En tant que cadre supérieur ou membre du conseil d'administration de votre entreprise, la gestion des risques liés aux tiers doit être une priorité absolue.
Voici cinq choses que vous devez savoir :
1. Les contrats ne suffisent plus à protéger l'entreprise.
Les contrats sont extrêmement importants, mais ils ne fournissent pas la visibilité dont vous avez besoin pour réduire les risques liés aux violations de données. Obtenir une visibilité adéquate et surveiller la conformité de vos fournisseurs tiers aux réglementations et aux meilleures pratiques en matière de cybersécurité est désormais une exigence de nombreuses directives réglementaires et de sécurité, notamment PCI 3.0, OCC, HIPAA Omnibus et SEC.
Il est important de noter que pour répondre à ces exigences réglementaires et de sécurité des données, vos contrats avec des fournisseurs tiers doivent inclure une clause qui vous accorde expressément le droit d'effectuer une évaluation, ainsi que le pouvoir de surveiller vos fournisseurs tiers de manière continue.
2. Toute violation des données de vos clients ou patients chez un tiers relève de VOTRE responsabilité.
Le concept selon lequel l'externalisation d'une fonction commerciale élimine efficacement votre responsabilité en matière de sécurité des données de vos clients n'est plus une pratique commerciale acceptable. La diligence raisonnable envers les fournisseurs tiers qui ont accès à des données sensibles est souvent considérée comme le seul moyen de réduire vos risques, de comprendre les domaines à améliorer et de faire preuve de la diligence requise. Certains organismes de réglementation associent automatiquement le manque de diligence raisonnable à une responsabilité (et des coûts) accrus.
3. Une évaluation ponctuelle unique n'est plus suffisante.
La plupart des programmes de gestion des risques liés aux tiers commencent par un effort de conformité, avec des évaluations ponctuelles réalisées pendant ou immédiatement après le processus de contractualisation. Dans de nombreux cas, il s'agissait de la seule et unique évaluation effectuée. Le rythme des innovations technologiques est stupéfiant. Les organisations de toutes tailles transfèrent de plus en plus de données vers le cloud et les applications mobiles. Si cela peut accroître l'efficacité et réduire les coûts, ne voudriez-vous pas savoir que cela s'est produit chez un fournisseur de services avant d'être informé d'une violation ? Il est désormais nécessaire de procéder à des évaluations continues et à des exercices de surveillance des menaces afin de mieux comprendre les risques en constante évolution que représentent les fournisseurs tiers pour vos données.
4. Les risques liés aux tiers doivent faire partie intégrante de votre plan de cybersécurité.
La gestion des risques liés aux tiers est une fonction de sécurité ainsi qu'une exigence de conformité. Lorsque votre plan de cybersécurité se concentre uniquement sur la sécurité interne, vous risquez de passer à côté de 50 % du problème. De nombreuses études ont montré que les tiers représentent entre 40 % et 80 % des risques liés aux violations de données. Pour garantir une couverture étendue en matière de cybersécurité, il est nécessaire de comprendre les risques posés à la fois par vos fournisseurs tiers et par leurs propres fournisseurs (quatrièmes parties).
Il est également important de noter que le fait de savoir où se trouvent vos données, tant en interne qu'en externe, vous aide à mieux isoler vos risques et à comprendre où vous devez concentrer vos efforts.
5. Votre RSSI (ou son équivalent) doit signaler ces risques directement au conseil d'administration.
Vous devez prendre des mesures pour vous assurer que vous, votre équipe de direction et votre conseil d'administration obtenez les informations nécessaires pour prendre des décisions en temps opportun, réduire le risque de violation des données et protéger votre marque. L'un des moyens d'y parvenir consiste à aligner les dépenses sur les priorités en matière de sécurité, qui passent souvent au second plan par rapport à d'autres initiatives technologiques. Cela contribuera également à réduire les tensions qui existent entre vos dirigeants en ce qui concerne les priorités en matière de dépenses.
En réalité, un RSSI performant qui a réduit les risques liés à la sécurité d'une entreprise peut ne pas sembler efficace à première vue. Mais en y regardant de plus près, vous constaterez qu'il aide l'entreprise à économiser des dizaines, voire des centaines de millions de dollars en pertes de revenus, amendes et atteintes à l'image de marque grâce à la prévention des violations de données par des tiers. Discutez directement avec votre RSSI pour mieux comprendre les risques afin de prendre les bonnes décisions et d'aligner vos dépenses.
N'oubliez pas que les situations de crise conduisent souvent à des décisions prises à la hâte qui peuvent créer davantage de problèmes à long terme. Décidez dès maintenant et préparez un plan d'action que vous, votre équipe de direction et votre conseil d'administration mettrez en œuvre pour protéger votre entreprise et votre réputation si celle-ci venait à être touchée par l'impensable.
Note de la rédaction : Ce billet a été publié à l'origine sur Prevalent.net. En octobre 2024, Mitratech a acquis l'entreprise Prevalent, spécialisée dans la gestion des risques pour les tiers et dotée d'une intelligence artificielle. Le contenu a depuis été mis à jour pour inclure des informations alignées sur nos offres de produits, les changements réglementaires et la conformité.
