« Partager, c'est aimer ! » Nous avons tous entendu cette phrase en grandissant, et dans le monde actuel de la sécurité de l'information, elle s'avère toujours fondamentalement vraie. J'ai passé les six dernières années à travailler avec des entreprises pour influencer leur programme de gestion des risques liés aux tiers et encourager l'adoption d'une approche économique. En tant que praticien, je teste des techniques pour aider les entreprises à faire évoluer leur programme afin de répondre aux exigences de conformité réglementaire. En tant que conseiller, j'évalue les programmes des entreprises afin de les aider à s'éloigner des processus qui les empêchent de réutiliser des contenus standard pertinents et à concevoir des approches évolutives personnalisées, le tout dans le but d'accélérer la prise de conscience des risques pour renforcer la résilience. Pourtant, le concept de partage d'informations continue de m'empêcher de dormir...
Comment évolue le partage d'informations sur les risques liés aux tiers ?
Collectivement, les industries du monde entier s'efforcent de mettre fin à ce que j'appelle le « chaos des questionnaires » en mettant en œuvre la collecte de contenus de type profil. On est passé de la collecte d'informations sur l'ensemble des activités d'un fournisseur à la collecte de contenus significatifs, pertinents pour le service fourni. À l'état le plus avancé, nous avons observé une tendance à la collecte simple de contenus spécifiques aux contrôles clés ou indispensables. Nous ne devons pas oublier que les trois aspects les plus critiques pour soutenir tous les cadres de gestion des risques et répondre aux exigences réglementaires telles que NIST, ISO, FAIR et autres sont les suivants :
1) Connaissez les contrôles clés de votre entreprise,
2) Partager du contenu et des artefacts standardisés,
3) Identifier et suivre la clôture des risques afin de mieux comprendre la tolérance au risque.
Cela semble simple, n'est-ce pas ? Pas toujours, mais cela peut l'être.
Comment la bibliothèque de contenus Shared Assessments peut vous aider
L'ensemble d'outils de la bibliothèque de contenu Shared Assessments (remarquez que je n'ai pas parlé de questionnaire) est devenu la bibliothèque de contenu la plus flexible et la plus réutilisable au monde. La bibliothèque de contenu peut littéralement être adaptée à la taille souhaitée grâce à un profilage qui garantit que les informations collectées sont pertinentes pour la gestion des risques. De plus, le partage de contenu offre des possibilités d'apprentissage automatique pour traiter les contrôles de sécurité les plus vulnérables. La mise en œuvre d'une approche standardisée de bibliothèque de contenu élimine les retards et le gaspillage liés à la collecte de contenu et d'artefacts, laissant ainsi place à la gestion des risques. Le stockage de votre contenu de sécurité de l'information et des artefacts associés dans un réseau partageable mettra fin au chaos, ouvrira des possibilités de réduction des risques et permettra d'aborder la résilience de front.
Pour en savoir plus sur les meilleures pratiques permettant d'obtenir une plus grande assurance dans vos relations commerciales avec des tiers, rejoignez-moi la semaine prochaine au 12e sommet annuel Shared Assessment Summit à Arlington, en Virginie. Je dirigerai une table ronde sur le cadre de gestion des risques et l'appétit pour le risque et coanimerai un atelier de quatre heures sur la cybersécurité et la surveillance continue, avec notamment un exercice de simulation de scénario de risque tiers impliquant la participation du public, en compagnie d'autres experts.
Si vous participez au sommet, n'hésitez pas à venir me voir au stand Prevalent ; je serai ravi de partager mes expériences avec vous !
Pour toute question concernant Prevalent, contactez-nous dès aujourd'hui.
Note de la rédaction : Ce billet a été publié à l'origine sur Prevalent.net. En octobre 2024, Mitratech a acquis l'entreprise Prevalent, spécialisée dans la gestion des risques pour les tiers et dotée d'une intelligence artificielle. Le contenu a depuis été mis à jour pour inclure des informations alignées sur nos offres de produits, les changements réglementaires et la conformité.
