Les avantages du SaaS pourraient être remis en cause par des problèmes de sécurité, selon un expert français de la sécurité. Le fondateur d'ARKOON Network Sécurity déclare que le SaaS ne peut se passer du chiffrement.

Lyon, le 13 décembre 2007. Face au succès annoncé du modèle des logiciels en tant que service (SaaS) en Europe, un grand spécialiste de la sécurité conseille vivement aux entreprises de prendre en compte les implications en matière de sécurité avant d'externaliser leurs applications ou leurs données, dans le cadre d'un modèle de fourniture par une tierce partie.
 
Dans le modèle SaaS de distribution de logiciels, les applications sont hébergées par l'éditeur ou un fournisseur de service, et mises à la disposition des clients via un réseau, en général Internet, avec paiement à l'utilisation.
 
« En Europe, la majorité de nos clients sont en train de réfléchir à la mise en place de solutions SaaS », déclare Daniel Fages, fondateur d'ARKOON Network Sécurity. « Mais cette tendance engendre des problèmes spécifiques d'intégrité du réseau et de sécurité des données. Le modèle SaaS permet par exemple de télécharger à tout moment des versions révisées des applications, chacune d'elle étant un risque potentiel pour le réseau. »
 
*        L'intégrité du réseau est mise en danger
 
« L'association d'applications dotées de nombreuses fonctionnalités, et de la livraison de plusieurs versions via SaaS, peut augmenter notablement les menaces sur l'intégrité d'un réseau d'entreprise », poursuit M. Fages.
 
« Les utilisateurs du SaaS devraient donc s'assurer que la mise à jour permanente du logiciel ne se fait pas sans une vérification suffisante de la sécurité de chaque nouvelle version publiée. En général, un éditeur de logiciels effectue des tests détaillés de sécurité entre la version alpha et la finale. Avec le SaaS, ceci peut se produire chaque jour. »
 
« Les applications SaaS ont toujours plus de fonctionnalités, ce qui demande davantage de temps et de ressources pour conduire les tests de sécurité. Les analyseurs automatisés peuvent accélérer le processus, mais dans la plupart des cas, ils ne découvrent que 20 % des vulnérabilités potentielles. Le reste ne peut être identifié que par des tests rigoureux, parfois lourds. »
 
Dans le domaine de l'ERP et de la CRM, de récentes études conduites en Europe de l'Ouest par IDC prévoient une croissance à deux chiffres pour les applications à la demande. En dépit de la pénétration élevée du haut débit en Europe, l'adoption du modèle SaaS a quelques années de retard sur les États-Unis. Mais l'écart devrait se réduire entre 2007 et 2011, ce qui implique un taux de croissance très élevé en Europe.
 
Les applications d'ERP, de BI et de CRM devraient passer à une livraison de type SaaS. Par exemple, au cours des cinq prochaines années, IDC s'attend à ce que les applications de CRM à la demande contribuent pour plus de la moitié à la croissance nette du marché européen de la CRM [1].
 
*        Pour le SaaS, le chiffrement est, au mieux, une pièce rapportée
 
Selon M. Fages, les attaques sur les applications hébergées devraient se développer, à cause de l'accroissement de la valeur des données conservées par des tiers, telles que des détails bancaires, l'identification des clients ou les informations des e-transactions : « La livraison de telles applications par le SaaS va conduire les entreprises à externaliser le stockage, la maintenance et la sauvegarde des données critiques, comme les dossiers financiers ou les informations concernant les clients et les fournisseurs. Jusqu'ici, ces données ne sortaient jamais des limites de l'entreprise. Par conséquent, le chiffrement est le minimum vital pour protéger une entreprise (et ses clients) contre la perte, le vol ou l'endommagement des données. Pour le moment et dans le contexte du SaaS, le chiffrement est rarement pris en considération, même après coup. »
 
Concernant le modèle SaaS, les principaux soucis de M. Fages sont les suivants :

*        La multiplication des versions du logiciel « à la demande » peut faciliter la propagation des virus, en l'absence de tests rigoureux avant la publication (ce qui n'est pas toujours possible dans le cas de mises à jour quotidiennes).

*        La gestion et le traitement de données sensibles non chiffrées, externalisées dans le cadre du SaaS, augmente les risques de perte, vol et fraude.

*        L'utilisation de tierces parties pour l'hébergement. Le niveau des SLA pour le traitement et la sécurité dépend de tous les acteurs impliqués dans la livraison du logiciel ou des contenus, et par exemple de l'utilisation d'un fournisseur de services d'hébergement. Les clients du SaaS s'assurent rarement de la qualité de toutes les parties impliquées dans le traitement de leurs données.

*        La multiplicité et la complexité des droits accordés aux utilisateurs. La livraison directe sur l'ordinateur de bureau, via SaaS, soulève le problème de la gestion des droits ainsi que celui de nouveaux points possibles pour un accès non autorisé.

*        Les applications Web 2.0 s'appuient largement sur Ajax, ce qui déclenche de nombreuses requêtes http pour chaque transition ou mise à jour de page. Chacune s'accompagne d'un risque d'attaque (par injection de snippet SQL, insertion d'un script non validé, etc.). Les outils pour tester et sécuriser ces applications sont largement disponibles, mais le très grand nombre de requêtes Ajax générées lors d'une session SaaS typique peut conduire à un accès non autorisé au réseau ou à la pénétration de virus.
 
« Entendons-nous bien, nous soutenons fermement le modèle SaaS et nous entendons l'utiliser largement pour livrer de plus en plus de logiciels, directement ou via nos partenaires. Mais les avantages qui rendent le SaaS aussi intéressant, à savoir le logiciel à la demande, les mises à jour en permanence et l'hébergement tierce partie, obligent les utilisateurs à s'assurer de disposer d'un niveau suffisant de sécurisation du réseau et de chiffrement des données, avant même de s'y intéresser », conclut M. Fages.
 
A propos d'ARKOON Network Security

Créée en 2000, ARKOON Network Security a su répondre aux besoins du marché de la sécurité des systèmes d'information en développant des solutions variées et innovantes en matière de protection des infrastructures réseau, des communications et de l'information. ARKOON Network Security propose des gammes de produits complémentaires et modulaires, adaptées à l'architecture informatique des clients :

*         Protection de l'infrastructure : gamme FAST 360 - appliances UTM : protection des serveurs voix/données, du réseau et de son périmètre.

*         Protection des communications : gamme SSL 360 - appliances SSL VPN : sécurisation des accès à distance.

*         Protection de l'information : suite logicielle Security BOX® - coffres-forts numériques et chiffrement des données situées sur le poste de travail (ordinateur portable, PDA, Smartphone) ou sur un serveur de fichiers.
 
Pour commercialiser ses solutions ARKOON Network Security a choisi un modèle de vente indirecte et vise le « mid-market & TOP 100 » des entreprises au niveau européen et mondial par l'intermédiaire d'un réseau de plus de 150 partenaires. Un modèle commercial efficace assurant à l'entreprise une base solide qui représente 10 % du marché français des infrastructures et de la sécurité des réseaux et 20 % du marché français de la sécurisation des données.
 
Avec plus de 4 000 clients, 10 000 appliances vendues et 500 000 licences Security BOX® déployées dans 57 pays à travers le monde, ARKOON Network Security affiche un fort taux de croissance organique dans un marché en pleine expansion.
 
Basée à Lyon, ARKOON Network Security compte 86 collaborateurs et a réalisé un chiffre d'affaires de 10,97 MEUR. La société est cotée sur Alternext by Euronext Paris depuis le 12 juillet 2007.