Vérifier les fournisseurs SaaS : références, certificats, sources publiques

Sources publiques pour les références et les certificats

Deux types de preuves sont principalement vérifiables publiquement : les informations publiées sur les adjudications et les registres des organismes certificateurs. Les deux sont vérifiés à la source, et non sur la page marketing du fournisseur.

En Suisse, simap.ch est la plateforme électronique pour les marchés publics, gérée par l’association simap (projekttools.ch). Les procédures ouvertes et sélectives dépassant les seuils y sont publiées, tout comme les attributions. Une référence mentionnée peut ainsi être recherchée par fournisseur et mandant, puis confrontée à l’adjudication publiée.

Pour certains certificats, le répertoire de l’organisme émetteur sert de lieu de contre-vérification. L’organisme émetteur doit être reconnu par l’Organe suisse d’accréditation SAS (solira.ch). Un document général ne remplace pas la vérification du domaine d’application concret.

Un label ISO 27001, des logos clients et la mention « certifié » sur la page marketing sont des autodéclarations. Ils ne deviennent vérifiables que via un tiers indépendant du fournisseur : le répertoire de l’organisme certificateur, une clé publique pour la vérification de signature ou l’avis d’adjudication du mandant.

Quatre catégories de preuves sont accessibles publiquement, et chacune atteste d’un fait différent. Une inscription au registre atteste l’existence, le titulaire, le domaine d’application et la durée de validité d’un certificat – mais pas que ce domaine couvre la prestation SaaS concrètement souscrite. Une signature atteste qu’un document provient inchangé du détenteur d’une clé spécifique – pas que le contenu est correct.

La clé publique se trouve à une adresse fixe sur le domaine du fournisseur et est mise en miroir de manière permanente. Cela permet de vérifier la signature même si le fournisseur n’existe plus ultérieurement. Elle atteste qui est autorisé à émettre et rend la vérification indépendante de la collaboration du fournisseur. Un avis d’adjudication atteste qui a obtenu quel marché public et quand – pas comment le projet s’est déroulé.

La contre-vérification s’effectue à la source de chaque preuve : sur simap.ch pour les adjudications suisses, dans le répertoire de l’organisme émetteur pour les certificats, et via la clé publiée du fournisseur pour les signatures.

Pour les achats, cela signifie : définir pour chaque preuve ce qui est exigé et où la vérification indépendante sera effectuée. Exiger du fournisseur le numéro de certificat et l’organisme émetteur plutôt qu’une copie PDF. Exiger l’emplacement de la clé publique avec son empreinte plutôt qu’un rapport en pièce jointe d’e-mail. Pour les projets de référence, exiger le mandant et la date d’adjudication afin de pouvoir rechercher l’annonce soi-même.

Il convient de régler contractuellement la mise à jour : les certificats doivent être renouvelés sans interruption, et les nouvelles versions des rapports doivent être livrées signées.

Les sources publiques attestent de faits différents : les informations d’adjudication documentent les marchés publiés, tandis que la LPD, l’OLPD et l’OCert-PD fixent le cadre des certifications en matière de protection des données (economiesuisse.ch). L’OCert-PD est entrée en vigueur le 1er septembre 2023, conjointement avec l’OLPD et la LPD révisée. Lors d’une preuve, il faut donc distinguer l’organisme certificateur compétent, sa reconnaissance et l’objet de la certification.

Transpareo décrit pour le Passeport numérique de produit une procédure avec un identifiant d’émetteur sur son propre domaine et une vérification dans le navigateur, sans avoir besoin de contacter le fournisseur (transpareo.com). Pour les preuves SaaS, il faut exiger du fournisseur l’adresse concrète de la clé et l’empreinte digitale correspondante.

Qui veut vérifier cherche l’inscription au registre, la signature et l’avis d’adjudication. Si l’une de ces traces manque, l’indication reste une autodéclaration.

Vérifier les certificats dans le registre et les accréditations suisses

Un certificat ISO 27001 n’est pas délivré par l’organisation auditée. Un organisme de certification accrédité réalise un audit externe et vérifie si le système de management de la sécurité de l’information (SMSI) répond aux exigences de la norme. L’émetteur et le titulaire du document sont deux parties distinctes ; l’organisme émetteur tient son propre répertoire de certificats. C’est là que s’effectue la contre-vérification, pas sur le site du fournisseur.

Pour un certificat ISO 27001, exigez l’organisme émetteur et sa preuve d’accréditation avant d’accepter l’inscription au registre comme preuve. Le certificat est délivré par un organisme de certification indépendant tel que SQS ou Safety Center, reconnu par l’Organe suisse d’accréditation SAS (solira.ch).

La recherche s’effectue dans le répertoire sous la dénomination sociale de l’entreprise certifiée, et non sous le nom du produit ou de la marque. Si un fournisseur ne mentionne ni le numéro de certificat ni l’organisme émetteur, il manque le point de départ pour la contre-vérification.

Clarifiez la dénomination sociale de l’entreprise certifiée avant la contre-vérification. Utilisez cette dénomination pour rechercher le certificat.

Six indications doivent être reprises du document : la dénomination sociale de l’entreprise certifiée (au lieu du nom du produit ou de la marque), le numéro de certificat, la norme avec l’année de publication (par exemple ISO/CEI 27001:2022), l’organisme certificateur émetteur, la durée de validité et le domaine d’application mot pour mot. Le domaine d’application détermine l’utilité : il cite les sites, les unités commerciales et les activités qui ont été audités.

L’inscription au registre mentionne le titulaire, la norme, le domaine d’application et la durée de validité. Elle ne mentionne pas la prestation que vous souscrivez, ni votre site, ni les sous-traitants utilisés. Cette lacune subsiste même avec une inscription complète. Les certificats de groupe couvrent rarement chaque filiale et chaque service. Un certificat pour le développement et l’exploitation ne signifie pas automatiquement que le centre de données pertinent pour vous ou les sous-traitants utilisés y sont inclus.

Outre le domaine d’application, le cycle d’audit doit être vérifié. Les certificats ont une durée de validité et sont accompagnés durant cette période par des audits de surveillance récurrents ; un audit de renouvellement a lieu avant l’expiration. Demandez la date et le type du dernier audit et comparez-les avec la durée de validité. Si un certificat expire dans quelques mois et que la preuve du renouvellement manque, l’affirmation « certifié » n’est aussi fiable que le papier lui-même.

Les indications temporelles sur la certification sont un critère de plausibilité, mais ne remplacent pas une inscription au registre. Demandez le dernier audit et comparez sa date avec la durée de validité du certificat. On peut ainsi voir si l’indication « certifié » est étayée par une preuve actuelle.

Qui cherche l’organisme et ne trouve que « certifié » n’a pas d’adresse pour vérifier. Exigez le numéro de certificat, l’organisme émetteur et la preuve d’accréditation de l’Organe suisse d’accréditation SAS ; ce n’est qu’ainsi que l’inscription au registre devient trouvable. Si l’accréditation manque, l’inscription reste une affirmation avec un numéro.

Qui souhaite contre-vérifier un certificat cherche l’entrée dans le répertoire de l’organisme émetteur. Si l’entrée ou l’accréditation manque, la preuve fait défaut.

Classer les certifications de protection des données selon le droit suisse

L’Ordonnance sur les certifications en matière de protection des données (OCert-PD) est entrée en vigueur le 1er septembre 2023 et complète le droit suisse de la protection des données par des dispositions relatives aux certifications (economiesuisse.ch). Les certifications étrangères en matière de protection des données qui satisfont aux exigences de la législation suisse sont reconnues après consultation de l’Organe suisse d’accréditation SAS (edoeb.admin.ch). Pour la vérification d’une preuve SaaS, l’organisme émetteur, sa reconnaissance, l’objet de la certification et la durée de validité sont décisifs.

La LPD révisée protège la personnalité et les droits fondamentaux des personnes physiques se trouvant en Suisse, dont les données sont traitées par des privés ou l’État ; les données des personnes morales ne sont plus protégées. Pour l’achat de SaaS, cela signifie : une certification en matière de protection des données concerne les données personnelles de personnes physiques – les données d’entreprise que le même service traite également n’en font pas partie.

Les données personnelles sont toutes les indications qui se rapportent à une personne physique déterminée ou déterminable (art. 5 let. a LPD). Le traitement est toute opération avec des données personnelles, indépendamment des moyens et procédures appliqués (art. 5 let. b LPD). La LPD présente une grande proximité matérielle avec le Règlement général sur la protection des données (RGPD).

Le champ d’application matériel comprend les traitements automatisés de données ainsi que les traitements manuels de fichiers. Les actes pertinents sont la LPD du 25 septembre 2020, l’OLPD et l’OCert-PD.

L’OCert-PD forme le cadre des certifications en matière de protection des données. Exigez le document et la désignation de l’organisme certificateur. Vérifiez quels traitements et quelles parties de l’organisation sont couverts et combien de temps la preuve est valable. Même pour les organismes certificateurs étrangers et les certifications en matière de protection des données, il convient de vérifier si l’organisme et l’objet concret de la certification sont couverts par la preuve. Une inscription ou un document n’atteste pas automatiquement chaque prestation du fournisseur SaaS.

La révision renforce la surveillance de la protection des données et étoffe les dispositions pénales. Les entreprises rencontrent de nouvelles obligations, notamment lors de la collecte, de la perte ou de l’abus de données personnelles.

Une certification du fournisseur ne remplace pas la vérification de sa propre responsabilité. Qui, en tant que responsable, externalise des données personnelles auprès d’un fournisseur SaaS, reste responsable du traitement envers les personnes concernées ; ce sont les processus du fournisseur qui sont certifiés, pas l’utilisation du service par vous.

Ce qu’une certification en matière de protection des données selon l’OCert-PD n’atteste pas : ni la licéité de votre propre traitement, ni la protection des données d’entreprise, ni le lieu de traitement. Ces points restent de votre responsabilité.

L’achat comprend donc également des clarifications propres : quelles données personnelles entrent dans le service et dans quelle mesure, quel traitement sur mandat est convenu, où les données sont traitées et stockées. Il faut aussi clarifier comment les données sont récupérées et supprimées à la fin du contrat.

Pour la contre-vérification d’une preuve OCert-PD, l’organisme émetteur est décisif. Le PFPDT reconnaît les organismes certificateurs étrangers et leurs certifications en matière de protection des données après consultation de l’Organe suisse d’accréditation SAS (edoeb.admin.ch). Exigez la preuve concrète et vérifiez son objet et sa durée de validité.

Vérifier les rapports signés et les clés publiques

Les rapports de sécurité et les documents d’audit devraient être exigés sous forme de fichiers signés, afin que leur intégrité puisse être vérifiée. Avec une signature valide, le fichier provient du détenteur de la clé privée correspondante. Pour la contre-épreuve, vous avez besoin de la clé publique correspondante et de son empreinte digitale.

Transpareo décrit pour le Passeport numérique de produit que les fabricants publient leur identifiant ou leur clé publique à une adresse fixe sur leur propre domaine (transpareo.com). La vérification s’effectue dans le navigateur, sans contacter le serveur du fournisseur. Comme exemple de preuve SaaS, le même principe de vérification ne s’applique que si le fournisseur publie l’adresse et l’empreinte digitale de sa clé.

L’adresse fixe suit la norme W3C DID:web : le fabricant publie son identifiant sur son propre domaine (transpareo.com).

Pour les preuves archivées, il importe que le fichier et la clé nécessaire à la vérification soient encore trouvables plus tard. Déposez donc le rapport, la signature, l’adresse de la clé et l’empreinte digitale conjointement dans vos propres archives. Réglez contractuellement la mise à jour des rapports signés.

La chaîne de vérification est courte. D’abord, on cherche l’adresse fixe de la clé sur le domaine du fournisseur, puis on compare l’empreinte digitale publiée, enfin on calcule la signature sur le fichier livré. Aucun serveur du fournisseur n’est contacté.

L’adresse du dépôt de clés doit être demandée au fournisseur et consultée soi-même. Qui ne lit que « signé PGP », sans adresse ni empreinte digitale, n’a pas de lieu de recherche et donc pas de preuve. Un fournisseur mentionne des « rapports signés PGP » (qsearch.ch) ; il faut alors exiger l’adresse de la clé et l’empreinte digitale.

Pour les achats, cela signifie : exigez l’adresse du dépôt de clés et vérifiez vous-même un fichier livré.

Pas de chaîne de certificats classique volontairement : les chaînes de certificats expirent sur des décennies, tandis qu’une adresse sur son propre domaine reste robuste. Qui conserve des preuves qui doivent être vérifiables même après longtemps, mise sur des adresses de clés durablement accessibles. Si la signature porte sur chaque indication individuelle plutôt que sur le bloc du document, les champs ajoutés ultérieurement restent prouvables sans qu’une nouvelle signature soit nécessaire.

Il convient de régler contractuellement le lieu de publication de la clé publique et de l’empreinte digitale, ainsi que l’obligation de livrer chaque rapport signé. Il faut aussi régler la conservation de la clé et du rapport dans ses propres archives, car une signature ne reste vérifiable que tant que la clé est trouvable.

L’application d’affichage open source pour ce modèle de vérification s’appelle Transpareo Time Machine. Elle charge le passeport, recalcule son empreinte digitale et vérifie les deux signatures, sans contacter un serveur du fournisseur. Qui est méfiant peut lire le code.

La vérification avec Transpareo Time Machine se déroule en trois étapes : l’application charge le passeport, recalcule l’empreinte digitale et la compare avec la valeur publiée. Ensuite, elle vérifie la signature du fabricant et la contre-signature. Aucun serveur du fournisseur n’est contacté.

Qui veut vérifier une signature cherche l’adresse fixe de la clé sur le domaine du fournisseur et l’empreinte digitale. Si l’adresse manque, le rapport reste non vérifié.

Vérifier les références dans les données publiques d’adjudication

Les références suisses peuvent être vérifiées sur simap.ch, la plateforme électronique pour les marchés publics (projekttools.ch). Recherchez le nom du fournisseur et comparez le mandant, l’objet du mandat et la date avec la liste de références du fournisseur SaaS.

Une recherche uniquement par termes généraux comme « IT » ou « logiciel » peut livrer de nombreuses adjudications matériellement différentes. Commencez donc par le nom du fournisseur et vérifiez les résultats anhand du mandant et de l’objet du mandat. Pour une recherche au-delà de la Suisse, d’autres informations publiques d’adjudication entrent en ligne de compte.

Il faut distinguer entre les adjudications suisses et les mandats avec lien UE ; le lieu de recherche pertinent dépend du mandant. Pour les adjudications suisses, simap.ch est la plateforme centrale : les procédures ouvertes et sélectives dépassant les seuils y sont publiées et les attributions publiées (projekttools.ch). Les informations publiques d’adjudication ne remplacent pas la confirmation du fournisseur qu’un mandat publié concerne effectivement sa prestation SaaS.

Relevez pour chaque résultat le mandant, l’objet et la date, au lieu de déduire la qualité de la référence d’un seul résultat de recherche. Pour une référence, vérifiez l’avis d’adjudication publié et notez quel mandant a attribué le mandat, quel était l’objet du mandat et quand l’avis a paru.

Un avis d’adjudication atteste une attribution publiée, mais pas le déroulement du projet ou la qualité actuelle du service. Complétez donc la contre-vérification publique par des questions sur la prestation SaaS concrètement fournie. Ne traitez pas un avis introuvable comme une référence publique confirmée.

Plusieurs attributions au même fournisseur peuvent indiquer une collaboration récurrente. Vérifiez la séquence des avis d’adjudication et demandez l’ampleur des prestations fournies jusqu’ici. On peut ainsi mieux classer une référence, sans déduire des dépendances ou du succès du projet de la seule séquence d’attributions.

Une recherche par mots-clés peut cacher des adjudications pertinentes parmi des résultats hors sujet. Recherchez donc dans les informations publiques d’adjudication le nom du fournisseur et du mandant, et vérifiez l’objet du mandat.

Cherchez l’avis d’adjudication dans les informations publiques d’adjudication et confrontez le fournisseur, le mandant et l’objet du mandat. Si un avis correspondant manque, la référence d’adjudication publique reste non confirmée.

Vérifier les preuves de raccordement à eIAM à partir des fiches d’information publiques

Même les engagements de raccordement à la Confédération peuvent être vérifiés publiquement. La fiche d’information « Raccordement d’applications à eIAM » mentionne une obligation de recours à eIAM pour les applications web et les applications mobiles natives.

eIAM est le système central d’accès et d’autorisation de la Confédération. AGOV est une partie inhérente d’eIAM et occupe une position particulière ; CH-LOGIN est en phase de suppression. La fiche d’information pour les achats « Raccordement d’applications à eIAM » (version 1.7 du 9 octobre 2024) est accessible publiquement. Elle sert de base pour les questions de raccordement et doit être lue dans la version actuelle au moment de l’achat.

Pour une indication eIAM, vérifiez les informations publiées sur le site web eIAM et confrontez-les avec l’affirmation concrète du fournisseur. Un résultat général ou une vidéo d’introduction n’atteste pas encore que la solution SaaS offerte utilise la variante de raccordement prétendue.

eIAM incluant AGOV authentifie les personnes physiques, pas les personnes morales. Cette distinction est à observer lors de la vérification des références et certificats, car les preuves de protection des données se rapportent aux personnes physiques.

Selon cette fiche d’information, une obligation de recours à eIAM s’applique aux applications web et aux applications mobiles natives. Le raccordement peut se faire directement ou indirectement ; plusieurs variantes de raccordement indirect existent.

La fiche d’information distingue les cas où les services du DFJP doivent être utilisés de ceux où le service eIAM est utilisé. Avant d’accepter un engagement d’interopérabilité, faites désigner par écrit la variante de raccordement choisie et la voie prévue. Vérifiez l’obligation de recours par rapport à la fiche d’information.

Le chemin de vérification suit la fiche d’information. Le site web eIAM de la Confédération est ouvert, la fiche d’information « Raccordement d’applications à eIAM » dans la version 1.7 du 9 octobre 2024 est appelée, et l’obligation de recours ainsi que les variantes de raccordement sont confrontées à l’indication du fournisseur.

Cela est vérifiable sans la collaboration du fournisseur : la fiche d’information est disponible publiquement, tout comme les indications sur eIAM, AGOV et les fournisseurs d’identité, dont eIAM tire les identités électroniques. Les questions au fournisseur portent donc sur des éléments prouvables – quelle variante de raccordement, basée sur quelle version de la fiche d’information, coordonnée avec quelle instance. Des assurances générales d’interopérabilité ne suffisent pas.

Aucune IA n’est actuellement utilisée dans le système central eIAM incl. AGOV. Cette indication de transparence est accessible publiquement.

La fiche d’information est publiée publiquement sur le site web eIAM de la Confédération. Les fournisseurs d’identité sont la source des identités électroniques pour eIAM. Le passage de CH-LOGIN conduit à AGOV et FED-LOGIN. La fédération d’Entra avec eIAM est également documentée publiquement.

Qui veut vérifier une preuve de raccordement cherche la variante de raccordement choisie et la version de la fiche d’information. Si l’indication manque, l’engagement d’interopérabilité reste général.

Signaux d’alarme et limites de la vérification publique

Des signaux d’alarme résultent directement des sources publiques : un label sans inscription au registre trouvable ; un certificat dont le domaine d’application ne couvre pas la prestation exploitée, le site ou les sous-traitants. D’autres signaux d’alarme sont un certificat expiré sans preuve de renouvellement ; des clients de référence mentionnés sans avis d’adjudication et sans date ; un rapport de sécurité en PDF sans signature.

Ce que le lecteur cherche et ne trouve pas peut être nommé. Une inscription au registre sans accréditation, une signature sans adresse de clé trouvable, une référence sans avis d’adjudication – dans les trois cas, la preuve manque, et la question revient au fournisseur.

Les questions qui en découlent s’adressent directement au fournisseur : numéro de certificat, organisme émetteur, domaine d’application mot pour mot, durée de validité, date et type du dernier audit. Il faut aussi demander l’adresse et l’empreinte digitale de la clé publique, ainsi que l’engagement de livrer chaque rapport signé. Pour chaque référence mentionnée, le mandant, l’objet du mandat et la date doivent être nommés ; pour le raccordement, la variante de raccordement eIAM choisie avec la version de la fiche d’information. Qui n’obtient aucune de ces indications a déjà une réponse.

Les limites de la vérification publique sont tout aussi claires : seul ce qu’une tierce partie publie est compréhensible. Les constatations d’audit internes, la liste des sous-traitants, l’historique des incidents et l’état actuel d’une instance productive ne peuvent pas être vérifiés ainsi ; cela nécessite des informations et des droits de vérification sécurisés contractuellement. Un certificat atteste un système de management fonctionnel, pas la sécurité d’une configuration spécifique en exploitation.

Ce qui n’est pas trouvable publiquement manque comme preuve. L’inscription au registre, la signature et l’avis d’adjudication sont les traces fiables.