SaaS

Définition

Le Software as a Service (SaaS) est le modèle de cloud le plus répandu pour les utilisateurs finaux : des applications complètes sont accessibles via un navigateur web ou une API, sans installation ni gestion locale. Microsoft 365, Google Workspace, Salesforce, Slack, Zoom, ServiceNow et Okta sont des exemples emblématiques de SaaS. Dans ce modèle, le fournisseur gère l'intégralité de la pile technologique : infrastructure, plateforme, application, sécurité des composants techniques. Le client conserve uniquement la responsabilité de la gouvernance des accès, de la configuration de la sécurité au niveau applicatif, et de la protection des données métier qu'il confie à la plateforme. La sécurité SaaS repose sur plusieurs piliers fondamentaux. La gestion des identités et accès (IAM) est critique : activation obligatoire du MFA, intégration SSO via SAML 2.0 ou OIDC avec le fournisseur d'identité de l'entreprise (Okta, Azure AD/Entra ID), application du principe du moindre privilège sur les rôles utilisateurs. Les CASB (Cloud Access Security Brokers) permettent de contrôler et auditer les accès aux applications SaaS depuis le réseau de l'entreprise. La DLP (Data Loss Prevention) est un autre enjeu majeur : des données sensibles (contrats, données personnelles, secrets industriels) sont fréquemment partagées via des outils SaaS. Il faut auditer régulièrement les partages publics, configurer des politiques de rétention et de classification des données, et activer les journaux d'audit (audit logs) fournis par chaque application SaaS. Le Shadow IT SaaS est un risque réel : les employés utilisent souvent des applications SaaS non approuvées, contournant les contrôles de sécurité. Une solution CASB en mode découverte permet d'identifier ces usages et de les évaluer. La conformité RGPD impose de vérifier que les fournisseurs SaaS signent un DPA (Data Processing Agreement) et que les données sont hébergées dans des régions conformes. Les certifications SOC 2 Type II, ISO 27001 et CSA STAR sont des indicateurs de maturité sécurité à vérifier lors des appels d'offres SaaS.