Cette page a été traduite à l'aide d'outils d'IA et peut contenir des erreurs. Pour obtenir les informations les plus précises et les plus récentes, veuillez consulter la version originale en anglais.

En août 2025, un éditeur de premier plan de logiciels de gestion des ressources humaines et financières, Workday, a été victime d'une attaque d'ingénierie sociale ciblant un système tiers de gestion de la relation client (CRM). L'incident a exposé les coordonnées professionnelles de l'entreprise, notamment les noms, adresses e-mail et numéros de téléphone.

Le même mois, 2,5 millions d'enregistrements de données clients de Google ont été compromis lors d'une attaque similaire contre son système CRM. L'une des entreprises technologiques les plus puissantes au monde a été victime d'une attaque de hameçonnage vocal à l'origine de cet incident.

À la même période, Farmer's Insurance, l'un des principaux assureurs américains, a également subi une attaque qui a touché 1,1 million de membres de sa clientèle. L'entreprise a confirmé dans un communiqué que des acteurs non autorisés avaient accédé à une base de données tierce contenant des informations sensibles sur ses clients.

Ces entreprises sont différentes, issues de régions et de secteurs variés, au service de clientèles très diverses — pourtant, elles ont toutes un point commun : dans chaque cas, leur CRM a servi de point d'entrée à des acteurs malveillants pour s'introduire dans leurs systèmes sensibles, exfiltrer des millions d'enregistrements et les prendre en otage.

La sécurité est inscrite dans notre ADN. Si nous cherchons continuellement à améliorer les fonctionnalités de nos produits et à répondre aux besoins en constante évolution de nos clients, nous veillons à ce que chaque version livrée, chaque fonctionnalité publiée et chaque nouvelle modification intègre la sécurité à son fondement — y compris dans Zoho CRM.

L'architecture de nos produits repose sur une approche axée sur la sécurité en priorité, ce qui signifie que nos clients peuvent nous faire confiance pour protéger leurs données tout en les maintenant disponibles pour un usage professionnel fluide.

 

À la base, Zoho CRM est protégé par plusieurs couches de sécurité — une approche qui élimine tout risque pour vos données grâce à des contrôles préventifs, une surveillance continue et une gouvernance des accès stricte.

Au niveau de l'infrastructure, Zoho CRM opère depuis des centres de données sécurisés et répartis dans le monde entier, bénéficiant d'une protection physique et réseau renforcée. Les données sont protégées au repos et en transit afin de préserver les informations sensibles des clients durant les opérations. Des audits de sécurité réguliers, des évaluations des vulnérabilités et la conformité aux normes mondiales garantissent que la plateforme Zoho CRM reste sécurisée et fiable, ce qui en fait la solution idéale pour les entreprises de toutes tailles. Zoho est conforme aux normes mondiales telles que SOC 2, ISO 27001, ainsi qu'à plusieurs certifications sectorielles.

Au niveau du produit, l'architecture multi-locataire de Zoho privilégie des contrôles d'accès granulaires, l'authentification et la traçabilité pour sécuriser les données. Les accès basés sur les rôles, les autorisations basées sur les profils et les restrictions d'accès au niveau des champs, conjugués à des règles de partage des données sécurisées, garantissent que les utilisateurs ne peuvent effectuer que les opérations (consultation, création, modification ou suppression d'enregistrements) pour lesquelles ils sont autorisés, au niveau du module et du champ. Chaque action effectuée dans Zoho CRM est consignée à des fins de surveillance de l'utilisation et de détection des anomalies, via des journaux d'audit détaillés. Les organisations peuvent ainsi appliquer leurs politiques de sécurité tout en respectant leurs politiques internes.

En tant qu'éditeur, Zoho met tout en œuvre pour protéger vos données, mais la sécurité est une responsabilité partagée entre l'éditeur et ses clients. Cela est particulièrement vrai face aux attaques avancées telles que le hameçonnage, l'ingénierie sociale sophistiquée, les rançongiciels et les logiciels malveillants.

Les acteurs malveillants utilisent une multitude de tactiques pour s'introduire dans les systèmes de leurs cibles et déploient généralement un éventail de méthodes d'attaque. Dans les exemples décrits, le hameçonnage vocal — où des attaquants contactent certains utilisateurs CRM d'une organisation en se faisant passer pour un agent du support informatique — a été utilisé pour inciter des utilisateurs à effectuer des actions susceptibles de compromettre la sécurité des données. Une autre tactique courante consiste à amener les utilisateurs à connecter des applications non autorisées ou à introduire des logiciels malveillants dans leurs systèmes CRM, qui extraient alors les données par petits paquets.

Ces attaques nécessitent des plans d'action communs entre nous, les éditeurs, et vous, les clients, afin de protéger vos données contre les attaques et les menaces. Vous trouverez ci-dessous quelques-unes des principales fonctionnalités de sécurité et bonnes pratiques que les organisations peuvent adopter côté utilisateur pour garantir une protection complète des données.

Le credential stuffing et le password spraying figurent parmi les cyberattaques automatisées les plus répandues, alimentées en partie par la réutilisation fréquente des mots de passe et le recours à des protocoles d'authentification faibles. Le taux de réussite des attaques individuelles par mot de passe est rassurément faible, de l'ordre de 0,1 % à 2 %. Cependant, compte tenu de l'ampleur des attaques que les bots peuvent faciliter, ce taux peut atteindre jusqu'à 40 %, comme indiqué dans cet article.

Une méthode simple mais efficace pour protéger vos données contre les attaques liées aux identifiants consiste à les sécuriser avec l'authentification multifacteur associée à des mots de passe à usage unique basés sur le temps (TOTP). En complément de l'utilisation de mots de passe robustes et de leur non-réutilisation, le MFA apporte une couche de sécurité supplémentaire à vos données. Zoho propose la prise en charge d'OAuth via sa propre application, Zoho OneAuth. L'accès via les API est également sécurisé par des mécanismes d'authentification basés sur OAuth pour protéger vos données. Zoho prend aussi en charge l'authentification unique (SSO) selon les standards du secteur tels que SAML, si vous faites partie de l'écosystème des applications Zoho.

Dans le domaine commercial, les partenaires externes, les tiers ou les fournisseurs ont souvent besoin d'accéder à certaines informations de votre CRM. Zoho CRM propose des portails clients sécurisés permettant aux utilisateurs externes — qui ne font pas partie de votre organisation — d'accéder à votre système de manière sécurisée via des mécanismes d'authentification tels qu'OAuth et SSO.

 

Un commercial nouvellement recruté n'a pas besoin d'accéder aux détails des transactions à forte valeur dès sa première semaine. Le directeur commercial d'une région — par exemple, la zone APAC — n'a pas à consulter l'historique client d'une autre région. Définissez des contrôles d'accès stricts et assurez-vous que chaque utilisateur n'accède qu'aux données nécessaires à l'accomplissement de ses tâches. Un accès trop large compromet la sécurité de vos données et expose des informations sensibles à des menaces imprévues ; un accès trop restreint nuit à la productivité et oblige vos agents à solliciter d'autres personnes pour obtenir les données dont ils ont besoin dans l'exercice de leurs fonctions.

Zoho CRM propose des contrôles d'accès basés sur les profils et des contrôles d'accès basés sur les rôles— le modèle RBAC — pour garantir la sécurité de vos données. Les autorisations basées sur les rôles restreignent l'accès aux utilisateurs associés à des rôles tels que commerciaux, responsables de secteur, directeurs d'agence, vice-présidents, directeurs généraux et PDG. Des niveaux d'autorisation granulaires permettent également de définir si les utilisateurs peuvent consulter les données de leurs collègues.

 

Utilisez les autorisations basées sur les profils pour restreindre l'accès des utilisateurs à des modules spécifiques. Définissez précisément ce que chaque utilisateur peut faire dans chaque module : créer, consulter, modifier ou supprimer des enregistrements. Les autorisations basées sur les profils de Zoho CRM vous permettent d'éviter d'accorder des droits illimités à chaque utilisateur du CRM, tout en garantissant qu'ils disposent des accès et des autorisations nécessaires pour mener à bien leurs activités sans entraver leur productivité.

Les autorisations d'accès de Zoho CRM incluent également des autorisations au niveau des champs, qui vous permettent de déterminer si les utilisateurs associés à un profil spécifique peuvent accéder — créer, modifier, consulter ou supprimer — à des champs précis dans n'importe quel module du CRM. Par exemple, si les coordonnées de carte bancaire de vos clients figurent dans votre module Leads, vous pouvez masquer ce champ afin que les utilisateurs du CRM (vos agents commerciaux) n'y aient pas accès.

En limitant l'accès à vos applications à une plage d'adresses IP définie, vous sécurisez automatiquement vos systèmes contre les accès non autorisés et les tentatives de hameçonnage. Les agents commerciaux terrain qui se connectent depuis d'autres pays ou d'autres réseaux peuvent sécuriser leurs connexions en utilisant un VPN pour accéder au CRM. Cette mesure garantit une sécurité totale et vous protège contre les accès provenant d'adresses IP non vérifiées ou non fiables. Vous pouvez également mettre en place une étape supplémentaire, dans laquelle les systèmes se connectant depuis des adresses IP inconnues sont invités à vérifier leur identité et à authentifier leur accès, constituant ainsi une couche de sécurité additionnelle. 

Même avec des contrôles d'accès et des protocoles rigoureux pour protéger vos données, il peut être utile de conserver une trace de toutes les activités effectuées dans votre application CRM. Zoho CRM vous le permet grâce aux journaux d'audit, un historique détaillé et horodaté de l'ensemble des actions — activités réalisées par les utilisateurs, actions administratives et événements système clés — effectuées dans l'application, présentées dans l'ordre chronologique. Vous pouvez suivre la création et la modification d'enregistrements, les soumissions d'approbation, la création de workflows, ainsi que les actions en masse telles que les mises à jour groupées, les suppressions et les exports.

Pour faciliter la consultation, les utilisateurs peuvent filtrer les journaux d'audit selon les actions effectuées. Ils peuvent ainsi filtrer les entrées du journal d'audit par module, utilisateur, type d'action ou période sélectionnée.

 

Les journaux d'audit sont accessibles à tous les utilisateurs. Cependant, chaque utilisateur ne peut consulter que son propre historique d'audit et non les journaux des autres utilisateurs. Les administrateurs disposent d'un accès complet aux journaux d'audit, ainsi que d'options d'export. Dans Zoho CRM, les journaux d'audit sont conservés pendant une durée maximale de trois ans.

Lorsque nous affirmons que la confidentialité et la sécurité sont au cœur de Zoho, cela signifie concrètement que lorsque vous vous appuyez sur notre infrastructure cloud, notre modèle robuste garantit le partage de l'infrastructure pour des raisons d'efficacité, tandis que vos données restent sécurisées.

Dans Zoho CRM, l'isolation des tenants constitue un élément fondamental de nos opérations de sécurité. La plateforme repose sur un modèle multi-tenant avec une isolation logique stricte des données, afin de garantir que les données de chaque organisation restent cloisonnées en toute sécurité. Même au sein d'une infrastructure de base de données partagée, les accès sont régis par notre modèle de partage, de sorte que les données d'un tenant sont entièrement isolées et inaccessibles aux autres. Cette approche permet aux entreprises de monter en charge efficacement tout en maintenant des frontières solides en matière de confidentialité et de sécurité des données.

Zoho CRM détient des certifications reconnues par le secteur, notamment ISO/IEC 27001, ISO/IEC 27017 et ISO/IEC 27018, et fait l'objet d'audits indépendants SOC 2 Type II. Ces certifications valident les contrôles de sécurité cloud et la gestion de la sécurité de l'information de Zoho, et garantissent la protection des données à caractère personnel (DCP).

Zoho se conforme également aux réglementations mondiales en matière de confidentialité, telles que le RGPD, ainsi qu'aux réglementations sectorielles comme la HIPAA. Zoho fait l'objet d'audits externes périodiques menés par des organismes d'audit certifiés et des tiers qui évaluent et valident notre posture de sécurité et de confidentialité.

Dans Zoho CRM, la sécurité n'est pas une considération secondaire : c'est une couche intégrée à l'ensemble de la plateforme CRM. Des contrôles d'accès à la supervision et à la conformité réglementaire, Zoho CRM est conçu pour protéger vos données à chaque étape, sans jamais compromettre l'ergonomie. À mesure que les organisations se développent, cette approche axée sur la sécurité garantit que les équipes peuvent opérer avec la certitude que leurs données sont protégées, gouvernées et toujours sous leur contrôle.