Rôles
Le moindre privilège
- Chaque profil n’a que les droits utiles à son travail.
- Les droits se donnent par rôle, pas personne par personne.
- Les actions sensibles (export, suppression, validation) sont réservées et tracées.
- Accueil
- Cybersécurité des plateformes métier
Sécuriser votre plateforme métier. Et l’IA qu’elle embarque.
Accès, données, hébergement, intelligence artificielle, continuité : ce qui protège vraiment une plateforme web et mobile, ce qu’on peut exiger de son prestataire, et un check-up pour faire le point en deux minutes.
L’essentiel en 30 secondes
Quatre idées.Le reste en découle.
01
La sécurité se conçoit, elle ne s’ajoute pas
Rôles, droits, journalisation : ce qui n’est pas prévu dans le modèle de données dès le cadrage se rattrape mal ensuite.
02
La première faille, ce sont les accès
Un compte partagé, un ancien collaborateur encore actif, un droit trop large : l’essentiel des risques commence là.
03
L’IA hérite des droits, rien de plus
Un assistant connecté à vos documents ne doit montrer à chacun que ce qu’il a déjà le droit de voir.
04
Une sauvegarde non testée n’existe pas
La continuité se prouve : restauration vérifiée, plan de reprise écrit, et données récupérables si vous changez de prestataire.
01 / Dès la conception
Qui voit quoi,qui fait quoi, qui l’a fait.
La cybersécurité d’une plateforme métier se joue d’abord au cadrage. Avant le premier écran, on décrit les profils d’utilisateurs, ce que chacun peut lire, modifier ou valider, et ce qui doit laisser une trace. C’est moins spectaculaire qu’un pare-feu, et c’est ce qui évite la plupart des incidents.
Connexion
SSO et comptes nominatifs
- Connexion par l’annuaire de l’entreprise quand il existe (SSO).
- Un départ dans l’annuaire coupe l’accès partout, le jour même.
- Jamais de compte partagé, double facteur pour les profils sensibles.
Traçabilité
Journaliser ce qui compte
- Qui s’est connecté, qui a consulté, modifié ou exporté quoi.
- Des journaux conservés, protégés et consultables en cas de doute.
- Des alertes sur les comportements inhabituels.
Aller plus loin · sécurité d’une application web et mobile
Une plateforme métier, c’est un site web, des applications iOS et Android et une API qui les relie. Chacune de ces portes d’entrée doit appliquer les mêmes règles : les droits se vérifient côté serveur, jamais seulement dans l’interface, car une interface se contourne. Sur mobile, on ajoute la question de l’appareil perdu ou volé : sessions qui expirent, données sensibles non stockées en clair sur le téléphone, déconnexion à distance.
Les risques classiques des applications web restent d’actualité : injection dans les formulaires, accès à la fiche d’un autre client en changeant un identifiant dans l’adresse, fichiers déposés mal contrôlés. Ils se traitent par des pratiques de développement établies, des revues de code et des tests réguliers, plutôt que par un produit miracle.
02 / Les données
Protéger la donnéepartout où elle passe.
La sécurité des données tient en trois moments : quand elles voyagent, quand elles sont stockées, et quand elles sortent. Le RGPD ajoute une règle simple : ne collecter que ce qui sert, et ne le garder que le temps nécessaire.
En transit
Chiffrée en chemin
Les échanges entre le navigateur, l’application mobile et le serveur sont chiffrés. C’est aujourd’hui un minimum attendu de toute plateforme : à vérifier, pas à négocier.
Au repos
Chiffrée là où elle dort
Bases de données, fichiers déposés et sauvegardes devraient être chiffrés sur leurs supports, avec des clés gérées à part. Demandez à votre prestataire comment c’est fait chez lui.
En sortie
Exports maîtrisés
Un export Excel envoyé par e-mail annule tous les efforts précédents. Les exports se réservent à certains rôles, se tracent, et se limitent à ce qui est utile.
Aller plus loin · RGPD et sécurité des données
Le RGPD demande des mesures techniques et organisationnelles appropriées au risque. Il ne liste pas une technologie obligatoire : il demande d’être capable d’expliquer pourquoi les mesures prises sont proportionnées aux données traitées. Un CRM qui contient des données bancaires ou de santé n’appelle pas les mêmes protections qu’un catalogue produit.
Quatre réflexes couvrent l’essentiel : minimiser (ne pas collecter ce qui ne sert pas), limiter la conservation (supprimer ou anonymiser à échéance), cloisonner (chacun ne voit que ses dossiers), et tracer (pouvoir dire qui a consulté une fiche). Les environnements de test ne devraient jamais contenir de vraies données personnelles sans les avoir anonymisées.
03 / Hébergement souverain
En Europe,et réversible par contrat.
Un hébergement souverain, c’est d’abord savoir où sont vos données, sous quel droit, et comment les récupérer. Chez Wappizy, les plateformes et leurs fonctions d’IA sont hébergées en Union européenne, RGPD by design.
🇪🇺
Vos données restent en Europe
Plateforme et IA hébergées en Union européenne
Les modèles d’IA sont auto-hébergés sur des serveurs GPU en Union européenne : vos données ne passent jamais par OpenAI ni par un serveur hors UE, et elles ne sont jamais utilisées pour entraîner des modèles.
Votre plateformeVos donnéesRecherche documentaireModèle hébergé en UE
Réversibilité
Vos données sont à vous,et récupérables sous un mois.
En cas de départ, vous récupérez l’intégralité de vos données dans un délai d’un mois, au format CSV ou équivalent (JSON, SQL). C’est un engagement contractuel.
Engagement écrit au contrat04 / Sécurité de l’IA
Une IA utile,qui ne devient pas une porte d’entrée.
La sécurité de l’IA générative ne se résume pas au choix du modèle. Les vrais risques viennent de ce que l’IA lit et de ce qu’elle a le droit de faire. Ils se traitent par l’architecture, pas par une promesse commerciale.
01
RISQUE 01
L’injection de prompt
Une instruction cachée dans un e-mail ou un document reçu tente de détourner l’IA. Tout contenu entrant est une donnée, jamais un ordre.
02
RISQUE 02
L’héritage des droits
Un assistant branché sur vos documents peut révéler ce qu’un utilisateur ne devait pas voir. L’IA applique les droits de celui qui la questionne.
03
RISQUE 03
La fuite vers l’extérieur
Un outil d’IA grand public qui reçoit des données internes. D’où l’intérêt d’un modèle hébergé en Europe, sans réutilisation des données.
04
RISQUE 04
L’agent trop libre
Un agent qui peut écrire, envoyer ou supprimer change la nature du risque. Lecture seule d’abord, validation humaine ensuite.
05
RISQUE 05
L’absence de trace
Sans journal des questions et des actions de l’IA, impossible d’expliquer une erreur ou un incident après coup.
Aller plus loin · comment on s’en protège concrètement
Contre l’injection de prompt : séparer clairement les instructions du système et les contenus à traiter, limiter les outils auxquels l’IA a accès, et faire valider par un humain toute action qui écrit, envoie ou supprime. Un texte reçu de l’extérieur peut contenir n’importe quoi : on part du principe qu’il est hostile.
Contre l’héritage des droits : la recherche documentaire filtre les résultats selon les droits de l’utilisateur avant que le modèle ne les lise. C’est un projet d’habilitations autant qu’un projet d’IA, détaillé dans notre guide IA de confiance.
Pour les agents : lecture seule en phase 1, puis des actions proposées et validées par un humain, avec un journal de chaque étape. Voir notre guide des agents IA. Chez Wappizy, le principe est simple : aucun automatisme sans humain dans la boucle.
05 / Tester et durer
Vérifier,et savoir repartir.
La sécurité n’est pas un état, c’est un entretien. Une plateforme sérieuse se teste, se met à jour et sait redémarrer après un incident, sans dépendre de la mémoire d’une seule personne.
- En continu
Mises à jour
Composants, bibliothèques et serveurs tenus à jour, avec un suivi des failles connues.
- À chaque évolution
Revue et tests
Relecture du code, tests automatisés, contrôle des droits sur chaque nouvel écran.
- Régulièrement
Tests d’intrusion
Un regard extérieur qui attaque la plateforme comme le ferait un pirate, puis un plan de correction.
- Toujours prêt
Sauvegarde et reprise
Sauvegardes régulières, stockées à part, restaurations testées, plan de reprise écrit.
Aller plus loin · sauvegardes et plan de reprise
Deux questions suffisent à évaluer une stratégie de sauvegarde : combien de données peut-on perdre au pire (la fréquence des sauvegardes) et combien de temps la plateforme peut-elle être arrêtée (le délai de remise en service). Les réponses dépendent de votre métier : un portail de formation et un outil de facturation n’ont pas les mêmes exigences.
Une sauvegarde doit être séparée de la plateforme qu’elle protège, pour survivre à un rançongiciel ou à une panne, et testée par une vraie restauration. Le plan de reprise décrit qui fait quoi, dans quel ordre, et comment on prévient les utilisateurs.
06 / Gouvernance
Qui est responsablede quoi, par écrit.
La plupart des angles morts naissent d’un partage flou entre le client et le prestataire. Les bons contrats et un registre à jour évitent de découvrir les trous le jour d’un incident.
RGPD · article 28
Le contrat de sous-traitance
Le prestataire qui héberge et opère la plateforme traite des données pour votre compte : ses engagements de sécurité, ses sous-traitants et la localisation des données doivent y figurer.
Registre
Savoir ce que l’on traite
Le registre des traitements décrit quelles données, pour quoi, qui y accède, combien de temps. Pour l’IA, on tient aussi un registre des cas d’usage.
Incidents
Savoir réagir
Qui prévient qui, en combien de temps, et comment on documente. Une violation de données personnelles peut devoir être notifiée à l’autorité de contrôle.
NIS 2
Êtes-vous concerné ?
NIS 2 est une directive européenne qui étend les obligations de cybersécurité à de nombreux secteurs et à des organisations de taille moyenne et grande. Savoir si elle vous concerne dépend de votre secteur, de votre taille et de sa transposition en droit national : c’est une question pour votre conseil juridique.
Dans tous les cas
Ses exigences sont de bonnes pratiques
- Analyser et traiter les risques.
- Détecter, gérer et déclarer les incidents.
- Maîtriser la sécurité de vos fournisseurs et prestataires.
- Impliquer la direction dans les décisions de sécurité.
Ce guide est indicatif et ne remplace pas un avis juridique.
07 / À vous de jouer
Le check-up sécuritéde votre plateforme.
Dix questions sur votre outil actuel, en deux minutes. Vous obtenez un score par axe et les trois actions à mener en premier. Tout se calcule dans votre navigateur : rien n’est envoyé.
Où en est votre plateforme ?
Répondez honnêtement : « Je ne sais pas » est une réponse utile, elle montre où regarder en premier.
08 / Votre prestataire
Les questions à poseravant de signer.
Une bonne réponse est précise, écrite et vérifiable. Une réponse vague (« c’est sécurisé ») est déjà une réponse. Une certification est un repère utile : demandez laquelle, sur quel périmètre, et vérifiez les pratiques concrètes.
Accès et données
- Où sont hébergées mes données, et celles de l’IA ? Sous quel droit ?
- Comment sont gérés les rôles, le SSO et le départ d’un collaborateur ?
- Mes données sont-elles chiffrées en transit et au repos ? Qui détient les clés ?
- Qu’est-ce qui est journalisé, combien de temps, et comment y accéder ?
IA
- Mes données sortent-elles de l’Union européenne ? Servent-elles à entraîner un modèle ?
- Comment l’IA respecte-t-elle les droits de chaque utilisateur sur les documents ?
- Comment êtes-vous protégés contre l’injection de prompt ?
- Quelles actions l’IA peut-elle faire sans validation humaine ?
Continuité
- À quelle fréquence sauvegardez-vous, où, et quand avez-vous testé une restauration ?
- Quel est votre plan de reprise et votre délai de remise en service ?
- Comment me prévenez-vous en cas d’incident, et en combien de temps ?
Contrat et sortie
- Avez-vous un contrat de sous-traitance RGPD (article 28) et la liste de vos sous-traitants ?
- Faites-vous réaliser des tests d’intrusion ? Puis-je en voir la synthèse ?
- Quelles certifications détenez-vous réellement, sur quel périmètre ?
- Comment je récupère mes données si je pars, dans quel format et quel délai ?
Le mot de Victor
« Ma première question est toujours la même : quel chemin prend la donnée ? Une fois qu’on sait où elle va et qui peut la voir, la bonne mesure est presque toujours la plus simple. »
V
VictorResponsable infrastructure & cybersécurité, Wappizy
Votre maquette
Une plateforme sûre,pensée pour votre métier.
Racontez-nous votre projet en quelques phrases : l’équipe dessine votre plateforme et vous envoie la maquette, offerte. La sécurité fait partie du cadrage dès le premier atelier.
10 / Questions fréquentes
Cybersécurité. Vos questions.
Les questions que les DSI et les directions nous posent le plus souvent sur la sécurité de leurs plateformes.
Votre question n’y est pas ? Posez-la directement à l’équipe.
Écrire à notre équipe →01Où sont hébergées les données d’une plateforme Wappizy ?
En Union européenne, IA comprise. Les données ne passent jamais par OpenAI ni par un serveur hors de l’Union européenne, et elles ne sont jamais utilisées pour entraîner des modèles.
02Une IA générative peut-elle faire fuiter mes données ?
Le risque principal n’est pas le modèle lui-même mais ce qu’on lui donne à lire. Si l’assistant consulte des documents sans respecter les droits de chaque utilisateur, il peut montrer à quelqu’un ce qu’il n’aurait pas dû voir. La règle : l’IA hérite des droits de l’utilisateur qui la questionne, et rien de plus.
03Qu’est-ce qu’une injection de prompt ?
C’est une instruction cachée dans un texte que l’IA va lire, par exemple dans un e-mail ou un document reçu, pour la détourner de sa tâche. On s’en protège en traitant tout contenu entrant comme une donnée et jamais comme un ordre, en limitant ce que l’IA a le droit de faire, et en faisant valider par un humain toute action qui écrit ou envoie quelque chose.
04Mon organisation est-elle concernée par NIS 2 ?
NIS 2 est une directive européenne qui élargit les obligations de cybersécurité à de nombreux secteurs et à des entités de taille moyenne et grande. Savoir si elle vous concerne dépend de votre secteur, de votre taille et de la transposition nationale : c’est une question à poser à votre conseil juridique. Dans tous les cas, ses exigences (gestion des risques, gestion des incidents, sécurité de la chaîne d’approvisionnement) sont de bonnes pratiques à appliquer à vos plateformes.
05Que se passe-t-il pour mes données si je change de prestataire ?
Chez Wappizy, vous récupérez l’intégralité de vos données dans un délai d’un mois, au format CSV ou dans un format équivalent (JSON, SQL). C’est un engagement contractuel.
06Qui est responsable de la sécurité : le client ou le prestataire ?
Les deux, chacun sur son périmètre. Le prestataire qui héberge et opère la plateforme agit comme sous-traitant au sens du RGPD : ses engagements de sécurité sont écrits dans un contrat (article 28). Le client reste responsable de qui a accès à quoi, de ses usages et de ses données. Un partage clair, écrit, évite les angles morts.
07Faut-il une certification pour être en sécurité ?
Une certification est un repère utile, pas une garantie. Demandez à votre prestataire lesquelles il détient réellement et sur quel périmètre, puis vérifiez les pratiques concrètes : gestion des accès, journalisation, sauvegardes testées, mises à jour, tests d’intrusion, plan de reprise.
Un projet, une solution, un partenariat
Parlons de ce quenous pouvons construire.
Vous avez un projet ? Vous voulez découvrir une solution ou le Studio ? Notre équipe est là pour en parler avec vous.