Cette page rassemble, pour les décideurs de PME, les bonnes pratiques et contrôles opérationnels à exiger ou vérifier lors du choix et de l’usage d’outils SaaS : choix du fournisseur, gouvernance interne, contrôles techniques, conformité et réversibilité. Les recommandations renvoient aux documents officiels cités en sources consultés le 04/09/2026.
Résumé exécutif
Public visé : dirigeant·e, DSI, RSSI / gestionnaire de sécurité, responsables achats. Objectif : fournir une liste structurée d’actions prioritaires à mener avant, pendant et après la souscription à un service SaaS. Les priorités pour une PME sont, dans l’ordre opérationnel : vérifier les garanties contractuelles et documentaires du fournisseur, classer les données hébergées, mettre en place une gouvernance interne claire, exiger des contrôles d’identité et d’accès stricts, vérifier les mesures de protection des données et la capacité de réversibilité.
Les recommandations s’appuient sur les publications de la CNIL, d’ANSSI, du NIST et d’OWASP. Elles visent à être immédiatement actionnables et à orienter vers les références officielles pour approfondissement.
Champ d’application : que couvre « sécurité SaaS » pour une PME
La sécurité SaaS regroupe plusieurs domaines interdépendants. Elle couvre la protection des données (confidentialité et intégrité), l’identité et la gestion des accès, la disponibilité du service, la sécurité applicative et des API, la conformité réglementaire liée aux données personnelles et la capacité opérationnelle de réponse aux incidents. Elle inclut aussi les aspects contractuels et de gouvernance liant client et fournisseur.
Cette page ne traite pas d’audit technique détaillé (pentest pas à pas) ni de procédures judiciaires d’investigation. Elle n’offre pas de listes de prestataires recommandés ni de configuration produit pas-à-pas. Pour des réglages techniques spécifiques, se référer aux documentations fournisseurs listées dans leurs pages officielles et aux guides cités ci-dessus.
Préparer l’achat et l’évaluation d’un SaaS (gouvernance & contractualisation)
Demander au fournisseur des documents et attestations formalisés : politique de sécurité, certificats ou attestations pertinents (ISO 27001, SOC 2, SecNumCloud si applicables), liste des sous-traitants, localisation des données et politique de sauvegarde et réversibilité. Les publications de la CNIL et d’ANSSI décrivent les éléments documentaires à examiner pour le cloud et le SaaS.
Inclure dans le contrat des clauses claires : SLA de disponibilité, processus et délais de notification d’incident, Data Processing Agreement (DPA) pour le traitement des données personnelles, engagements de reprise et modalités d’export des données. Le contrat doit aussi préciser la gestion des sous-traitants et les droits d’audit, quand ils sont nécessaires au regard du périmètre de traitement.
Quand une offre revendique une qualification (ex. SecNumCloud), vérifier la qualification via la source officielle citée. Les références listées en sources fournissent les emplacements web pour vérifier les attestations et les conditions associées.
Gouvernance interne et responsabilités en PME
Mettre en place un inventaire exhaustif des SaaS utilisés. Classer les données manipulées par chaque service selon leur sensibilité : données personnelles, données sensibles réglementées, données opérationnelles courantes. Cette classification conditionne les exigences contractuelles et techniques à exiger du fournisseur.
Désigner une responsabilité claire pour les usages SaaS : responsabilité de traitement ou délégation opérationnelle. Cette définition doit inclure des actions précises : tenue de l’inventaire, revue périodique des accès et des contrats, et coordination avec les achats et les ressources humaines pour le provisioning et le deprovisioning.
Réaliser des analyses de risques et d’impact en s’appuyant sur les recommandations CNIL et ANSSI. Ces analyses doivent définir le périmètre couvert, la fréquence des revues et les seuils d’escalade. Les guides de l’ANSSI et les publications NIST citées ci-dessous proposent des méthodes adaptées aux petites structures.
Gestion des identités et des accès (IAM)
Appliquer le principe du moindre privilège pour tous les comptes. Exiger du fournisseur la prise en charge de mécanismes modernes d’authentification et d’autorisation et l’activation du MFA pour les comptes à privilèges. Les recommandations NIST et ANSSI sont des points d’appui pour définir les exigences minimales d’authentification et de gestion des sessions.
Prévoir des processus de provisioning et deprovisioning liés aux procédures RH : ouverture de compte lors d’arrivée, désactivation immédiate en cas de départ. Prévoir une revue régulière des comptes, notamment des comptes invités ou externes.
Vérifier la possibilité d’intégration avec des annuaires et des solutions d’authentification centralisées pour faciliter la gestion des droits et réduire les risques liés aux identifiants partagés.
Sécurité applicative et API (mesures côté fournisseur et côté client)
Exiger la conformité aux listes de risques et aux recommandations OWASP : Top Ten pour les risques applicatifs et Top 10 Proactive Controls pour les pratiques de développement sécurisé. Ces références permettent d’évaluer la posture de sécurité applicative d’un prestataire SaaS.
Demander des preuves de tests et de gestion des vulnérabilités : résultats de tests d’intrusion ou rapports synthétiques, politique de vulnérabilités et gestion des CVE, cycle de patching et délai moyen de correction affiché. Le fournisseur doit documenter sa gestion des vulnérabilités et les garanties offertes au client.
Du côté client, vérifier dans l’interface du service que les paramètres de sécurité pertinents sont activés : chiffrement des données, gestion des clés API, journaux d’accès et options de logging. Ces contrôles opérationnels minimisent le risque lié à une mauvaise configuration côté client.
Protection des données : chiffrement, sauvegarde, localisation
Vérifier la politique de chiffrement du fournisseur pour le chiffrement en transit et au repos. La CNIL publie des fiches pratiques expliquant les principes applicables au chiffrement dans le cloud et les points à vérifier pour les données personnelles.
Demander des informations sur les sauvegardes : politique de sauvegarde, fréquence, localisation des copies et modalités de restauration. Le contrat doit préciser les engagements de reprise et les formats d’export compatibles pour assurer la portabilité.
Prendre en compte la localisation des données et les mécanismes de transfert international en vigueur pour les données personnelles. Les documents CNIL détaillent les obligations et les mécanismes à contrôler, tels que les clauses contractuelles types, s’ils sont nécessaires.
Observabilité, journalisation et réponse aux incidents
Exiger un accès aux logs d’activité pertinents ou des modalités d’export des journaux. Le contrat doit préciser les types de logs fournis, leur conservation et les droits d’accès en cas d’enquête ou d’analyse post-incident.
Demander au fournisseur son processus de notification d’incident et ses engagements de délai. Vérifier l’existence d’un runbook ou d’un plan d’incident qui décrit les rôles et les étapes de communication. Pour la PME, prévoir en interne un plan de gestion des incidents, un ou des contacts dédiés et des scénarios de test.
Prévoir des exercices réguliers de gestion d’incident pour valider les procédures internes et la coopération avec le fournisseur.
Continuité d’activité et réversibilité
Intégrer au contrat des clauses sur la réversibilité : formats d’export standards, délais d’extraction, modalités de livraison des données et tests de restauration. Vérifier que la politique de sauvegarde du fournisseur permet une reprise complète et lisible.
Vérifier les SLA de disponibilité et les mesures de résilience du fournisseur. Les engagements de restauration et les garanties techniques doivent être explicites et signés dans le contrat.
Prévoir des tests de restauration périodiques pour s’assurer que l’export et la reprise fonctionnent en pratique et que les formats d’export sont exploitables par la PME.
Conformité et protection des données personnelles
Exiger la signature d’un DPA pour tout traitement de données personnelles. Vérifier les clauses relatives aux sous-traitants, aux transferts internationaux et aux mesures techniques et organisationnelles mises en place par le fournisseur. La CNIL fournit des fiches et un PDF de recommandations sur ces sujets.
Vérifier la nature des transferts internationaux et les mécanismes juridiques mis en place (par exemple, clauses contractuelles types) en consultant les sources réglementaires et la documentation fournie par le prestataire.
Consulter la CNIL pour les situations spécifiques où des obligations supplémentaires s’appliquent selon la nature des données traitées.
Critères opérationnels pratiques : checklist de vérification
Liste d’items actionnables à vérifier lors du choix :
Politique de sécurité et documentation fournie (CNIL / ANSSI).
Attestations ou certifications pertinentes (ISO 27001, SOC 2, SecNumCloud si applicable).
Activation du MFA et gestion des privilèges (NIST / ANSSI).
Chiffrement en transit et au repos, politique de gestion des clés (CNIL).
Sauvegardes et réversibilité : formats d’export, tests de restauration.
Processus de notification et runbook d’incident.
Gestion des vulnérabilités : rapports de test et cycle de patching (OWASP).
Liste des sous-traitants et localisation des données.
Chaque item de cette checklist renvoie aux guides et référentiels cités en sources pour examen détaillé.
Outils et cadres de référence recommandés
Les cadres et documents à consulter pour étayer la stratégie : ANSSI (SecNumCloud et guides), CNIL (fiches cloud et chiffrement), NIST (guides pour petites entreprises et SP 800-146), OWASP (Top Ten et Proactive Controls). Ces documents fournissent des recommandations établies et des méthodes adaptées aux PME.
Ces cadres servent de base à l’élaboration de clauses contractuelles, de cahiers des charges techniques et de procédures internes, sans substituer un audit professionnel quand la situation l’exige.
Cas particuliers et limites
Pour des données hautement sensibles ou des secteurs fortement régulés (santé, finance, etc.), envisager une évaluation spécifique et faire appel à un audit dédié ou à un prestataire certifié. Les exigences varient selon la nature des traitements et les obligations réglementaires sectorielles.
Les documents cités en sources incluent des indications sur les cas où l’escalade à un audit approfondi est nécessaire.
Mises à jour et ressources complémentaires
Les documents officiels cités ont été consultés le 04/09/2026 et sont listés ci-dessous. Il est conseillé de revoir ces sources à chaque changement majeur de service ou au moins annuellement pour aligner la gouvernance et les contrats sur l’état du droit et des bonnes pratiques.
Bibliographie / sources
Les textes et guides cités dans cette page :
CNIL — Cloud computing : les conseils de la CNIL pour les entreprises. Consulté le 04/09/2026. URL : cnil.fr
CNIL — Recommandations PDF pour les entreprises qui envisagent de souscrire à des services de Cloud. Consulté le 04/09/2026. URL : cnil.fr
CNIL — Fiches pratiques sur le chiffrement et la sécurité des données. Consulté le 04/09/2026. URL : cnil.fr
ANSSI / Cyber.gouv.fr — Cloud : enjeux et guides. Consulté le 04/09/2026. URL : cyber.gouv.fr
ANSSI — 10 règles d’or en matière de sécurité numérique. Consulté le 04/09/2026. URL : cyber.gouv.fr
FranceNum / Guide des bonnes pratiques de l’informatique pour les TPE/PME. Consulté le 04/09/2026. URL : francenum.gouv.fr
ANSSI — SecNumCloud (référentiel / qualification). Consulté le 04/09/2026. URL : fr.wikipedia.org
NIST — Small Business Information Security: The Fundamentals. Consulté le 04/09/2026. URL : nist.gov
NIST — Cloud Computing Synopsis and Recommendations (SP 800-146). Consulté le 04/09/2026. URL : nvlpubs.nist.gov
NIST — Cybersecurity Framework 2.0: Small Business Quick-Start Guide. Consulté le 04/09/2026. URL : tsapps.nist.gov
OWASP — Top Ten Web Application Security Risks. Consulté le 04/09/2026. URL : owasp.org
OWASP — Top 10 Proactive Controls / DevSecOps Guideline. Consulté le 04/09/2026. URL : top10proactive.owasp.org
