Que demander à un éditeur SaaS sur la sécurité avant de signer ?

Posez des questions dont les réponses sont vérifiables et qui comptent si quelque chose tourne mal. Preuves : quels rapports ou certificats indépendants couvrent le service acheté, comme un rapport SOCSOC: security operations centre (centre opérationnel de sécurité). Une équipe, souvent active jour et nuit, chargée de repérer les attaques et d'y répondre. 2 Type II ou un certificat ISO/IEC 27001, avec périmètre et date, et pouvez-vous les lire ? Données : où sont-elles stockées et traitées, quels sous-traitants interviennent, servent-elles à entraîner des modèles, combien de temps sont-elles conservées et comment les récupérer dans un format exploitable en partant ? Accès : authentification unique, MFA imposée, droits par rôles et journaux d'audit exportables. Incidents : en combien de temps vous préviennent-ils, par quel canal, et quel soutien apportent-ils à vos propres obligations de notification au titre du RGPDRGPD: règlement général sur la protection des données. La loi européenne sur la protection des données (règlement (UE) 2016/679). ou de NIS2NIS2: deuxième directive européenne sur la sécurité des réseaux et de l'information. La loi européenne sur la cybersécurité (directive (UE) 2022/2555), qui fixe des obligations de sécurité et de notification d'incidents à de nombreuses entreprises. ? Résilience : sauvegardes, objectifs de restauration et protection contre le détournement d'un compte d'administration. Vulnérabilités : comment traitent-ils les signalements et à quelle vitesse corrigent-ils ? Inscrivez les réponses clés dans le contrat ou l'accord de traitement des données, pas seulement dans un questionnaire. Un éditeur plus petit aux réponses claires et honnêtes peut être plus sûr qu'un grand aux réponses vagues.

← Les 25 questions sur Sécurité du cloud et du SaaSTous les thèmes