Les chaînes d'approvisionnement amplifient les menaces de cybersécurité, selon un nouveau rapport

Les chaînes d'approvisionnement créent des risques de cybersécurité pour les entreprises, selon un rapport d'une firme de services de sécurité.

BlueVoyant, basée à New York, a dit avoir interrogé plus de 1 500 DSI, RSSI et directeurs des achats dans cinq pays. Ces dirigeants sont dans une variété de secteurs incluant la fabrication.

Le rapport dit que 80 pour cent des répondants « ont subi une violation » via la chaîne d'approvisionnement. La plupart d'entre eux « ont subi au moins deux violations et un sur dix en a subi plus de six. »

La firme de conseil a dit que 29 pour cent des répondants « ont dit qu'ils n'avaient aucun moyen de savoir si un risque émergeait chez un fournisseur tiers » jusqu'à ce qu'une violation se produise. « De telles organisations volent effectivement à l'aveugle. »

« Le problème de perturbations réelles des chaînes d'approvisionnement qui se produisent est bien réel », dit Jim Penrose, COO de BlueVoyant, dans une interview.

Penrose dit que les grands fabricants doivent assister leurs fournisseurs en cybersécurité.

« Nous dépendons tous les uns des autres », dit-il. « Beaucoup des petits n'ont peut-être pas d'équipe de sécurité. »

Selon BlueVoyant, seulement 23 pour cent des répondants ont dit qu'ils surveillent tous leurs fournisseurs, tandis que 19 pour cent ont dit qu'ils ne surveillent que les fournisseurs critiques.

« Cela laisse une longue traîne de fournisseurs entièrement non surveillés, avec un risque potentiellement émergent de n'importe lequel d'entre eux un jour donné », selon le rapport.

Penrose dit que les entreprises, incluant les fabricants, conduisent des revues à intervalles spécifiques.

« La première étape est de devoir changer ce modèle d'évaluation périodique », dit-il. « Cette revue périodique est juste trop lente. »

Le rapport BlueVoyant dit que seulement 2 pour cent des répondants conduisent une surveillance en temps réel ou quotidienne, avec seulement « un sur dix » conduisant des évaluations chaque semaine. Le rapport dit que « un cinquième évaluent le risque cyber trimestriellement. » Tout cela se compare au « paysage de menace cyber en rapide évolution. »

Les entreprises doivent se demander : « Comment faisons-nous baisser le risque chaque jour ? » dit Penrose dans l'interview.

« Les organisations ne sont pas toujours transparentes avec les fournisseurs quand elles découvrent un problème », dit le rapport. Des répondants, 36 pour cent « informent le fournisseur et espèrent qu'ils corrigent le problème, tandis que le même pourcentage comptent sur le fournisseur pour assurer une sécurité adéquate. »

Une section du rapport couvrait la fabrication spécifiquement.

L'Internet Industriel des Objets (IIoT), où les machines de production communiquent entre elles, cause plus de risque cyber, a dit la firme de conseil. Les « impacts potentiels d'attaques cyber désactivant tout ou partie de l'IIoT, ou récoltant des données de celui-ci, augmentent », a dit le rapport.

La firme de conseil a interrogé 250 dirigeants dans le secteur manufacturier. De ces répondants, 57 pour cent ont dit qu'ils ont subi une violation cyber dans leur chaîne d'approvisionnement dans les 12 derniers mois. Aussi, 82 pour cent ont dit qu'ils ne surveillent pas tous les fournisseurs pour le risque cyber.