Startups et éditeurs SaaS en croissance
Pour un éditeur SaaS : répondre aux audits des clients et des investisseurs
En résumé
Pour un éditeur SaaS en croissance, la sécurité devient un sujet de vente avant d’être un sujet technique : questionnaires des grands comptes, due diligence d’investisseurs, demandes de SOC 2 ou d’ISO 27001. Reconmind teste d’abord ce qui porte le risque et la preuve, c’est-à-dire l’API, l’authentification et le cloisonnement entre clients, puis remet un rapport daté que vous pouvez joindre à vos réponses. Nous ne délivrons ni attestation SOC 2 ni certification : nous produisons la preuve technique que votre auditeur ou votre client lira.
Si vous vous reconnaissez dans l’un de ces points
Ce sont les quatre situations dans lesquelles on nous appelle. Si aucune ne correspond, dites-le nous : il est possible que vous n’ayez pas besoin de nous tout de suite.
Un grand compte retarde la signature tant que vous n’avez pas répondu à deux cents questions de sécurité, et vos équipes techniques passent des jours à les traiter au lieu de livrer le produit.
Un investisseur ou un acquéreur demande, pendant la due diligence, un rapport de test d’intrusion récent et la preuve que les défauts trouvés ont été corrigés.
Un client réclame un rapport SOC 2 ou une certification ISO 27001, et vous ne savez pas par quoi commencer ni ce qui est exigé au juste.
Votre plateforme sert plusieurs clients avec le même code, et personne n’a vérifié qu’un utilisateur de l’un ne peut pas lire les données d’un autre.
Exprimé dans vos termes
Le cloisonnement entre clients testé avec deux identités
Nous testons avec des comptes de deux organisations distinctes, parce que c’est la seule façon de démontrer qu’un client ne lit pas les données d’un autre. C’est l’une des classes de défaut les plus lourdes de conséquences pour un SaaS, et un scanner ou une analyse statique ne la détecte pas.
Un rapport à joindre à un questionnaire ou à un dossier d’investissement
Rapport daté, périmètre écrit, synthèse de direction lisible par un acheteur non technique, puis attestation de correction après la passe de vérification, comprise dans le prix. Vous répondez « testé à telle date par un cabinet externe, corrigé et revérifié » avec la pièce à l’appui.
Des réponses de sécurité cohérentes d’un client à l’autre
Une base de réponses vérifiées, chacune rattachée à une preuve, évite que le deuxième client reçoive une réponse qui contredit celle du premier. Quand une mesure manque, la réponse dit « prévue, échéance indiquée » plutôt que de cocher une case fausse.
Un chemin réaliste vers ISO 27001 ou SOC 2
Nous cadrons ce qu’exige votre client ou votre auditeur, nous testons ce qui doit l’être et nous préparons le dossier. L’attestation SOC 2 est émise par un cabinet d’audit habilité et la certification ISO 27001 par un organisme accrédité : nous ne nous substituons à aucun des deux.
Les questions que vous allez poser, et nos réponses
Elles nous sont posées à presque chaque cadrage. Les écrire ici fait gagner un rendez-vous à tout le monde.
Notre produit change chaque semaine : à quel moment un test d’intrusion a-t-il un sens ?
Un test porte sur un état du produit à une date, et vous le déclenchez à des moments choisis : avant la première grande signature, avant une levée de fonds, après une refonte de l’authentification ou des droits. Le prix d’entrée vise un parcours critique plutôt qu’une application entière, ce qui tient dans un produit encore mouvant. Les modules qui bougent le plus peuvent attendre, et nous le disons au cadrage.
Un pentest suffit-il pour obtenir SOC 2 ou ISO 27001 ?
Non. Un test d’intrusion est une pièce du dossier, pas le dossier. SOC 2 évalue des contrôles (accès, changements, gestion des incidents, fournisseurs) par un cabinet d’audit ; ISO 27001 demande un système de management documenté et audité par un organisme de certification. Le test apporte la preuve technique que certains contrôles tiennent, notamment la gestion des vulnérabilités. Faites confirmer par votre auditeur le périmètre et la fréquence attendus avant de commander.
Quel budget prévoir pour un SaaS qui a une API et une application web ?
Le prix d’entrée d’un test d’API est de 1 290 € HT pour une API documentée jusqu’à une vingtaine de points d’entrée, et celui d’un test web de 1 490 € HT pour un parcours critique avec un profil utilisateur. Pour un SaaS multi-clients avec plusieurs rôles, le devis monte, parce que le contrôle d’accès se teste par paires de rôles. Tester l’API et l’application ensemble coûte moins que deux missions séparées : le cadrage chiffre le périmètre exact.
Pouvons-nous montrer le rapport à nos clients et à nos investisseurs ?
Oui, c’est son usage, et la convention le prévoit dès le départ. La synthèse de direction et l’attestation de correction sont faites pour être remises à un tiers, sous accord de confidentialité si vous le souhaitez. Le rapport technique complet contient des détails exploitables : il reste réservé à vos équipes. Le détail des vulnérabilités encore ouvertes n’a pas à sortir de l’entreprise.
Comment répondre à un questionnaire de sécurité sans mentir ni perdre le contrat ?
Une réponse affirme seulement ce que vous faites. Quand une mesure manque, écrire « prévue, échéance indiquée » vaut mieux qu’une case cochée à tort : un client qui découvre l’écart pendant un audit perd confiance, alors qu’un plan daté et tenu se discute. Le plus efficace est de constituer une fois une base de réponses vérifiées, chacune avec sa preuve, plutôt que de repartir d’une page blanche à chaque questionnaire.
Les prestations choisies par ce profil
Dans cet ordre, le plus souvent. Le cadrage sert à vérifier que c’est bien la bonne pour vous.
Pentest API
Les API portent les données et moins de garde-fous que les interfaces.
2 à 10 joursdès 1 290 €
Pentest web
Savoir ce qu’un attaquant obtiendrait sur votre application.
2 à 15 jours selon le périmètredès 1 490 €
Questionnaires sécurité clients
Répondre aux audits de vos clients en heures, avec des réponses qui tiennent.
1 à 3 semaines pour la base, puis au fil des demandessur devis
Pentest de conformité
Un test d’intrusion dont le périmètre et le rapport répondent à ce que votre auditeur va lire.
3 à 15 jours selon le périmètre et le nombre d’environnementssur devis
Accompagnement ISO 27001
Construire un système de management de la sécurité que l’audit trouvera réel.
6 à 12 mois du cadrage à l’audit de certification, selon le point de départdès 1 900 €
DevSecOps
Faire de la sécurité une étape du pipeline plutôt qu’un contrôle de fin de projet.
mise en place de 3 à 6 semaines, selon le nombre de dépôts et de pipelinessur devis
Par ordre d’engagement croissant
Les deux premières ne demandent ni coordonnées ni rendez-vous.
- Étape 1Voir un exemple de rapportLa structure réelle du livrable, avec une fiche de vulnérabilité complète.
- Étape 2Lire le cas typique d’un SaaS multi-clientsPourquoi un utilisateur peut lire les données d’un autre client, et comment le vérifier.
- Étape 3Nous rencontrer à Paris ou à distanceCe qui se fait sur site en Île-de-France, ce qui se fait à distance, et comment prendre rendez-vous.
- Étape 4Écrire pour un cadrageTrente minutes pour délimiter le périmètre utile, avec l’échéance de votre client ou de votre levée.
Les autres lectures
- ParcoursPour un RSSIRSSI et responsables sécurité
- ParcoursPour une direction généraleDirigeants et directions générales
- ParcoursPour une équipe techniqueÉquipes techniques, CTO et responsables de production
- ParcoursPour une PMETPE et PME, souvent sans équipe sécurité
- ParcoursPour une ETIETI et groupes dotés d’une équipe informatique
- ParcoursTous les parcours côte à côteCe que chaque rôle cherche dans la même mission.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début