Le verdict en trois phrases
Dans un groupe pharmaceutique, une application interne sans SSO ni gestion fine des droits est désormais bloquée par la sécurité avant même sa mise en production. Le budget réaliste en 2026 : 3 000 à 10 000 EUR HT pour brancher une application sur Entra ID (ex-Azure AD), plus 5 à 15 jours pour un modèle de rôles RBAC propre et une journalisation exploitable en audit. Ces coûts sont bien inférieurs à ceux d'une remise en conformité après un incident ou une inspection.
Ce que le RSSI va exiger, et pourquoi
Les laboratoires lyonnais sont soumis aux bonnes pratiques de fabrication, à l'annexe 11 des BPF européennes sur les systèmes informatisés, au RGPD et, pour beaucoup, à la directive NIS 2 transposée en droit français. Concrètement, chaque application interne doit prouver qui a accédé à quoi, quand, et avec quels droits.
| Exigence | Niveau de base | Niveau renforcé (pharma, finance) | Effort de développement indicatif |
|---|---|---|---|
| Authentification | SSO OpenID Connect ou SAML | SSO + MFA imposée par accès conditionnel | 2 à 5 jours |
| Provisionnement des comptes | Création au premier login | Synchronisation SCIM, désactivation automatique au départ | 3 à 6 jours |
| Modèle de droits | 3 à 4 rôles fixes | RBAC par site, par service, avec séparation des tâches | 5 à 15 jours |
| Journalisation | Connexions enregistrées | Journal d'audit infalsifiable des actions sensibles, conservé 5 ans et plus | 3 à 8 jours |
| Revue des habilitations | Manuelle, annuelle | Export trimestriel pour revue par les managers | 2 à 4 jours |
| Signature électronique de validation | Absente | Double authentification à la validation d'un lot ou d'un document | 4 à 8 jours |
Le point qui coûte le plus cher n'est pas le branchement SSO lui-même, souvent rapide avec une bibliothèque éprouvée, mais le modèle de rôles : il faut cartographier qui fait quoi dans chaque service avant d'écrire une ligne de code.
Coût par niveau de sécurité
| Niveau | Contenu | Coût de développement 2026 (estimation marché) | Coût récurrent |
|---|---|---|---|
| 1. SSO simple | Connexion Entra ID, rôles basiques | 3 000-5 000 EUR HT | Inclus dans les licences Microsoft 365 existantes |
| 2. SSO + RBAC | Rôles par service, MFA, journal des connexions | 6 000-12 000 EUR HT | 0 à 6 EUR par utilisateur et par mois selon le fournisseur d'identité |
| 3. Conformité audit | RBAC fin, SCIM, journal infalsifiable, revue des droits | 12 000-25 000 EUR HT | Stockage des journaux 20 à 100 EUR par mois |
| 4. Systèmes validés GxP | Niveau 3 + signature électronique + dossier de validation | 25 000-50 000 EUR HT | Revalidation à chaque évolution majeure |
| Fournisseur d'identité tiers (Okta, Auth0) | Si pas d'Entra ID | Intégration incluse aux niveaux ci-dessus | 2 à 6 EUR par utilisateur et par mois |
Pour un groupe déjà équipé de Microsoft 365 E3 ou E5, Entra ID et l'accès conditionnel sont généralement couverts par les licences existantes : le coût récurrent supplémentaire est alors quasi nul. C'est un argument fort pour aligner toutes les applications internes sur le même fournisseur d'identité.
Les erreurs qui font échouer l'audit
Trois erreurs reviennent dans les applications développées sans cadrage sécurité. D'abord, des comptes locaux conservés « en secours » avec des mots de passe partagés : ils annulent tout le bénéfice du SSO. Ensuite, des droits attribués à la personne et non au rôle, impossibles à revoir quand l'effectif dépasse 100 utilisateurs. Enfin, des journaux stockés dans la même base que l'application, modifiables par un administrateur, donc sans valeur probante.
La bonne pratique : les rôles proviennent des groupes Entra ID, l'application ne stocke aucun mot de passe, et les journaux partent vers un stockage en écriture seule.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Nathalie, RSSI d'un groupe de laboratoires pharmaceutiques de 450 salariés à Lyon, doit sécuriser une application interne de gestion des déviations qualité utilisée par 180 personnes. Option retenue : niveau 3, chiffré 18 000 EUR HT, avec Entra ID déjà inclus dans les licences. Avant, la revue annuelle des habilitations mobilisait 12 managers pendant une demi-journée chacun, plus 4 jours de consolidation par son équipe, soit environ 10 jours-homme à 550 EUR, 5 500 EUR par an. Avec l'export automatique par groupes, elle tombe à 2 jours, soit 4 400 EUR économisés chaque année, sans compter le risque d'observation majeure en inspection évité.
FAQ
Combien coûte l'ajout du SSO à une application existante ?
En ordre de grandeur, 3 000 à 10 000 EUR HT selon l'architecture de l'application et le nombre de rôles. Une application déjà bien structurée se branche souvent en 2 à 5 jours.
SAML ou OpenID Connect ?
Pour une application web récente, OpenID Connect est plus simple et largement supporté par Entra ID. SAML reste utile pour des logiciels plus anciens ou certains fournisseurs ; les deux protocoles coûtent un effort comparable.
Faut-il payer Entra ID en plus ?
Si vous avez Microsoft 365 E3 ou E5, le SSO et l'accès conditionnel sont généralement inclus. Sinon, Entra ID P1 coûte environ 6 EUR par utilisateur et par mois.
Combien de temps conserver les journaux d'accès ?
Cela dépend de votre politique et de vos obligations : 1 an est un minimum courant, 5 ans et plus pour des données liées à la qualité pharmaceutique. Le stockage reste peu coûteux, 20 à 100 EUR par mois.
Le RBAC suffit-il pour NIS 2 ?
C'est une brique essentielle, pas la totalité. NIS 2 exige aussi gestion des incidents, sauvegardes et mesures de continuité, à traiter au niveau du groupe.
Parlons de votre projet. Indiquez-nous votre fournisseur d'identité, le nombre d'utilisateurs et vos exigences d'audit : nous chiffrons l'intégration SSO, le modèle de rôles et la journalisation, avec périmètre, budget indicatif et délai via notre formulaire de devis. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
