Même si votre organisation investit des ressources considérables dans son programme de sécurité informatique, il peut être extrêmement difficile de sécuriser votre chaîne logistique numérique contre les violations de données par des tiers, les attaques par ransomware et autres risques de sécurité. Cette tâche devient encore plus difficile à mesure que votre chaîne logistique se complexifie ou dépend fortement de partenariats à l'étranger.
Comment pouvez-vous obtenir une visibilité sur les risques posés par les tiers, quatrièmes et Nèmes parties de votre chaîne logistique étendue, tout en vous assurant que vos fournisseurs disposent des contrôles de sécurité nécessaires pour protéger votre entreprise ? Cet article vous aidera à démarrer en partageant quelques bonnes pratiques pour mettre en place un programme de gestion des risques liés à la chaîne logistique cybernétique (C-SCRM) plus efficace et efficient.
Qu'est-ce que la gestion des risques liés à la chaîne d'approvisionnement cybernétique (C-SCRM) ?
La gestion des risques liés à la chaîne d'approvisionnement numérique (C-SCRM) est le processus qui consiste à identifier, analyser et atténuer les vulnérabilités, les expositions de données et autres failles de sécurité qui menacent la capacité d'une organisation à fournir des produits et services informatiques (IT) ou opérationnels (OT).
La gestion des cyberrisques dans votre chaîne d'approvisionnement nécessite non seulement de protéger votre organisation contre les attaques directes, mais aussi d'atténuer le risque de violations de données par des tiers et des parties N qui pourraient perturber vos activités.
Le risque lié à la chaîne d'approvisionnement est désormais une préoccupation au niveau du conseil d'administration pour de nombreuses organisations. Cela n'a rien de surprenant, compte tenu des statistiques suivantes issues d'une récente étude Prevalent:
- 45 % des organisations ont été victimes d'une violation de données ou d'une atteinte à la vie privée par un tiers au cours des 12 derniers mois.
- 54 % des personnes interrogées ont signalé une perturbation de la chaîne d'approvisionnement.
- 55 % ont signalé une violation de conformité liée à un manque de supervision par un tiers.
Un programme C-SCRM efficace peut aider votre organisation à prendre des décisions éclairées et à sélectionner des fournisseurs qui prennent au sérieux la cybersécurité et la conformité.
Exemples de risques liés à la chaîne d'approvisionnement numérique
Ransomware
Un ransomware est un logiciel malveillant qui empêche l'accès aux systèmes informatiques compromis, crypte les fichiers sur ces systèmes ou menace de divulguer des données sensibles volées si une rançon n'est pas versée à l'attaquant. Si les ransomwares existent depuis des décennies, les progrès technologiques ont permis aux cybercriminels d'atteindre de nouveaux niveaux d'ampleur et de sophistication. Au lieu de cibler principalement les PME pour leur extorquer de petites sommes comme ils le faisaient auparavant, les attaquants s'en prennent désormais aux grandes entreprises qui sont les pivots des chaînes d'approvisionnement mondiales.
Il n'est pas surprenant que les ransomwares aient fait la une de l'actualité. Un exemple lié au C-SCRM est la violation de Kaseya l'année dernière, qui a conduit à des attaques de ransomwares contre des milliers d'entreprises via l'outil de surveillance et de gestion à distance (RMM) de la société.
Vulnérabilités logicielles
L'utilisation de logiciels présentant des vulnérabilités connues ou le manque de visibilité sur les pratiques de sécurité d'un éditeur de logiciels peut exposer votre organisation à des perturbations importantes, des violations de données et des temps d'arrêt. Prenons l'exemple de la violation de SolarWinds, qui a exposé des milliers d'organisations et d'entités gouvernementales à des acteurs malveillants pendant des mois.
Accès physique et virtuel aux technologies de l'information
L'accès physique et virtuel aux technologies de l'information est l'un des canaux les plus évidents par lesquels la chaîne d'approvisionnement peut être compromise. De nombreuses entreprises ont été piratées par des sous-traitants qui semblaient initialement présenter un faible niveau de risque. Cependant, comme ces sous-traitants avaient un accès physique aux installations et aux systèmes informatiques, des acteurs malveillants ont pu les utiliser comme chevaux de Troie pour accéder aux clients de l'entreprise.
Identifiants volés
Les cybercriminels ne volent souvent pas directement les données lorsqu'ils exploitent les comptes de messagerie ou les réseaux d'une entreprise. Ils vendent plutôt les noms d'utilisateur et les mots de passe compromis sur le dark web contre des bitcoins ou d'autres cryptomonnaies. Cela réduit le risque pour les criminels, car ils peuvent immédiatement monétiser les identifiants volés sans avoir à pirater les comptes individuels.
Récemment, des groupes de ransomware opérant sur le dark web ont commencé à publier des informations sur leurs victimes afin de faire pression sur les organisations concernées pour qu'elles paient une rançon. La surveillance de ces forums et blogs peut permettre de détecter rapidement les violations de données potentielles susceptibles d'affecter les données partagées tout au long de votre chaîne d'approvisionnement.
Violations de conformité
Selon une récente étude de Prevalent, 55 % des organisations ont signalé une violation de conformité liée à un manque de surveillance des tiers. Les organisations sont de plus en plus tenues de sécuriser les informations personnelles identifiables (PII) au sein de leur propre organisation et de s'assurer de manière proactive que les tiers sécurisent les données des clients et autres informations sensibles. Les réglementations applicables comprennent le CCPA, le RGPD, le CMMC, le PCI DSS et plusieurs autres.
Meilleures pratiques en matière de gestion des risques liés à la chaîne logistique numérique (C-SCRM)
Il est déjà suffisamment fastidieux de trouver des solutions qui répondent aux exigences fonctionnelles et commerciales de votre organisation. Évaluer la posture d'un fournisseur potentiel en matière de cybersécurité ajoute une complexité et une incertitude supplémentaires au processus de sourcing et de sélection.
C'est pourquoi il est essentiel de commencer votre relation avec un fournisseur potentiel en effectuant une vérification préalable au contrat, conformément à vos demandes d'informations, appels d'offres et autres processus RFx. Les informations relatives à la cybersécurité à rechercher à ce stade précoce de la relation avec le fournisseur doivent inclure :
- Historique des violations de données et divulgations, afin de déterminer si le fournisseur est vulnérable aux cyberattaques.
- Technologies tierces utilisées, afin d'obtenir une visibilité sur les risques liés à la concentration technologique et de découvrir les technologies périphériques susceptibles de fournir des canaux parallèles à votre organisation.
En intégrant ces informations à votre processus RFx, vous vous assurerez non seulement que la solution choisie est adaptée à vos besoins, mais aussi que le fournisseur qui la propose n'expose pas votre organisation à des risques inutiles.
Intégrer les exigences de sécurité dans les contrats avec les fournisseurs
De nombreuses organisations négligent le fait qu'elles peuvent imposer des contrôles de cybersécurité dans leurs contrats. Les accords de niveau de service (SLA) et autres accords contractuels peuvent exiger des tiers et des quatrièmes parties qu'ils mettent en œuvre ou maintiennent des contrôles de cybersécurité afin de protéger les données sensibles de votre organisation.
Comprendre les risques profilés, inhérents et résiduels liés aux fournisseurs
Comprendre les différents types de risques liés aux fournisseurs peut vous permettre de prendre des décisions fondées sur des données concernant la manière d'utiliser les questionnaires sur les risques liés aux fournisseurs, ainsi que de comparer avec précision les fournisseurs en fonction de risques mesurables. Chez Prevalent, nous classons les risques liés aux fournisseurs en trois catégories :
- Risque profilé : Le risque profilé s'applique à la catégorie de produits ou de services qu'un fournisseur fournit à votre organisation. Par exemple, un fournisseur de services gérés (MSP) ayant accès à votre environnement informatique présente un risque profilé bien plus important qu'un prestataire de services de nettoyage.
- Risque inhérent : Le risque inhérent correspond au niveau de risque présenté par un fournisseur avant la mise en œuvre des contrôles de sécurité exigés par votre organisation. Le risque inhérent est calculé pour chaque entreprise en fonction des évaluations des risques et des données de surveillance des risques.
- Risque résiduel : Le risque résiduel est le risque qui subsiste après qu'un fournisseur a pris des mesures correctives ou d'atténuation. Votre équipe de gestion des risques devra déterminer si les risques résiduels sont acceptables ou non.
Utiliser les questionnaires et les référentiels sur les risques liés aux fournisseurs
Les questionnaires sur les risques liés aux fournisseurs peuvent donner un aperçu des contrôles de cybersécurité mis en place par un fournisseur et aider à éviter les violations de conformité. Vous pouvez accélérer considérablement le processus de diligence raisonnable des fournisseurs en adaptant vos questionnaires en fonction des risques inhérents et en mettant en correspondance les réponses avec les réglementations en matière de cybersécurité applicables à votre organisation.
Vous devriez également envisager de segmenter les questionnaires en fonction du secteur d'activité, du niveau de service et/ou du niveau d'accès au système. Par exemple, un fournisseur de logiciels peut avoir besoin d'un questionnaire très différent de celui d'un entrepreneur en CVC sur site. Une utilisation efficace des questionnaires sur les risques liés aux fournisseurs peut simplifier la conformité, rationaliser l'intégration des fournisseurs et offrir une visibilité sur l'ensemble de la chaîne d'approvisionnement.
L'utilisation d'une plateforme tierce de gestion des risques peut aider à automatiser le processus et à réduire le temps nécessaire à l'évaluation des fournisseurs. De plus, s'abonner à un réseau d'informations sur les risques liés aux fournisseurs est un moyen rentable d'accéder à des milliers d'évaluations déjà réalisées et d'améliorer l'approvisionnement, la sélection, l'intégration et la notation des risques inhérents.
Conseil bonus : lorsque vous concevez vos questionnaires d'évaluation des risques liés aux fournisseurs, incluez des questions sur les quatrièmes et Nèmes parties afin d'obtenir une meilleure visibilité sur les risques plus en profondeur dans la chaîne d'approvisionnement. Même si votre tiers dispose de contrôles de cybersécurité solides, l'un de ses fournisseurs pourrait tout de même provoquer une violation de données qui, au final, aurait un impact sur votre organisation.
Pratiquez une surveillance continue tout au long de votre chaîne logistique numérique
La mise en place d'une surveillance continue par un tiers peut vous aider à identifier les nouvelles vulnérabilités, les violations de données et autres risques de sécurité affectant vos fournisseurs. La surveillance vous permet de rester informé des risques pouvant apparaître entre deux évaluations périodiques basées sur des questionnaires. Une solution efficace de surveillance des cyberrisques peut fournir des informations provenant de forums criminels, de pages onion, de forums à accès restreint sur le dark web, de flux de menaces, de sites de partage, de communautés de sécurité, de référentiels de code, de bases de données de vulnérabilités et d'autres sources.
En plus de fournir une alerte précoce sur les incidents potentiels qui pourraient avoir un impact sur votre organisation, la surveillance continue permet de vérifier si les contrôles mentionnés dans les réponses à l'évaluation des fournisseurs sont en place et fonctionnent comme prévu.
N'oubliez pas les quatrième et n-ième parties
Contrairement aux biens physiques, il peut être difficile de suivre la manière dont les informations de votre organisation sont stockées et partagées tout au long de votre chaîne d'approvisionnement étendue. Chaque organisation de votre chaîne d'approvisionnement cybernétique travaille probablement avec des dizaines, voire des centaines de sociétés de logiciels, de prestataires informatiques externalisés et d'autres tiers, dont plusieurs pourraient avoir accès aux informations de votre entreprise. La dernière chose qu'un RSSI ou un DSI souhaite entendre, c'est que l'organisation a été victime d'une violation de données en raison de la négligence d'un fournisseur de niveau N.
Vous trouverez ci-dessous quelques bonnes pratiques que vous pouvez utiliser pour évaluer et atténuer le risque lié aux quatrièmes parties.
Identifiez les fournisseurs essentiels à la mission dans votre chaîne logistique informatique
Pour mettre en place un programme C-SCRM efficace, il faut hiérarchiser les risques liés aux fournisseurs sur lesquels se concentrer. En moyenne, une organisation travaille avec un nombre incalculable de tiers, de quatrièmes parties et de N-ièmes parties. Il est impossible de recenser tous les risques présents dans la chaîne d'approvisionnement étendue de chaque fournisseur. Lorsque vous cherchez à obtenir une visibilité sur votre chaîne d'approvisionnement cybernétique de quatrième et N-ième parties, commencez par vous concentrer sur les fournisseurs les plus importants en fonction de leurs scores de risque inhérents. Lors de la hiérarchisation, tenez compte des éléments suivants :
- Quel niveau d'accès le fournisseur a-t-il aux données réglementées telles que les informations personnelles identifiables (PII), les informations financières privées (PFI), les informations médicales protégées (PHI) et, le cas échéant, les informations classifiées ou non classifiées contrôlées ?
- Le fournisseur est-il un fournisseur de logiciels ? Si oui, où héberge-t-il les données de l'organisation et de quels contrôles de sécurité dispose le centre de données ?
- Le fournisseur dispose-t-il de son propre programme de gestion des risques liés à la chaîne d'approvisionnement cybernétique ? Si oui, est-il en mesure de produire un rapport sur les risques liés à sa chaîne d'approvisionnement cybernétique ?
- L'organisation fonde-t-elle ses programmes de sécurité de l'information et de gestion des risques liés aux tiers sur des cadres largement acceptés?
Cartographiez votre chaîne logistique cyberétendue
La création d'une cartographie complète de votre chaîne d'approvisionnement, incluant les dépendances et les niveaux de risque, peut vous permettre d'obtenir la visibilité dont vous avez besoin pour prendre des décisions efficaces en matière d'atténuation des risques. Tout d'abord, vous devez vous assurer que vous collectez les données nécessaires. Les questions concernant les quatrième et N-ième parties de votre chaîne d'approvisionnement étendue doivent figurer en standard dans tous les questionnaires d'évaluation des risques fournisseurs.
Une fois que vous avez bien compris votre écosystème de tiers et de quatrièmes parties, vous pouvez identifier les fournisseurs qui peuvent présenter des points de défaillance uniques ou des niveaux inacceptables de risque en matière de sécurité de l'information. Voici quelques suggestions de mesures correctives si une quatrième partie ou une partie N est considérée comme présentant un risque élevé :
- Demande de mise à jour de votre contrat avec le tiers concerné afin de limiter le partage des données ou l'accès à l'infrastructure informatique avec le quatrième parti à haut risque.
- Demander des informations supplémentaires sur les contrôles de sécurité et l'infrastructure de la quatrième partie.
- Envisager d'autres fournisseurs tiers lorsque les contrats doivent être renouvelés.
- Collaborer avec le service interne associé au tiers pour mettre en place des mesures de protection et limiter le partage de données sensibles.
- Effectuez une surveillance continue de la quatrième partie afin de réduire le risque d'une compromission qui pourrait finalement affecter votre organisation.
Réévaluer périodiquement les risques liés aux fournisseurs
Les risques apparaissent et évoluent constamment, il ne suffit donc pas de limiter les fournisseurs critiques à une seule évaluation ponctuelle des risques. Veillez à réévaluer les risques à plusieurs moments tout au long du cycle de vie du contrat afin de vous assurer que le risque résiduel n'a pas dépassé les niveaux acceptables. Voici quelques questions à prendre en considération :
- Votre programme C-SCRM procède-t-il à des évaluations des risques tout au long du cycle de vie du contrat ou seulement une fois au début ?
- La portée et la fréquence des évaluations des risques sont-elles déterminées en fonction des conclusions relatives aux risques issues du processus d'intégration des fournisseurs ?
- Êtes-vous en mesure d'intégrer efficacement les changements dans le profil de risque résiduel des fournisseurs dans votre processus global de gestion des risques liés aux tiers ?
- Évaluez-vous les risques liés aux quatrièmes et aux Nèmes parties dans le cadre de vos évaluations de risques standard ?
Mettre en œuvre un plan d'intervention en cas d'incident chez un fournisseur
Premeditatio malorum – expression latine signifiant « la préméditation des maux et des troubles qui pourraient survenir ». Ou, pour le dire plus simplement, préparez-vous au pire ! Des incidents informatiques indésirables impliquant des fournisseurs se produiront. Cependant, le niveau de préparation de votre organisation à ces incidents peut faire la différence entre une perturbation grave et un léger désagrément.
Une gestion efficace des incidents (IM) et le C-SCRM vont de pair. Par exemple, l'identification de vos tiers, quatrièmes parties et Nèmes parties permet une gestion efficace des incidents, étant donné que près de la moitié de tous les incidents proviennent des fournisseurs. Les contrats avec les fournisseurs et les sous-traitants doivent inclure des exigences en matière de notification des incidents/violations dans un délai fixe (par exemple, 24 heures) après l'identification d'un incident majeur. La validation des processus et des contacts de vos fournisseurs en matière de gestion des incidents, ainsi que des tests périodiques, peuvent contribuer à garantir la capacité opérationnelle à réagir et à résoudre les incidents.
Faire preuve de diligence lors du départ d'un employé
De nombreuses entreprises consacrent beaucoup de temps à la diligence raisonnable des fournisseurs, aux questionnaires sur les risques et à la cartographie des exigences de conformité, mais négligent de planifier la fin de la relation, moment où de nombreuses failles de sécurité surviennent. C'est pourquoi le départ des fournisseurs est tout aussi important que leur arrivée. Si vous ne parvenez pas à faire partir les fournisseurs et à vous assurer que les données sensibles ont été détruites et que l'accès informatique a été révoqué, cela peut entraîner :
- Problèmes de conformité si un contrat a expiré et que le fournisseur a toujours accès aux systèmes informatiques
- Risques de violation des données si un fournisseur a stocké des informations personnelles identifiables (PII) ou des informations médicales protégées (PHI) concernant vos employés ou vos clients.
- Menaces internes lorsque les employés des sous-traitants conservent l'accès aux données et aux systèmes
Ressources C-SCRM
Il existe plusieurs ressources sur la gestion des risques liés à la chaîne d'approvisionnement numérique auxquelles vous pouvez vous référer pour élaborer ou évaluer votre programme. Parmi les ressources les plus importantes, citons celles publiées par le National Institute of Standards and Technology (NIST) et d'autres agences gouvernementales, organismes de réglementation et groupes industriels privés. Voici quelques ressources utiles :
Publication spéciale 800-161 r1 du NIST : Pratiques de gestion des risques liés à la cybersécurité dans la chaîne d'approvisionnement pour les systèmes et les organisations
La norme NIST SP 800-161 est un cadre de gestion des risques liés à la chaîne d'approvisionnement informatique qui peut aider votre organisation à mettre en place et à perfectionner son programme C-SCRM. La norme NIST 800-161 fournit des conseils détaillés sur la manière d'intégrer un programme C-SCRM dans votre stratégie globale de gestion des risques d'entreprise et couvre les facteurs de succès essentiels à la mise en place d'un programme C-SCRM efficace. Les contrôles NIST 800-161 sont répartis en 20 familles, allant du contrôle d'accès aux incidents et aux réponses.
Cadre d'exposition aux risques C-SCRM du NIST
L'annexe A du document NIST SP 800-161 Rev 1 comprend un cadre d'exposition aux risques avec des conseils détaillés pour identifier les scénarios potentiels de menaces pesant sur la chaîne d'approvisionnement. Le NIST définit un scénario de menace comme « un ensemble d'événements de menace distincts associés à une source de menace potentielle ou existante spécifique ou à plusieurs sources de menace, partiellement ordonnés dans le temps ». Le cadre d'exposition aux risques du NIST vous permet d'identifier et d'attribuer des risques à divers scénarios de menace pour la chaîne d'approvisionnement, et d'intégrer ces conclusions dans votre approche plus large d'évaluation des risques liés aux tiers.
Modèles C-SCRM du NIST
L'annexe D de la norme NIST 800-161 r1 fournit plusieurs modèles pour documenter votre programme C-SCRM, notamment des plans de mise en œuvre, des initiatives de conformité, des objectifs stratégiques, des rôles et responsabilités, ainsi que des étapes clés de mise en œuvre. Ces modèles sont précieux pour définir les grandes lignes d'un nouveau programme C-SCRM ou améliorer votre programme existant à l'aide de documents justificatifs.
Guide du NIST sur la sécurité des chaînes logistiques logicielles
Le NIST a publié son guide sur la sécurité des chaînes d'approvisionnement logicielles en réponse aux exigences de la section 4E du décret présidentiel (EO) 14028 sur l'amélioration de la cybersécurité nationale. Ce document s'adresse aux agences fédérales, mais bon nombre des pratiques qui y sont décrites peuvent être mises en œuvre par les entreprises qui cherchent à atténuer les risques cybernétiques dans leurs chaînes d'approvisionnement étendues.
Mesures de sécurité pour les « logiciels critiques pour l'exploitation »
Les mesures de sécurité pour les logiciels critiques EO constituent un autre document du NIST créé en réponse au décret 14028. Le NIST définit les logiciels critiques EO comme suit :
… tout logiciel qui possède, ou qui dépend directement d'un ou plusieurs composants présentant au moins l'un des attributs suivants :
- est conçu pour fonctionner avec des privilèges élevés ou gérer les privilèges ;
- a un accès direct ou privilégié aux ressources réseau ou informatiques ;
- est conçu pour contrôler l'accès aux données ou à la technologie opérationnelle ;
- remplit une fonction essentielle à la confiance ; ou
- opère en dehors des limites normales de confiance avec un accès privilégié. (Source)
Le document sur les mesures de sécurité est principalement destiné aux agences fédérales, mais il peut facilement être réutilisé par des entités du secteur privé. Ce document identifie les catégories de logiciels qui doivent être considérées comme « critiques pour l'EO », ce qui peut vous aider à signaler les fournisseurs potentiellement à haut risque lors de la phase de profilage et de hiérarchisation.
Directives du NIST relatives aux normes minimales pour la vérification des logiciels par les développeurs
Ce document du NIST définit des directives spécifiques à l'intention des agences fédérales afin de vérifier la sécurité des logiciels utilisés. Il comprend les techniques de vérification suivantes, qui devraient servir de base à l'identification des risques :
- Modélisation des menaces pour identifier les problèmes de sécurité au niveau de la conception
- Tests automatisés pour garantir la cohérence et minimiser l'effort humain
- Analyse statique du code pour détecter les bogues
- Outils heuristiques pour rechercher d'éventuels secrets codés en dur
- Utilisation des contrôles et protections intégrés
- Cas de test « boîte noire »
- Cas de test structurels basés sur le code
- Cas tests historiques
- Fuzzing
- Scanners d'applications Web, le cas échéant
- Adresse incluant le code (bibliothèques, paquets, services)
Directives C-SCRM du HHS
Le ministère américain de la Santé et des Services sociaux a publié une présentation sur la mise en place d'un programme C-SCRM. Cette présentation fournit un aperçu général des meilleures pratiques C-SCRM basées sur le NIST et couvre les contrôles spécifiques et les familles de contrôles qui devraient être mis en œuvre dans le cadre d'un programme C-SCRM holistique.
Vous êtes préoccupé par la gestion des risques liés à la chaîne logistique numérique ? Prevalent peut vous aider.
Les cyberrisques liés aux tiers connaissent une croissance exponentielle. Prevalent fournit une plateforme facile à utiliser qui vous permet d'automatiser les questionnaires d'évaluation des risques fournisseurs, d'attribuer des notes de risque aux fournisseurs, de surveiller les risques et les changements au fil du temps, et de gérer et de rendre compte des risques fournisseurs. L'utilisation d' une plateforme TPRM dédiée permet d'automatiser le cycle de vie de la gestion des risques fournisseurs et permet à votre équipe de se concentrer sur la réduction des risques organisationnels. Pour découvrir comment Prevalent peut vous aider à gérer les risques liés à la chaîne d'approvisionnement, demandez une démonstration dès aujourd'hui.
Note de la rédaction : Ce billet a été publié à l'origine sur Prevalent.net. En octobre 2024, Mitratech a acquis l'entreprise Prevalent, spécialisée dans la gestion des risques pour les tiers et dotée d'une intelligence artificielle. Le contenu a depuis été mis à jour pour inclure des informations alignées sur nos offres de produits, les changements réglementaires et la conformité.
