ISO 27001 : sécurité des données pour les connectors de boutiques en ligne

Ce qui circule réellement par votre connector

Un client passe une commande dans votre boutique en ligne. En quelques secondes, un flux de données part vers Exact Online : nom, adresse, adresse e-mail, numéro de téléphone. À cela s'ajoutent les données de commande, produits, montants, calculs de TVA et éventuelles remises. Et lors du paiement : numéro de compte bancaire et méthode de paiement.

Ce ne sont pas des données abstraites. Ce sont des données personnelles soumises au RGPD, combinées à des informations financières qui rendent votre entreprise vulnérable si elles tombent entre de mauvaises mains.

La plupart des entrepreneurs associent un connector de boutique en ligne à la commodité : traiter les commandes automatiquement, synchroniser les stocks, créer des factures sans ressaisie. À juste titre. Mais chaque connector est aussi un canal de transmission d'informations sensibles. Et la sécurité de ce canal mérite au moins autant d'attention que les fonctionnalités.

Le risque que personne ne voit, jusqu'à ce qu'il soit trop tard

Un connector de boutique en ligne sécurisé n'est pas un luxe. C'est une nécessité. Pourtant, la sécurité est rarement la première chose que les entrepreneurs demandent lorsqu'ils choisissent un fournisseur de connector. L'attention se porte sur les fonctionnalités, le prix et la rapidité de mise en œuvre. C'est compréhensible, mais risqué.

Que peut-il mal tourner avec un connector mal sécurisé ? Des données clients envoyées sans chiffrement entre les systèmes. Des identifiants de connexion stockés sur un serveur non sécurisé. Une connexion API sans authentification correcte, qui permet à des personnes malveillantes d'accéder à votre administration.

Les conséquences ne sont pas théoriques. Les fuites de données coûtent en moyenne des dizaines de milliers d'euros de dommages directs aux PME, sans compter les amendes de l'Autorité de protection des données. Mais le préjudice le plus lourd est souvent la confiance que vous perdez auprès de vos clients. Cela ne se regagne pas avec un e-mail d'excuses.

La triade CIA : trois piliers de la sécurité des données

ISO 27001, la norme internationale pour la sécurité de l'information, repose sur trois principes, connus sous le nom de triade CIA.

Confidentialité (Confidentiality). Seules les personnes et les systèmes autorisés peuvent accéder aux données. Les données clients qui circulent par votre connector doivent être illisibles pour tout le monde à l'exception de l'expéditeur et du destinataire.

Intégrité (Integrity). Les données ne doivent pas être modifiées en cours de route. Si une commande de trois produits quitte votre boutique en ligne, trois produits doivent arriver dans Exact Online, pas deux, pas quatre, et pas trois avec un montant différent.

Disponibilité (Availability). Le connector doit fonctionner quand vous en avez besoin. Une mesure de sécurité si stricte que votre connector tombe régulièrement en panne rate sa cible.

Ces trois piliers semblent évidents. La différence réside dans la question de savoir si un fournisseur les garantit réellement de manière structurelle, ou s'il se contente de les mentionner sur un site web.

Comment iWebDevelopment aborde la sécurité de manière structurelle

Chez iWebDevelopment, la sécurité de l'information n'est ni un détail ni un discours marketing. C'est un processus continu contrôlé chaque année par un auditeur indépendant.

Certification ISO 27001

iWebDevelopment est certifié ISO 27001. Cela signifie que l'ensemble de la politique de sécurité de l'information, du contrôle d'accès à la gestion des incidents, répond à la norme internationale la plus stricte. Pas une seule fois, mais en continu. Chaque année, un audit externe vérifie si tous les processus, systèmes et procédures respectent encore la norme.

ISO 27001 n'est pas une case à cocher. Elle oblige une organisation à identifier systématiquement les risques, à prendre des mesures et à évaluer ces mesures en permanence. C'est ce qui fait la différence entre une entreprise qui affirme être sûre et une entreprise qui peut le prouver.

Test d'intrusion indépendant

Outre l'audit annuel, iWebDevelopment fait réaliser des tests d'intrusion indépendants par un bureau de sécurité externe. Ce bureau tente, avec les mêmes techniques que des hackers malveillants, de trouver des vulnérabilités dans les systèmes et les connectors.

L'objectif n'est pas de confirmer que tout est sûr. L'objectif est de trouver les points faibles avant qu'un autre ne le fasse. Les éventuelles constatations sont immédiatement prises en charge et corrigées.

Chiffrement de niveau bancaire

Toutes les données qui circulent entre votre boutique en ligne et Exact Online sont chiffrées avec le chiffrement AES-256, la même norme que les banques utilisent pour la banque en ligne. Les données en transit (en circulation entre les systèmes) comme les données au repos (stockées sur les serveurs) sont chiffrées.

Même si quelqu'un parvenait à intercepter le trafic de données, les informations resteraient illisibles sans les bonnes clés. Cela vaut pour les données clients, les données de commande et les informations financières.

Hébergé dans l'UE, chiffré, sous votre contrôle

Notre infrastructure fonctionne entièrement dans l'UE, certifiée ISO 27001 et chiffrée au repos et en transit. Les connectors de boutique en ligne fonctionnent comme un canal de transmission sécurisé : les commandes circulent de votre boutique en ligne vers Exact Online sans rester quelque part entre les deux. Pour les connectors d'analytics, nous mettons en place un environnement privé par administration, cloisonné et géré par vous. Vous décidez qui y a accès et vous pouvez retirer chaque connector à tout moment.

Cela réduit la surface d'attaque au minimum. Il n'existe tout simplement pas de base de données contenant des coordonnées bancaires ou des montants de factures qui pourrait être dérobée.

Partenariat officiel Exact Online

iWebDevelopment est partenaire officiel d'Exact Online. Ce partenariat n'est pas purement commercial : Exact impose des exigences de sécurité concrètes aux partenaires qui accèdent à son API. En répondant à ces exigences, le connector est construit selon les directives qu'Exact applique elle-même pour la protection des données clients.

Le partenariat implique aussi une communication directe en cas de modifications de l'API ou de mises à jour de sécurité. Pas de surprises, pas de maintenance en retard.

La composante RGPD

Depuis l'entrée en vigueur du RGPD en 2018, vous êtes en tant qu'entrepreneur responsable de la protection des données personnelles, même lorsque vous confiez ce traitement à un fournisseur de logiciels. Un connector qui traite des données clients sans sécurité adéquate n'est pas seulement un risque technique. C'est un risque juridique.

Lors du choix d'un fournisseur de connector, il est judicieux de demander un accord de traitement, la politique de sécurité et les éventuelles certifications. Un certificat ISO 27001 vous donne en tant qu'entrepreneur l'assurance que le fournisseur répond à une norme reconnue internationalement, quelque chose que vous pouvez présenter lors d'un contrôle RGPD.

Ce à quoi vous devez faire attention chez d'autres fournisseurs

Tous les fournisseurs de connectors n'investissent pas dans la sécurité à ce niveau. Lorsque vous comparez les fournisseurs, il y a quelques questions que vous pouvez poser.

Le fournisseur dispose-t-il d'une certification ISO 27001 ou d'une certification comparable ? Un test d'intrusion indépendant est-il réalisé régulièrement ? Comment les données sont-elles chiffrées, en transit comme au repos ? Où les données sont-elles stockées, et pendant combien de temps ? Un accord de traitement est-il disponible ?

L'absence de réponses à ces questions est en soi déjà une réponse.

Résiliable chaque mois, vos données restent les vôtres

La sécurité, c'est aussi une question de contrôle. Chez iWebDevelopment, le connector est résiliable chaque mois. Il n'y a pas de contrat annuel qui vous engage, pas de dépendance à un fournisseur qui vous force à rester. Et comme aucune donnée financière n'est stockée sur des serveurs propres, vous n'avez pas à vous soucier de ce qu'il advient de vos données en cas de résiliation.

Vos données circulent de votre boutique en ligne vers Exact Online. Elles restent les vôtres. Toujours.

La confiance commence par le choix d'un connector sécurisé

Un connector de boutique en ligne avec Exact Online doit avant tout fonctionner de manière fiable. Mais la fiabilité sans sécurité, c'est comme une porte d'entrée toujours ouverte : ça fonctionne, mais vous ne vous sentez pas à l'aise.

La certification ISO 27001, les tests d'intrusion indépendants, le chiffrement AES-256 et un partenariat officiel Exact Online ne sont pas des arguments de vente. Ce sont des conditions indispensables pour un connector auquel vous confiez vos données clients.

Envie de savoir à quoi ressemble un connector de boutique en ligne sécurisé en pratique ? Planifiez une démo et découvrez comment la sécurité fonctionne en coulisses.

Vous voulez un connector sécurisé ? Découvrez nos connectors de boutique en ligne →