SSO et sécurité : ce que votre DSI vérifiera avant de valider l'outil

Le choix du logiciel événementiel est fait, le budget validé, et le projet bloque : la DSI a envoyé un questionnaire de sécurité de 80 questions. Authentification, hébergement, chiffrement, durée de conservation… Sans réponses précises de l'éditeur, le déploiement prend trois mois de retard.

Parmi les connexions entre l'outil événementiel et le reste du SI, celle avec l'annuaire de l'entreprise est la plus surveillée par les DSI. C'est elle que détaille ce guide, avec les autres garanties de sécurité à exiger.

Qu'est-ce que le SSO ?

Le SSO (single sign-on) permet aux utilisateurs de se connecter à la plateforme événementielle avec leur compte d'entreprise, sans créer de mot de passe supplémentaire. L'accès est géré par l'annuaire de l'entreprise : quand un collaborateur part, son accès est coupé partout.

Pour une convention interne de 2 000 salariés, cela change tout : personne n'oublie son mot de passe le matin de l'événement, seules les personnes de l'annuaire accèdent au programme, et le support n'est pas submergé de demandes de réinitialisation. Eventdrive propose le SSO via trois standards.

• OpenID Connect : le protocole moderne utilisé par la plupart des fournisseurs d'identité.
• SAML v2 : le standard historique des grandes entreprises.
• Azure AD : la connexion directe à l'annuaire Microsoft, aujourd'hui Entra ID.

Où activer le SSO ?

Partout où un utilisateur se connecte : le back-office des organisateurs, mais aussi les sites d'inscription, l'application et les lives réservés aux collaborateurs. Beaucoup d'outils ne protègent que le back-office, ce qui laisse les espaces participants hors du contrôle de la DSI.

Quelles garanties de sécurité exiger de l'éditeur ?

Exigez des réponses écrites sur l'hébergement, le chiffrement, la durée de conservation, la gestion des droits et la conformité RGPD. Un éditeur sérieux les fournit sans délai, avec la localisation exacte de ses serveurs.

Les données d'un événement sont plus sensibles qu'il n'y paraît : listes de clients stratégiques, organigrammes, régimes alimentaires, parfois présence de dirigeants à une date et un lieu donnés. Chez Eventdrive, édité par MYQAA à Paris, voici les réponses que nous apportons aux DSI.

• Hébergement : chez OVH, en France, à Roubaix, Gravelines et Strasbourg.
• Chiffrement : bases de données chiffrées, isolées dans un réseau privé (VLAN).
• Conservation : données sensibles supprimées le lendemain de l'événement.
• Droits : rôles et modèles par équipe, entité ou agence.
• RGPD : DPO désigné auprès de la CNIL.

Comment sécuriser un live d'entreprise ?

Un live interne se sécurise à trois niveaux : l'accès, avec le SSO ; le flux, avec le chiffrement ; et la diffusion, avec un filigrane nominatif qui dissuade les captures d'écran. C'est indispensable pour une annonce de résultats ou une réorganisation présentée par la direction générale.

Exemple : un directeur général présente le plan stratégique à 12 000 collaborateurs dans 30 pays. Chaque spectateur se connecte avec son compte d'entreprise, le flux est chiffré, et son nom s'affiche en filigrane sur la vidéo. Une capture qui circulerait sur un réseau social permettrait d'identifier immédiatement sa source.

• Chiffrement AES-128 : pour les flux vidéo diffusés.
• SRTP et DTLS : pour les échanges en temps réel avec les intervenants.
• Filigrane nominatif : le nom du spectateur incrusté dans l'image.
• Accès par SSO : seuls les comptes de l'annuaire peuvent regarder.

Comment préparer la validation par la DSI ?

Impliquez la DSI dès la présélection, pas après le choix. Demandez à chaque éditeur sa documentation de sécurité et son questionnaire déjà rempli : vous gagnerez plusieurs semaines.

Les mêmes règles valent pour les flux de données avec vos autres outils, comme la synchronisation avec Salesforce et HubSpot, et pour les accès donnés à un assistant IA, décrits dans notre page sur le pilotage par MCP : l'IA ne doit voir que ce que l'utilisateur a le droit de voir.

• Fiche d'hébergement : localisation des serveurs et sous-traitants.
• Contrat de sous-traitance RGPD : signé avant la mise en production.
• Protocoles SSO : compatibles avec votre fournisseur d'identité.
• Politique de conservation : durées par type de donnée.
• Gestion des incidents : délai et procédure de notification.

FAQ

Conclusion

La sécurité n'est plus un sujet réservé à la DSI : c'est elle qui décide si un projet événementiel démarre à temps. Un SSO actif sur tous les espaces, un hébergement en France, des données sensibles purgées rapidement et des lives protégés permettent de passer cette étape sans retard.

À lire aussi :

• Relier vos événements au CRM commercial
• Donner à l'IA un accès maîtrisé à vos événements
• Hébergement en France et RGPD