Questions essentielles pour évaluer les fournisseurs tiers face au risque cyber

Des consultants marketing et partenaires supply chain aux comptables et fournisseurs de services IT, les organisations d'aujourd'hui dépendent de toutes sortes de tiers pour pratiquement toutes les fonctions métier imaginables.

Selon une récente recherche du Ponemon Institute, la conséquence non intentionnelle de ces dépendances tierces est que 61 % des organisations aux États-Unis ont subi une violation de données causée par un tiers ou un fournisseur. Cinquante-sept pour cent des entreprises ne peuvent pas déterminer si les politiques de sécurité et les défenses de leurs fournisseurs peuvent prévenir adéquatement une violation, et moins de la moitié évaluent les pratiques de sécurité et de confidentialité des fournisseurs avant d'initier un accord commercial impliquant le partage d'informations sensibles ou confidentielles.

Il n'est donc pas surprenant que, selon la même recherche, seulement 16 % des répondants ont évalué leurs entreprises comme « hautement efficaces » pour atténuer le risque tiers. En fait, ceux qui priorisent la gestion de leurs risques d'externalisation sont minoritaires.

Le meilleur moment pour commencer à réduire le risque tiers est au tout début de la relation — avant de conclure un accord. C'est à ce moment que vous devez poser des questions critiques pour identifier l'exposition possible que vous prenez, et comment éviter au mieux un compromis. Les fournisseurs avec de solides pratiques de sécurité sont généralement prêts à en discuter, tandis que ceux qui évitent de telles discussions pourraient avoir quelque chose à cacher. Dans cet esprit, voici cinq questions — une en interne et quatre pour les candidats sérieux — que vous devriez poser lors de l'évaluation d'un tiers :

Quelles données et systèmes le tiers possédera-t-il ou aura-t-il accès ?

De nombreux tiers n'auront pas accès à des données ou systèmes sensibles, donc s'ils subissent une violation, la menace pour vous est minime. Un fournisseur d'aménagement paysager, par exemple, a peu d'accès aux données ou systèmes, et probablement aucun à l'intérieur de toute installation. Peut-être le seul réseau informatisé auquel il pourrait accéder est un système d'irrigation, qui serait plus que probablement isolé des systèmes internes de l'entreprise. Par conséquent, toute violation potentielle de ce fournisseur hypothétique aurait peu ou pas d'impact.

Un fournisseur RH, système financier ou vendeur, par contraste, serait très différent. Par exemple, si vous engagiez un consultant pour développer des analyses clients en soutien à la stratégie marketing ou commerciale, cette entité pourrait avoir accès à des données d'entreprise couvrant les numéros de carte de crédit et adresses domicile des clients, ou les finances de l'entreprise. Ce type de consultant devrait être soigneusement vérifié.

Quel type de journalisation et de surveillance le tiers effectue-t-il ?

La journalisation et la surveillance sont les principaux moyens par lesquels une organisation enregistre et répond à l'activité dans son environnement. Mais les journaux d'activité système et réseau sont verbeux. Et dans les environnements informatiques modernes, composés de multiples systèmes divers et de réseaux à large bande passante, le volume d'événements de journal devient rapidement écrasant pour un humain à gérer. Pour surveiller correctement les événements de sécurité, des outils doivent être déployés pour stocker et trier ces événements. En connaissant les choix de personnel et d'outils du fournisseur, vous comprendrez à quel point il prend la sécurité au sérieux. Après tout, personnes + outils = argent = ressources = priorités. Recherchez des partenaires qui priorisent et investissent dans la sécurité.

Comment le tiers gère-t-il les contrôles d'accès physiques et techniques ?

Les contrôles d'accès sont un moyen de réduire la vulnérabilité, et donc le risque. Ils prennent deux formes principales : physique et technique. Dans notre monde hyperconnecté, il est facile d'oublier l'importance des contrôles physiques. Vous devez identifier les emplacements physiques où le tiers stocke, traite et transmet les données, ainsi que le niveau de sécurité physique à ces endroits. Si vos données doivent être stockées sur des appareils mobiles, il est important de comprendre les contrôles de sécurité associés à ces appareils, car ils ne sont pas toujours dans un emplacement physique statique.

Les contrôles d'accès techniques sont également importants pour l'évaluation des systèmes et réseaux. Demandez combien d'individus auront accès à vos données, et dans quel but. Comprenez comment le tiers utilise l'authentification multi-facteurs, à quelle fréquence les utilisateurs du groupe administrateur sont revus, à quelle fréquence les permissions système sont revues, et comment l'accès des employés partants est supprimé. De plus, apprenez comment les pratiques et outils de segmentation réseau sont utilisés. Par exemple, quels contrôles sont en place pour isoler les systèmes de production d'autres environnements comme Internet ? Comment le tiers segmente-t-il son réseau interne ?

Souvent, de bons contrôles d'accès physiques peuvent compenser des contrôles techniques faibles, et vice versa. Mais la meilleure pratique est de limiter l'accès physique et technique aux données et systèmes aux individus nécessaires pour fournir le service. Des contrôles d'accès laxistes ouvrent la surface d'attaque et augmentent votre risque.

Quelles approches le tiers adopte-t-il pour le patching des systèmes ?

Alors que les vulnérabilités inconnues ou non divulguées sont dramatiques et attirent beaucoup d'attention, elles sont rares. Les organisations sont plus à risque face aux vulnérabilités connues qu'inconnues. Par conséquent, les tiers doivent avoir des programmes robustes pour corriger les vulnérabilités connues, en appliquant rapidement les correctifs de sécurité qui corrigent les failles et suppriment le logiciel vulnérable sous-jacent.

Les grands éditeurs de logiciels publient des mises à jour selon un rythme régulier. Dans votre examen des tiers, vous devez être convaincu que les systèmes qui traitent, stockent et transmettent vos données recevront des mises à jour régulières et opportunes, et qu'il existe des processus accélérés pour les vulnérabilités immédiates et critiques.

Le tiers subit-il des audits ou tests indépendants ? Quelles certifications de sécurité a-t-il obtenues ?

Les audits maintiennent les organisations responsables. Les tiers devraient s'auto-auditer en complétant et en tenant à jour des questionnaires de sécurité standardisés tels que le SIG Lite ou le CSA CAIQ. Au-delà des auto-évaluations, les audits indépendants vous donnent la tranquillité d'esprit que le tiers suit ses politiques et procédures. Les audits indépendants peuvent inclure des tests de pénétration ou du SOC 2. Certaines industries ont leurs propres certifications comme HITRUST dans la santé, PCI pour les processeurs de paiement, et FedRAMP dans le gouvernement fédéral américain. Dans tous les cas, les audits indépendants sont importants et montrent un engagement à maintenir un programme de sécurité de l'information formel et validé.

Prises collectivement, les discussions autour de ces domaines clés vous donneront un aperçu de la posture de sécurité d'un fournisseur. Si les réponses du fournisseur sont transparentes et indiquent une priorité stratégique et une diligence proactive, vous pouvez avancer plus confiant. Si la posture de sécurité du fournisseur est immature, vous devez soit accepter le risque, soit envisager d'autres atténuations pour le contrôler.

Ne laissez pas la sécurité des données être une réflexion après coup. Faites-en une partie intégrante des discussions sur les produits et services. Dans l'environnement actuel d'attaques volumineuses et complexes, la cybersécurité est une affaire business. Vous devez faire votre due diligence pour comprendre votre risque.

Jeremy Haas est directeur de la sécurité, et Ryan Bergquist est analyste cybersécurité, chez LookingGlass Cyber Solutions.