# Cas typique : prestataire ou SaaS compromis, quand un fournisseur devient votre incident Adrien Murillo — Murillo Consulting Scénario concret de dépendance fournisseur : compte support compromis, SaaS critique indisponible, données exfiltrées, cloud, réversibilité et continuité métier. Une entreprise peut être correctement organisée en interne et tout de même subir une crise par un fournisseur : infogérant, logiciel SaaS, hébergeur, éditeur métier, centre de support ou prestataire de paie. Le risque fournisseur n'est pas théorique : il concentre les accès, les données et parfois la capacité de reprise. Version : Mai 2026 ## À retenir - Le tiers critique n'est pas seulement celui qui coûte cher : c'est celui qui peut arrêter l'activité ou exposer des données sensibles. - Un compte support, une clé API, un tenant cloud mal segmenté ou une console d'administration SaaS peuvent toucher plusieurs clients à la fois. - Le questionnaire fournisseur ne suffit pas : il faut des preuves de journalisation, sauvegarde, réversibilité, contact de crise et test de continuité. - La bonne préparation consiste à savoir quoi faire si le fournisseur est indisponible, silencieux ou lui-même en crise. ## Le scénario concret Un éditeur SaaS héberge une application utilisée tous les jours : planning, production, support, paie, facturation ou dossiers clients. Un compte support est compromis, une clé API fuit ou une ressource cloud est mal protégée. L'incident peut provoquer une exfiltration, un chiffrement, une coupure d'accès ou une mise hors ligne préventive. Côté client, le réflexe est souvent d'attendre des informations du fournisseur. Mais l'entreprise doit quand même décider : mode dégradé, communication interne, information client, sauvegardes exportées, preuves contractuelles et alternatives temporaires. - compte support fournisseur - console admin SaaS - clé API ou token - stockage cloud - données clients mutualisées - indisponibilité multi-clients ## Ce que les faits récents montrent L'ANSSI a décrit en 2025 des situations où la compromission d'une ressource ou d'un prestataire peut affecter de nombreux clients, avec des impacts d'interruption de service, de vol de données et d'atteinte à l'image. Le DBIR 2025 note aussi une hausse forte de l'implication des tiers dans les violations étudiées. Ces constats changent la façon de lire un contrat. Une clause de sécurité n'est utile que si elle se traduit en preuves : contacts de crise, délais de notification, localisation des données, sauvegardes, segmentation, journalisation et conditions de réversibilité. - notification incident fournisseur - données hébergées et sous-traitants - SLA de crise - export régulier des données - journaux d'administration - mode dégradé métier ## Questions à poser avant la crise Pour chaque fournisseur critique, il faut répondre à des questions simples : quelle activité s'arrête sans lui, quelles données détient-il, qui peut administrer l'environnement, comment sommes-nous prévenus, que pouvons-nous exporter, combien de temps pouvons-nous travailler sans lui et qui valide le mode dégradé ? Cette cartographie est souvent plus utile qu'un score fournisseur générique. Elle permet de distinguer un outil confortable d'un vrai point de rupture. - processus métier dépendant - données sensibles détenues - droits admin et support - contacts d'urgence - preuves de sauvegarde - plan de sortie ou alternative ## Plan d'action réaliste Un plan réaliste commence par cinq fournisseurs critiques maximum. Pour chacun, l'entreprise collecte les contrats, les contacts, les dépendances, les preuves disponibles et les modes dégradés. Ensuite, elle traite les trous les plus dangereux : absence de contact de crise, absence d'export, accès support trop large, MFA non prouvée ou impossibilité de savoir quelles données seraient concernées. Le but n'est pas de contrôler le fournisseur à sa place. Le but est de savoir ce que l'entreprise peut décider et prouver si le fournisseur devient le point de départ de la crise. - top 5 fournisseurs critiques - cartographie données et impacts - revue accès support - preuve MFA/admin - test d'export ou réversibilité - mode dégradé validé ## Un questionnaire sécurité fournisseur suffit-il ? Non. Il aide à cadrer, mais il doit être complété par des preuves, des contacts opérationnels, un scénario de crise et une décision sur le risque résiduel. ## Quel fournisseur auditer en premier ? Celui qui combine données sensibles, dépendance métier forte, accès privilégiés et faible capacité de remplacement rapide. ## Sources - [ANSSI - Panorama de la cybermenace 2025](https://www.cert.ssi.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf) - [Verizon - Data Breach Investigations Report 2025](https://www.verizon.com/about/news/2025-data-breach-investigations-report) - [ENISA Threat Landscape 2025](https://www.enisa.europa.eu/publications/enisa-threat-landscape-2025) ## Navigation - [Consultant DevOps et DevSecOps Cloud.](/profil) - [Missions d’ingénierie.](/services) - [Réalisations.](/realisations) - [Projets open source.](/projets) - [Des guides pour passer à l’action.](/ressources) - [Parlons de votre projet.](/contact) - [Du cadrage aux livrables.](/approche) - [Des contextes. Des contraintes réelles.](/secteurs) - [Apprendre en prenant des décisions.](/lab) - [Mentions légales](/mentions-legales) - [Confidentialité](/confidentialite) - [Conditions générales d’utilisation](/conditions-utilisation) - [Former vos équipes. Avec de la pratique.](/formation) [Contact](mailto:contact@adrien-murillo.com)