Qu’est-ce que le SSPM ?
Le SaaS Security Posture Management (SSPM) désigne une catégorie d’outils qui surveillent en continu la configuration de vos applications SaaS pour y détecter des risques de sécurité. Là où la sécurité réseau protège le périmètre et où la protection des postes s’occupe des terminaux, le SSPM travaille au niveau de l’application elle-même : paramètres, permissions, règles de partage, intégrations tierces, comptes administrateurs. Quand une mauvaise configuration apparaît — un compte admin sans authentification multifacteur, un partage externe ouvert par défaut, une clé API oubliée — le SSPM la signale, la classe par gravité et indique comment la corriger.
Le terme est récent, le problème ne l’est pas. Chaque application SaaS arrive avec des dizaines, parfois des centaines de réglages qui touchent à la sécurité, et ces réglages bougent en permanence : l’éditeur change une valeur par défaut, un administrateur ouvre un accès pour un prestataire et ne le referme jamais, une équipe active une intégration sans revue. Personne ne peut relire ces paramètres à la main, sur toutes les applications, toutes les semaines.
Pourquoi en avez-vous besoin ?
Une entreprise utilise aujourd’hui bien plus d’applications SaaS que sa DSI n’en administre. Selon l’indice 2025 de Zylo, une société de 1 à 500 salariés en utilise en moyenne 152, et 70 % de la dépense SaaS est portée par les métiers plutôt que par l’IT. Chacune de ces applications est une surface d’attaque et un périmètre d’audit.
Les conséquences sont documentées : dans l’enquête 2022 de la Cloud Security Alliance, 43 % des organisations déclaraient avoir subi au moins un incident de sécurité causé par une mauvaise configuration SaaS. Et d’après le rapport 2025 d’AppOmni, 52 % des organisations s’appuient encore sur des audits ponctuels plutôt que sur une surveillance continue.
Les risques les plus fréquents :
- Comptes surprivilégiés — des rôles administrateur attribués à des personnes qui n’en ont pas besoin, qui multiplient les points d’entrée.
- MFA désactivée — des administrateurs globaux qui se connectent avec un simple mot de passe.
- Partage excessif — des fichiers et des espaces partagés publiquement, ou avec toute l’entreprise, par défaut.
- Intégrations obsolètes — des jetons OAuth et des clés API d’outils que plus personne n’utilise, mais qui lisent toujours vos données.
- Shadow AI — des applications d’IA autorisées par des salariés à accéder aux données de l’entreprise, sans que la sécurité en soit informée.
Sans SSPM, ces risques s’accumulent en silence. Chacun est une porte d’entrée potentielle pour un attaquant, ou une non-conformité qui remontera au prochain audit.
Comment ça fonctionne ?
Un SSPM se connecte à vos applications par leurs API — sans agent, sans proxy, sans modification du réseau. Le cycle tient en trois étapes.
Connecter
Vous autorisez la plateforme à lire la configuration de chaque application, par OAuth ou par une clé API dédiée. Les plateformes sérieuses demandent des accès en lecture seule par défaut, limités à l’audit et révocables à tout moment. Black Cat SSPM se connecte à 62 applications SaaS et cloud ; chaque guide de connexion explique quelle autorisation est demandée et pourquoi, et la mise en place prend environ 15 minutes.
Scanner
La plateforme évalue la configuration de chaque application contre une bibliothèque de politiques de sécurité : la MFA est-elle imposée aux administrateurs ? Le partage externe est-il restreint ? Existe-t-il des comptes dormants avec des privilèges élevés ? Un SSPM complet exécute des centaines de vérifications par application, selon un calendrier continu — pas un audit unique.
Corriger
Les écarts sont classés par gravité et accompagnés d’instructions de correction précises. Certains outils proposent une correction en un clic pour les cas simples ; d’autres créent un ticket dans vos outils existants (Jira, Slack) pour que la correction passe par vos processus habituels.
SSPM ou CASB : quelle différence ?
C’est la question la plus fréquente, et la réponse est simple : le CASB et le SSPM résolvent des problèmes différents et se complètent.
Le CASB (Cloud Access Security Broker) agit au niveau du réseau. Il contrôle qui accède aux applications cloud et quelles données circulent entre l’utilisateur et l’application. Il se déploie comme un proxy, ou s’intègre au fournisseur d’identité, pour appliquer des règles d’accès, de prévention des fuites et de détection de menaces dans le trafic.
Le SSPM agit au niveau de la configuration de l’application. Il vérifie comment l’application elle-même est réglée : paramètres, permissions, intégrations, politiques internes. Il répond à des questions comme « la MFA est-elle imposée à tous les administrateurs Okta ? » ou « des utilisateurs externes ont-ils un droit de modification sur des sites SharePoint sensibles ? ».
| Capacité | CASB | SSPM |
|---|---|---|
| Contrôle de l’accès aux applications | Oui | Non |
| Prévention des fuites de données (DLP) | Oui | Non |
| Surveillance de la configuration | Non | Oui |
| Suivi de la posture de conformité | Limité | Oui |
| Découverte du shadow IT | Partielle (réseau) | Oui (API) |
| Gouvernance des identités | Non | Oui |
Les programmes de sécurité cloud matures déploient les deux : le CASB garde la porte d’entrée, le SSPM vérifie que la maison est fermée de l’intérieur.
Les capacités clés d’un SSPM
Au moment d’évaluer un outil, six capacités comptent :
- Une couverture SaaS large — vos applications critiques doivent être supportées nativement : fournisseurs d’identité (Okta, Microsoft Entra ID), suites bureautiques (Microsoft 365, Google Workspace), outils de développement (GitHub, GitLab, AWS), collaboration (Slack, Zoom, Notion).
- Une surveillance continue — un audit ponctuel rate la dérive de configuration. L’outil doit scanner selon un calendrier régulier et alerter sur les changements.
- Le rattachement aux référentiels — la capacité à relier votre posture SaaS à SOC 2, ISO 27001, NIST CSF, CIS, et en Europe à NIS2 et DORA, fait gagner des semaines de préparation d’audit.
- La gouvernance des identités — qui est administrateur sur plusieurs applications, quels comptes sont dormants, où existe un risque d’élévation de privilèges.
- La détection du shadow AI — découvrir les applications d’IA autorisées à accéder aux données de l’entreprise via des grants OAuth est devenu une capacité SSPM à part entière. Voir Qu’est-ce que le Shadow AI ?.
- Une remédiation actionnable — trouver le problème n’est que la moitié du travail. L’outil doit fournir des étapes de correction précises et s’intégrer à vos flux de tickets et d’alertes.
Le SSPM et la réglementation européenne
En Europe, la posture SaaS n’est plus seulement une bonne pratique. NIS2 impose aux entités essentielles et importantes des mesures de gestion du risque cyber qui couvrent explicitement la sécurité de la chaîne d’approvisionnement et le contrôle d’accès — deux domaines où les applications SaaS pèsent lourd. DORA demande aux entités financières de tenir un Registre d’information de tous leurs prestataires TIC, ce qui inclut chaque éditeur SaaS. Un SSPM qui rattache ses vérifications à ces textes transforme un scan technique en élément de preuve pour l’auditeur. Voir SSPM pour NIS2 et ReCyF et SSPM pour DORA.
Comment évaluer les outils SSPM
Les critères qui comptent vraiment en pratique :
- Le délai avant les premiers résultats — un bon outil se connecte en minutes, sans agent ni proxy.
- Largeur ou profondeur — certains outils couvrent beaucoup d’applications avec des vérifications superficielles, d’autres vont en profondeur sur moins d’applications. Choisissez selon votre parc.
- La personnalisation des politiques — pouvez-vous écrire vos propres vérifications, ou êtes-vous limité au catalogue de l’éditeur ?
- Le modèle de prix — la tarification par utilisateur devient vite coûteuse ; un prix par connecteur ou par palier est plus prévisible.
- L’intégration à vos flux — alertes Slack, tickets Jira, export vers votre SIEM : le meilleur outil est celui que votre équipe utilise vraiment.
Black Cat SSPM a été construit sur ces principes : mise en place rapide, 62 connecteurs, plus de 1 800 politiques de sécurité documentées, un rattachement natif à NIS2 et DORA, et des tarifs publics à partir de 79 € par mois. Vous pouvez démarrer un essai gratuit et voir votre posture de sécurité SaaS en 15 minutes environ, guide pas à pas compris.