Sécurité d’un SaaS B2B : préparer les contrôles d’un client entreprise

Partir du service et des données concernés

Cartographiez les composants, les données traitées et les acteurs qui y accèdent. Le niveau de contrôle attendu dépend du service vendu, de son intégration et de ses effets en cas d’incident. Un outil de publication et une application manipulant des dossiers sensibles ne se préparent pas avec une réponse générique identique.

OWASP ASVS propose des exigences pour vérifier les contrôles techniques d’une application. Il peut structurer une partie des travaux ; il ne constitue pas à lui seul une certification de l’entreprise. Sélectionnez les exigences pertinentes et reliez-les à des tests et à des éléments datés.

Pour approfondir : OWASP — Application Security Verification Standard

Contrôler les identités et les permissions

Définissez les rôles, l’attribution des accès et leur retrait. Vérifiez les comptes privilégiés, les comptes de service et les exceptions de support. L’authentification prouve une identité ; l’autorisation décide ce que cette identité peut faire. Les deux doivent être testées.

Pour un SaaS multi-tenant, testez les tentatives d’accès entre organisations au niveau des objets et des opérations, pas seulement dans les menus. Un lien caché ne protège pas une ressource. Les accès de dépannage doivent être limités, traçables et retirés lorsque le besoin disparaît.

Préparer les preuves de continuité

Documentez sauvegarde, restauration et responsabilités en cas d’incident. Une tâche de sauvegarde réussie ne prouve pas que les données peuvent être restaurées dans un service utilisable. Effectuez un exercice adapté et notez ce qui a été récupéré, dans quel délai et avec quelles limites.

Examinez également les dépendances : fournisseur cloud, messagerie, paiement et services externes. Décrivez le comportement lorsque l’un d’eux échoue. Les engagements proposés au client doivent tenir compte de cette chaîne et de votre capacité réelle à surveiller et intervenir.

Organiser correctifs et changements

Tenez un inventaire des dépendances et un processus de traitement des vulnérabilités. La priorité dépend de l’exposition, de l’exploitabilité et de l’impact, avec un responsable identifié. Conservez les preuves de correction et les tests de non-régression pertinents.

Encadrez les mises en production : validation, accès, retour arrière et suivi. Une petite équipe peut adopter un circuit simple, mais les décisions ne doivent pas dépendre uniquement de la mémoire d’une personne. Les secrets et les données clients ne doivent pas être copiés dans les documents de preuve destinés à la vente.

Maintenir un dossier qui correspond à la réalité

Préparez une fiche d’architecture, la description des accès, les exercices de restauration et le circuit de signalement. Donnez à chaque pièce une date, un périmètre et un propriétaire. Répondez aux questionnaires à partir de ce dossier, puis vérifiez les questions propres au client.

Les attestations d’un fournisseur ne couvrent pas automatiquement votre configuration et votre application. Expliquez ce qui est délégué et ce qui reste sous votre responsabilité. La préparation commerciale devient ainsi un prolongement de contrôles utiles à l’entreprise elle-même.