À retenir
ISO 27001 ne demande pas de n’utiliser aucune application risquée. La norme demande de connaître vos dépendances, de prendre des décisions et de prouver leur réexamen. Pour les applications SaaS et OAuth, cela se traduit par quatre éléments : un inventaire daté, un responsable nommé par application, une décision consignée (approuvée, non approuvée, à examiner) et une trace du traitement des applications non approuvées. Si vous auditez déjà les autorisations OAuth, une grande partie du travail est faite. Il reste souvent à organiser les preuves.
1. Identifiez les contrôles que votre auditeur examinera
Votre auditeur demandera quels services cloud et applications tierces accèdent aux données de l’entreprise, qui les a approuvés et comment vous vérifiez que cela reste vrai. Dans beaucoup de PME, la réponse se trouve dans un tableur du dernier audit et dans les consoles Google Workspace ou Microsoft 365. Ce guide aide à transformer ces travaux dispersés en preuves datées, attribuées à un responsable et reliées aux bons contrôles ISO 27001:2022.
ISO/IEC 27001:2022 a regroupé les sujets fournisseurs et cloud dans l’Annexe A. Les contrôles ci-dessous concernent directement les applications SaaS et OAuth tierces. Votre déclaration d’applicabilité, ou SoA, détermine ceux qui entrent dans le périmètre. Une correspondance claire vaut mieux que plusieurs rapprochements approximatifs.
| Contrôle de l’Annexe A (2022) | Application aux services SaaS et aux apps OAuth | Exemples de preuves utiles |
|---|---|---|
| 5.9 — Inventaire des informations et autres actifs associés | Les applications cloud qui conservent ou traitent vos données sont des actifs à inventorier. | Inventaire daté avec un responsable par application. |
| 5.15 — Contrôle d’accès | Règles définissant qui et quoi peut accéder aux données, applications comprises. | Politique écrite d’approbation des applications et de consentement OAuth. |
| 5.18 — Droits d’accès | Les accès sont accordés, réexaminés et retirés selon la politique. | Comptes rendus des revues d’accès SaaS et traces de révocation des autorisations. |
| 5.19 — Sécurité de l’information dans les relations avec les fournisseurs | Les risques fournisseurs incluent ceux des éditeurs SaaS. | Liste des fournisseurs avec criticité et observations sur les risques. |
| 5.20 — Sécurité de l’information dans les accords avec les fournisseurs | Les exigences de sécurité font partie du contrat. | Accords de traitement des données et clauses de sécurité des fournisseurs critiques. |
| 5.21 — Sécurité de l’information dans la chaîne d’approvisionnement des TIC | Risques liés aux propres dépendances du fournisseur. | Informations sur les sous-traitants des applications critiques. |
| 5.22 — Surveillance, revue et gestion des changements des services fournisseurs | Le suivi des fournisseurs continue après leur intégration. | Journal des revues périodiques et suivi des incidents et CVE. |
| 5.23 — Sécurité de l’information dans l’utilisation des services cloud | Processus d’acquisition, d’utilisation, de gestion et de sortie des services cloud. | Politique cloud et preuves d’approbation et de sortie. |
| 8.8 — Gestion des vulnérabilités techniques | Les vulnérabilités connues des outils utilisés sont évaluées. | Journal des CVE examinées pour les applications critiques. |
Références : ISO — ISO/IEC 27001:2022
2. Inventoriez aussi les applications que personne n’a approuvées
Les applications installées par l’administrateur sont les plus faciles à identifier. Il faut aussi retrouver celles que les employés ont connectées eux-mêmes : un outil de compte rendu IA avec accès au calendrier ou un utilitaire PDF doté d’autorisations Drive, par exemple. Elles apparaissent sous forme d’autorisations OAuth dans votre fournisseur d’identité, sans forcément figurer dans les achats.
Conservez la source de chaque signal. « Observée dans le trafic du navigateur » et « Google signale une autorisation OAuth de lecture Drive » ne constituent pas le même niveau de preuve. Votre auditeur peut demander lequel vous détenez.
Pour chaque application, consignez au minimum les éléments suivants.
- Nom de l’application et de son éditeur.
- Preuve d’usage : autorisation OAuth, attribution SSO, facture ou inscription par e-mail.
- Portées ou permissions accordées et nombre d’utilisateurs concernés.
- Responsable métier : une personne nommée, pas simplement « l’IT ».
- Données concernées et niveau de criticité.
- Décision et date de cette décision.
3. Nommez un responsable et consignez une décision
Un inventaire sans décisions reste une liste. Pour chaque application, le responsable choisit un état : approuvée, non approuvée ou à examiner. Consignez la justification en une ligne et ajoutez une date.
Les petites équipes se retrouvent souvent bloquées à cette étape : l’IT ignore si le marketing a besoin de cet outil, et le marketing ne sait pas qu’il peut lire tous les fichiers d’un Drive partagé. Posez la question à la personne qui utilise l’application. Elle connaît le besoin métier ; vous fixez la règle.
4. Suivez le traitement des applications non approuvées
Pour les applications non approuvées, l’auditeur voudra connaître la suite donnée à la décision.
« Nous avons prévenu les personnes dans Slack » ne prouve pas une révocation. La disparition datée de l’autorisation dans le système source constitue cette preuve. Vérifiez dans Google Workspace ou Microsoft 365, et pas uniquement dans le ticket.
Notez qui a agi et quand pour chaque résultat :
- Retrait de l’autorisation par l’utilisateur : date et auteur.
- Révocation centrale par un administrateur : date et auteur.
- Dérogation accordée : date de fin et mesure compensatoire.
5. Faites vivre la revue entre les audits annuels
Un export annuel décrit votre situation le jour où vous l’avez produit. Le contrôle 5.22 porte sur le suivi dans le temps, alors que de nouvelles autorisations OAuth apparaissent chaque semaine.
L’enquête Drata d’octobre 2026, menée auprès de 309 responsables et professionnels IT et sécurité aux États-Unis, au Royaume-Uni et au Canada, indique que 85 % ont signalé au moins un incident de sécurité lié à un tiers au cours des 12 derniers mois. Les répondants ayant déclaré le plus d’incidents sont aussi les plus susceptibles de signaler un manque de capacité d’évaluation. Cette enquête ne porte pas spécifiquement sur les PME et n’est pas une métrique client d’elba ; elle étaye l’intérêt d’un suivi entre les audits annuels.
Une cadence réaliste pour une PME :
- Chaque semaine ou en continu : signaler les nouvelles applications et portées à haut risque et les adresser à un responsable.
- Chaque trimestre : faire reconfirmer les applications critiques et trancher les anciennes demandes « à examiner ».
- Lors d’une actualité fournisseur : consigner une revue après la divulgation d’une compromission ou d’une CVE critique concernant une application utilisée.
- Avant l’audit : exporter l’inventaire, les décisions et les traces de révocation avec leurs dates.
Références : Drata — Enquête sur les incidents tiers, 6 octobre 2026 (anglais)
6. Constituez le dossier de preuves
Rassemblez les éléments suivants dans un dossier que l’auditeur pourra parcourir. Décrivez honnêtement le risque résiduel : « Les extensions sont inventoriées mais ne sont pas bloquées de façon centralisée » vaut mieux qu’une promesse que vous ne pouvez pas démontrer.
- Politique d’approbation des applications et de consentement OAuth (5.15, 5.23).
- Export daté de l’inventaire avec responsables et criticité (5.9, 5.19).
- Journal des décisions : approuvée, non approuvée ou à examiner, avec dates (5.19, 5.23).
- Traces de révocation et de dérogation (5.18).
- Journal des reconfirmations trimestrielles et du suivi des incidents fournisseurs et CVE (5.22, 8.8).
- Contrats et accords de traitement des données des fournisseurs critiques (5.20, 5.21).
Références : ISO — ISO/IEC 27001:2022
Comment Elba accompagne ce travail
Elba ne vous certifie pas ISO 27001 et ne vous rend pas conforme. La certification et la conformité reposent sur votre système de management de la sécurité de l’information et son évaluation. Elba réduit le travail manuel nécessaire à la production des preuves. Ce guide décrit une démarche de preuves et ne constitue pas un conseil juridique.
- Un inventaire avec ses sources. Third-Party Apps regroupe les autorisations OAuth et comptes issus de sources connectées comme Google Workspace, Microsoft 365 et Okta, l’activité e-mail, les observations Browser Security et les extensions installées dans un même inventaire applicatif. Chaque signal conserve son origine : confirmé par une source connectée, étayé par une activité e-mail ou observé dans le navigateur, avec ses dates de première et dernière détection.
- Des revues d’accès sur les applications connectées prises en charge. Les preuves de droits d’accès pour le contrôle 5.18 proviennent des applications connectées prises en charge elles-mêmes plutôt que d’un tableur. Une entrée au catalogue ne prouve pas à elle seule la couverture d’une revue d’accès connectée.
- Une couverture navigateur sur quatre navigateurs. Browser Security fonctionne sur Chrome, Edge, Firefox et Safari pour observer les applications utilisées. L’inventaire des extensions installées est disponible sur Chrome, Edge et Firefox ; Safari n’expose pas cette liste.
- Des responsables et des décisions. Vous pouvez attribuer un responsable, définir une criticité métier et fixer la politique d’usage d’une application : Non examinée, À examiner, Approuvée ou Non approuvée.
- Des signaux fournisseurs. Le Radar signale les permissions risquées, les CVE de sévérité haute et critique, les compromissions fournisseurs et les applications IA non approuvées. Il est exportable pour une revue hors ligne.
- Décisions des employés et remédiation. Un Playbook ou un administrateur peut adresser une permission problématique à l’employé qui l’a accordée. Dans sa checklist, l’employé peut conserver l’application ou révoquer les permissions lorsque la source permet cette révocation directe. Les Playbooks configurés peuvent distribuer des problèmes ou exécuter une remédiation prise en charge par la source. Les actions disponibles dépendent de la source et de la configuration. La décision d’un employé et un résultat de remédiation vérifié restent distincts ; une décision de revue d’accès ne prouve pas une révocation vérifiée. L’historique du problème consigne ce qui s’est passé.
- Les extensions de navigateur figurent dans l’inventaire avec leurs installations, mais ne sont pas remédiées ou bloquées automatiquement.
Références : Elba — Applications tierces (anglais) · Elba — Playbooks (anglais)
Checklist des preuves SaaS tierces et OAuth
Vos cases cochées restent sur cette page et sont réinitialisées à son rechargement.
Questions fréquentes
ISO 27001 impose-t-elle un outil précis de gestion SaaS ?
Non. La norme demande des contrôles et des preuves, pas un outil particulier. Un tableur bien tenu peut étayer un audit. L’outillage aide surtout à maintenir l’inventaire à jour et à rendre les décisions traçables.
Les applications OAuth sont-elles des fournisseurs au sens d’ISO 27001 ?
En général oui, lorsqu’elles traitent des informations de l’entreprise ou y accèdent. Les contrôles 5.19 et 5.23 concernent les relations fournisseurs et les services cloud. Même une application gratuite connectée par un seul employé entre dans la revue dès qu’elle peut lire des données professionnelles. Votre déclaration d’applicabilité détermine les contrôles dans le périmètre.
Sur quelle période faut-il conserver les preuves ?
Cela dépend de votre cycle d’audit et de votre auditeur. Un audit de surveillance examine généralement le fonctionnement des contrôles depuis le dernier audit. Des preuves datées sur cette période ont donc plus de poids qu’un seul export récent.
Ces éléments servent-ils aussi pour SOC 2 ou la cyberassurance ?
Souvent, oui. Les mêmes éléments, inventaire, responsables, décisions et traces de révocation, peuvent répondre aux questions de gestion des fournisseurs dans SOC 2 et les questionnaires d’assurance. Vérifiez les exigences exactes de chaque cadre.
Sources et documentation
Documentation de référence utilisée pour ce guide. Les paramètres et les éditions disponibles évoluent : consultez les sources avant de modifier vos réglages.