Un journalisme utile pour comprendre, gérer et développer une entreprise.
RechercherUne évaluation utile ne se limite pas à demander des certificats : vérifiez comment les données sont protégées, ce qui se passe en cas d’incident et si la reprise du service est adaptée à la criticité de vos processus.
Intégrer un service SaaS à un processus critique signifie dépendre d’un fournisseur externe pour gérer des données et assurer la disponibilité des opérations. Avant de souscrire, il est conseillé de confronter ses contrôles et ses engagements aux besoins réels de l’entreprise. Une présentation commerciale ou une certification, à elles seules, n’expliquent pas ce qui se passera lors d’une interruption ni combien de temps prendra la reprise.
Cette checklist aide à organiser l’évaluation. Elle ne remplace pas un examen juridique ou technique spécifique : les exigences applicables dépendent du secteur, des données traitées et de la juridiction, éléments qui ne sont pas définis ici.
Commencez par définir l’utilisation du service. Identifiez les processus qui en dépendent, les données qui y seront saisies et les services de l’entreprise qui seraient touchés si le système était indisponible ou si les informations étaient perdues.
Le niveau de détail de l’évaluation doit être proportionnel à cette dépendance. Un SaaS qui gère une tâche secondaire peut nécessiter un examen différent de celui d’un service qui concentre des informations sensibles ou qui interrompt une fonction essentielle en cas de défaillance. Notez également s’il existe des solutions temporaires, telles que des procédures manuelles ou des outils de secours, et qui pourrait les activer.
Demandez des informations concrètes sur le cycle de vie des données : où elles sont stockées et traitées, qui peut y accéder, comment cet accès est limité et quelles mesures sont appliquées pour protéger les informations lors de leur transmission et de leur stockage. Clarifiez également ce qu’il advient des données à la fin du contrat, notamment les délais et les mécanismes de restitution ou de suppression documentés par le fournisseur.
En matière d’accès, demandez si l’authentification multifacteur, les autorisations fondées sur les rôles et les journaux d’activité sont proposés. Il ne suffit pas qu’une fonctionnalité existe : il importe de savoir si elle s’applique au service souscrit, qui l’administre et quelles preuves le fournisseur peut fournir. Si l’outil est intégré à d’autres systèmes, incluez ces connexions dans l’examen.
Demandez la procédure écrite de détection, d’investigation et de gestion des incidents de sécurité. Vérifiez si elle désigne les responsables, les moyens de contact et les étapes d’escalade, et si elle explique comment un incident est communiqué aux clients.
Clarifiez les conditions et les délais de notification auxquels le fournisseur s’engage. Ne présumez pas qu’une réponse générique satisfait à toutes les obligations de l’entreprise : la portée dépend du contrat, du type d’incident et des règles applicables. Si le fournisseur présente des indicateurs ou des exemples d’incidents antérieurs, distinguez ces données de ses objectifs futurs et demandez quelle période et quel service ils couvrent.
Une politique de sauvegarde ne prouve pas, à elle seule, que les données peuvent être restaurées dans le délai dont l’entreprise a besoin. Demandez :
Demandez au fournisseur d’expliquer ses objectifs de reprise. Le RTO décrit le délai cible pour rétablir un service ; le RPO exprime le point de reprise cible des données, c’est-à-dire la quantité d’informations susceptible de ne pas être récupérée selon le scénario. Comparez les deux avec ce que l’entreprise peut tolérer et confirmez s’il s’agit d’engagements contractuels, d’objectifs opérationnels ou d’estimations soumises à des conditions.
Examinez l’accord de niveau de service (SLA) et repérez la manière dont il définit la disponibilité, la période de mesure, les exclusions et le mécanisme de communication ou d’indemnisation en cas de manquement. Un chiffre de disponibilité isolé ne permet pas d’évaluer l’impact : il importe de savoir comment il est mesuré et quelles situations sont exclues du calcul.
La continuité des activités et la reprise technologique sont liées, mais distinctes. La première vise à maintenir les fonctions essentielles pendant l’interruption ; la seconde, à restaurer les systèmes et les données. Demandez si le fournisseur dispose de procédures documentées pour chacune, qui assume les responsabilités et quand elles ont été testées. Il est également utile d’identifier les tâches qui continueront à dépendre de l’entreprise pendant un incident, comme informer ses équipes ou activer des processus alternatifs.
Pour chaque garantie importante, demandez une documentation à jour et applicable au produit que vous envisagez de souscrire. Selon le cas, elle peut comprendre des politiques de sécurité, des rapports d’audit ou des certifications, les résultats de tests de reprise, des journaux de modifications et des procédures de gestion des incidents. Vérifiez le périmètre, la date et toute réserve figurant dans le document : une preuve concernant une autre plateforme ou entité du fournisseur pourrait ne pas couvrir le service évalué.
Consignez les réponses et les documents reçus. Si une réponse est incomplète, contradictoire ou impossible à vérifier, notez-la comme une incertitude à résoudre plutôt que de la considérer comme une garantie.
Résumez les conclusions dans une matrice simple : exigence, réponse du fournisseur, preuve, impact pour l’entreprise et action en attente. Donnez la priorité aux lacunes susceptibles d’exposer des données importantes, d’interrompre des processus essentiels ou de compliquer la reprise. Cette classification permet de comparer les fournisseurs et de déterminer quels aspects doivent être résolus avant la souscription ou l’intégration.
L’examen ne s’arrête pas à la signature. Si l’utilisation du service, les données traitées ou les conditions du fournisseur changent, vérifiez à nouveau si les garanties restent adaptées. En cas de dépendance critique, convenez également de qui examinera les preuves et à quelle fréquence.
Un guide pratique pour définir, mesurer et évaluer la performance des processus automatisés. Apprenez à établir des lignes de base, à sélectionner des indicateurs d'effort, de qualité et de coût, et à calculer le ROI réaliste pour décider de maintenir, d'ajuster ou de réverser l'automatisation.
Lire
Une stratégie de sauvegarde utile commence par hiérarchiser les informations et déterminer quelle perte de données et quelle durée d’interruption l’entreprise peut tolérer. Cela permet de définir la fréquence, le stockage et les tests de restauration.
Lire
Organisez les accès des employés et des fournisseurs en quatre étapes : identifier les comptes et les responsables, renforcer l'authentification, limiter les permissions et révoquer les accès lorsqu'ils ne sont plus nécessaires.
Lire