en fin de contrat.

Le questionnaire sert donc aussi de trace : rangez-le avec le contrat. En cas de fuite, le fournisseur doit vous prévenir dans les meilleurs délais, car vous devez en principe la signaler à la CNIL dans les 72 heures. Demandez-lui par écrit qui vous préviendra et comment.

Comment bâtir une grille d’évaluation d’un logiciel ?

Listez vos critères, puis donnez à chacun un poids selon la sensibilité de l’usage. Un outil qui manipule des contrats ou des dossiers clients ne se juge pas comme un outil de planning. Notez chaque réponse sur une échelle courte : « répond », « répond en partie », « ne répond pas », « à préciser ».

Séparez les critères éliminatoires, comme l’absence de contrôle des accès, de ceux qui se négocient, comme la durée du contrat. Écrivez le seuil avant de recevoir les réponses, sinon on ajuste la grille pour sauver le fournisseur préféré. Proportionnez enfin la longueur : deux cents questions pour un outil de planning découragent les petits fournisseurs sans rien vous apprendre de plus.

Comment se passe l’achat d’un logiciel SaaS en entreprise ?

Le parcours suit souvent cinq étapes : l’expression du besoin par l’équipe, la présélection de deux ou trois fournisseurs, l’envoi du questionnaire, un test avec une équipe pilote, puis la décision et le contrat. La sécurité intervient au moment du questionnaire, mais elle gagne à être prévenue dès la présélection.

Le test pilote est le meilleur moment pour vérifier les réponses : on regarde si les droits fonctionnent comme annoncé, si l’on peut exporter ses informations, si le support répond.

Comment référencer un fournisseur de logiciel ?

Référencer, c’est enregistrer le fournisseur dans un registre commun : le contact, le service qui l’utilise, le responsable interne, la date de signature, les réponses au questionnaire et la prochaine date de revue. Sans date de revue, le référencement devient un acquis définitif, même quand le fournisseur change d’hébergeur ou de sous-traitants.

Prévoyez aussi la sortie dès l’entrée : qui prévient les utilisateurs, comment on récupère les informations, quand on supprime les accès.