Les 5 meilleures stratégies pour atténuer les risques cyber dans votre chaîne d'approvisionnement

De nos jours, il est presque impossible de gérer une entreprise sans l'aide de fournisseurs tiers pour assister à la livraison de vos produits, systèmes ou services. Travailler avec des partenaires externes apporte son lot d'avantages, notamment des processus plus rationalisés et efficaces pour répondre aux demandes accrues des clients. Dans le même temps, de nouvelles entités peuvent apporter de nouveaux risques, surtout dans le domaine de la cybersécurité. Lorsque les entreprises collaborent et partagent des informations, le risque de l'une devient celui de toute la chaîne.

Évaluer les risques

Lors de l'établissement de nouvelles relations avec des fournisseurs, il est important de s'assurer de leur position en matière de cybersécurité. Quels contrôles ont-ils mis en place ? Quels processus et politiques sont utilisés pour garantir la protection des données ? Si vous partagez des données avec vos fournisseurs, surtout des informations sensibles sur les clients, vous voulez savoir qu'elles resteront sécurisées.

Il est également judicieux de considérer l'importance globale de la relation fournisseur. Fera-t-elle partie de votre chaîne d'approvisionnement immédiate ou assistera-t-elle de manière ponctuelle ? Tous les partenaires devront être vérifiés, mais ceux qui jouent un rôle intégral dans votre chaîne d'approvisionnement comportent plus de risques et justifient plus de prudence.

Définir des exigences de sécurité

Pour encourager une relation transparente avec vos fournisseurs et définir des attentes claires, il peut être utile d'élaborer une politique fournisseur.

Avec un tel document, vous pouvez dédier des sections à la cybersécurité et à la protection des données, en précisant le niveau de sécurité que vos fournisseurs doivent pouvoir démontrer. L'un des moyens les plus simples est de demander à vos fournisseurs de s'aligner sur un ensemble existant de normes et certifications en cybersécurité. Aux États-Unis, les plus populaires incluent l'ISO 27001, reconnue internationalement, et le cadre NIST. Au Royaume-Uni, la norme gouvernementale Cyber Essentials aide les entreprises à réduire 80 % des risques en s'alignant sur cinq contrôles techniques critiques. Se conformer à ces normes peut être un moyen facile pour vos fournisseurs de démontrer une bonne posture de cybersécurité.

Lors de l'imposition d'exigences de sécurité à vos fournisseurs, il est préférable de s'assurer que votre propre entreprise les respecte déjà. En participant à une chaîne d'approvisionnement, vous vous connectez à tous les autres acteurs ; toute amélioration de votre propre posture de sécurité ne fera que renforcer l'ensemble de la chaîne.

Mettre en place une formation en cybersécurité

L'erreur humaine reste la cause numéro un des cyberattaques. C'est donc l'un des éléments les plus vitaux à adresser. Alors que vous devez toujours travailler à favoriser une culture de sensibilisation à la cybersécurité au sein de votre propre entreprise, cette pratique doit être encouragée dans toute la chaîne d'approvisionnement.

Envisagez de partager des ressources avec les fournisseurs pour les aider à former leurs employés aux risques cyber. Il existe de nombreux exercices et articles gratuits en ligne offrant des conseils aux entreprises.

Sécuriser les transferts de données

Les données au sein de la chaîne d'approvisionnement doivent être transférées via des canaux sécurisés et protégées en permanence. Les pirates sont plus susceptibles d'intercepter les données pendant leur déplacement d'un endroit à un autre, ce qui rend d'autant plus important le maintien d'une bonne sécurité durant ce processus. Le chiffrement des données avant leur transfert est un excellent moyen de minimiser ce risque.

Les entreprises doivent également s'assurer d'avoir une vision complète des différents types de données présentes dans leur chaîne d'approvisionnement et de leur emplacement. Cela inclut les données internes (et les systèmes de sauvegarde) ainsi que les données auxquelles vos fournisseurs ont accès. Ces informations varieront probablement en sensibilité. Certaines peuvent être hautement sensibles, tandis que d'autres sont accessibles au public. Vous pouvez aider à prévenir la fuite de données en les classifiant et les étiquetant correctement, afin de savoir où se trouvent les informations les plus précieuses.

Rappelez-vous que vous êtes aussi le fournisseur de quelqu'un

Souvent, un pirate ciblera une petite entreprise pour accéder au reste de sa chaîne d'approvisionnement, s'attendant à ce que ses défenses cyber soient minimales ou inexistantes. Nous l'avons vu dans l'une des premières grandes attaques de chaîne d'approvisionnement médiatisées en 2013, lorsqu'un sous-traitant tiers travaillant avec Target a été compromis, permettant aux pirates de voler des millions de détails de cartes de crédit des clients du réseau interne du détaillant.

Les petites entreprises doivent non seulement considérer la sécurité de leurs fournisseurs, mais aussi maintenir un haut niveau de cybersécurité pour convaincre les partenaires plus importants qu'elles ne représentent pas un risque. De nombreuses entreprises, notamment dans le secteur public, exigent désormais que certaines normes de sécurité soient respectées par tous leurs fournisseurs avant de signer des contrats avec eux.

Gérer les menaces cyber au sein de la chaîne d'approvisionnement n'a pas à être une tâche décourageante, mais il est important de prendre la responsabilité de votre propre risque et de maintenir des normes cohérentes en matière de cybersécurité. Il est dans l'intérêt de chaque entreprise de comprendre les processus, politiques et solutions de sécurité de tous les partenaires. Non seulement ces étapes réduisent le risque pour l'ensemble de la chaîne d'approvisionnement, mais elles démontrent également aux clients, partenaires et parties prenantes que leurs secrets sont en sécurité avec vous.

Clive Madders est directeur technique chez Cyber Tec Security.