Le plan en 5 étapes de Cisco pour une cybersécurité tiers robuste

C'est déjà assez difficile de renforcer la cybersécurité à l'intérieur des murs de votre propre entreprise. Mais faire la même chose pour l'armée de partenaires qui compose une chaîne d'approvisionnement mondiale ? Cela peut être proche de l'impossible.

Presque pas une semaine ne passe sans nouvelles d'une autre cyberattaque contre la chaîne d'approvisionnement d'une grande entreprise. Et plus souvent qu'autrement, le vecteur d'intrusion est un tiers avec des contrôles faibles.

Dans les chaînes d'approvisionnement modernes, un tiers peut être toute entité qui vend des pièces, produits, services, support, logiciels — la liste continue. « Pour moi, cela comprend quiconque d'autre que nous qui, à un moment donné dans les étapes de la chaîne de valeur, est réellement impliqué dans nos solutions », dit Edna Conway, directrice de la sécurité de la chaîne de valeur mondiale chez Cisco Systems, Inc.

Cisco favorise le terme « chaîne de valeur » — que de nombreuses entreprises et consultants ont tenté sans succès de supplanter « chaîne d'approvisionnement » comme descripteur général pour le parcours de bout en bout du produit au marché — car il suggère un univers plus large d'entités indépendantes engagées dans cet effort. Mais que l'on adopte ou non le jargon d'entreprise, il n'y a aucun doute que la prolifération des partenaires soulève de graves problèmes de cybersécurité. Sans systèmes et procédures adéquats en place, n'importe lequel d'entre eux pourrait tomber proie aux efforts de mauvais acteurs, y compris des entreprises rivales, des gouvernements, des extorqueurs et même des pirates de sous-sol.

Conway offre l'approche suivante en cinq étapes pour mettre en place un plan de cybersécurité efficace pour les relations avec les tiers.

1. Connaître le « qui, quoi et où » de votre supply chain

Bien que cela puisse semballer évident, de nombreuses entreprises n'ont pas une maîtrise de toutes les parties qui contribuent d'une manière ou d'une autre à l'entreprise. C'est particulièrement le cas dans les supply chains multi-niveaux — et il est difficile de penser à un produit manufacturé aujourd'hui qui ne repose pas sur une telle structure.

2. Travailler sur les moyens de communiquer efficacement avec toutes ces parties

Conway ne fait pas référence à toutes les interactions qui couvrent les questions géopolitiques ou la continuité de l'approvisionnement, seulement celles qui adressent spécifiquement les questions de sécurité. En tant que telle, elle décrit trois principaux types de menaces : la manipulation (quand l'information est altérée), l'espionnage (aussi bien d'État-nation qu'industriel), et la perturbation (impliquant des tentatives d'arrêt de l'entreprise). Elle dit qu'il peut être difficile d'impressionner un développeur de logiciels sous licence ou un fournisseur de services cloud tiers de l'importance de se prémunir contre les trois menaces. Il en va de même pour les individus sur le terrain de l'usine, dont l'attention pourrait être concentrée sur le maintien de la ligne en marche. « Il faut de la formation pour faire de la sécurité une partie de la pensée quotidienne de n'importe qui dans n'importe quel rôle », dit Conway.

3. Développer une architecture « flexible et élastique »

L'approche de Cisco en matière de sécurité de la supply chain englobe 11 domaines discrets qui reflètent la complexité de ses processus. Conception, développement, livraison et service : chaque discipline possède des relations avec des tiers, créant la possibilité d'innombrables points faibles à la fois à l'intérieur et à l'extérieur de l'organisation. La stratégie tient compte du fait que divers domaines de production nécessitent des directives uniques à leurs opérations. « Nous avons écrit les exigences d'une manière que vous pouvez les mapper, de sorte que seules celles qui sont basées sur la nature de ce que vous nous livrez s'appliquent », dit Conway. « Tout le monde obtient une version personnalisée. »

4. Intégrer la sécurité dans tout ce que vous faites avec tous les tiers

Conway exhorte les entreprises à poser la question : « Pourquoi les utilisons-nous, et comment performent-ils selon nos métriques de service ? » Ironiquement, à l'époque où la « Qualité » était brandie dans des bannières et des rassemblements d'entreprise, le concept n'était pas « imprégné de manière persuasive » au sein de l'organisation. Quand il s'agit de cybersécurité maintenant, la qualité n'est pas un slogan ou une fonction discrète, dit Conway — elle est instillée dans chaque processus au sein de la supply chain. Cisco attribue des points aux tiers en ligne avec leur adhérence démontrée à la qualité, et la sécurité est une partie clé de cette mesure. « Nous la rendons mathématiquement significative, donc si vous êtes fantastique en tant que fournisseur mais horrible en sécurité, vous pourriez ne pas rester un fournisseur privilégié », dit-elle.

5. Tout le monde doit mesurer

Conway a poussé fort pour mesurer la performance à travers l'organisation. « Nous établissons des niveaux de tolérance contre nos propres spécifications et processus », dit-elle. « À la fin de la journée, nous faisons parler la sécurité le langage des affaires. »

L'initiative de sécurité de Cisco n'a pas été implémentée d'un seul coup. Conway, qui a précédemment servi comme avocat externe pour l'entreprise spécialisé dans les questions de propriété intellectuelle, est devenue sa CSO au début des années 2000. Plutôt que d'imposer immédiatement une « architecture monolithique » dès le début, elle l'a prise par étapes, commençant par les partenaires de fabrication électronique (EMS) de Cisco, puis passant aux producteurs de circuits imprimés, à l'ingénierie et à la multitude de partenaires de canal qui composent la « chaîne de valeur » de l'entreprise.

En prêchant l'évangile de la cybersécurité, Conway considère qu'il est essentiel de communiquer avec la suite exécutive, dont la vision du monde est enracinée dans le profit et la perte. « J'aimerais traduire mes niveaux de tolérance en risque en dollars », dit-elle. « Nous avons tous besoin de parler le langage des affaires. »