Le 28 février 2022, Toyota a annoncé
que l'entreprise suspendait les opérations sur les 28 lignes de production de 14 usines au Japon pendant une journée en raison d'une panne de système chez un fournisseur, Kojima Industries. D'autres partenaires de Toyota, dont Hino Motors et Daihatsu Motor, ont également été touchés par cette fermeture. La cause de la défaillance du système chez Kojima semble être
une cyberattaque qui a empêché les communications avec Toyota et les systèmes de contrôle de la production. Le 1er mars, Toyota a annoncé qu'elle reprenait ses activités pour la première équipe de production seulement à partir du 2 mars.
Cet incident est un exemple clair du risque encouru lorsqu'un fournisseur essentiel n'est pas en mesure de livrer, et il démontre l'effet domino des conséquences négatives tout au long de la chaîne d'approvisionnement. L'arrêt de la production pendant une journée (et la réduction du nombre d'équipes pendant des jours supplémentaires) pourrait se traduire par des objectifs de production non atteints, des pertes de revenus et des attentes de bénéfices non satisfaites pour Toyota - sans parler de la perte de confiance des clients.
Six étapes pour renforcer la sécurité de la chaîne d'approvisionnement
La réalité de la sécurité de la chaîne d'approvisionnement est que, bien que votre organisation ne soit pas responsable de la sécurité des fournisseurs, elle assume une partie du risque. Alors, comment les fabricants et autres organisations peuvent-ils atténuer les risques de défaillance de la chaîne d'approvisionnement liés à la cybernétique ? Envisagez les six étapes suivantes.
1. Améliorer les évaluations de la cybersécurité lors de la sélection des fournisseurs et de la vérification préalable des contrats
L'exercice d'une diligence raisonnable avant la signature du contrat permet de s'assurer qu'un nouveau fournisseur n'introduit pas de risques inacceptables dans votre environnement. Ce processus consiste à évaluer les pratiques du fournisseur en matière de sécurité de l'information, de sécurité opérationnelle et de résilience de l'entreprise. Et bien que cet incident particulier soit lié à la cybernétique, les organisations devraient étendre leurs efforts de diligence raisonnable avant contrat pour inclure également des évaluations de la situation financière et de la réputation d'un fournisseur. Par exemple, si un fournisseur fait l'objet de nouvelles négatives concernant ses produits ou affiche des performances financières irrégulières, il se peut qu'il ne soit pas en mesure de s'adapter rapidement à des demandes de production changeantes ou qu'il ne finance pas suffisamment la sécurité. Ces informations permettent de calculer le risque inhérent et de déterminer les domaines qui doivent faire l'objet d'une évaluation plus approfondie.
Afin d'améliorer le contrôle préalable des contrats, de nombreuses entreprises choisissent d'exploiter des bibliothèques d'évaluations du risque cybernétique des fournisseurs déjà réalisées. Le simple téléchargement d'une évaluation déjà réalisée permet d'obtenir la visibilité nécessaire sur les risques d'un fournisseur potentiel plus rapidement que si l'on procédait soi-même à l'évaluation à partir de zéro.
2. Établir des niveaux de service exécutoires dans les contrats
Pour réduire efficacement les risques liés aux fournisseurs, il faut comprendre comment ils se comportent par rapport aux attentes, et cela commence par l'établissement de niveaux de service exécutoires au cours de la phase de passation des marchés. Les niveaux de service mesurables peuvent inclure le temps de fonctionnement, le temps moyen de détection (MTTD) de la raison d'une panne et le temps moyen de reprise (MTTR) des opérations après une panne. La phase contractuelle est également le bon moment pour inclure des clauses clés afin de garantir le basculement et la sauvegarde du système, en particulier parce qu'il n'est pas facile de simplement "éteindre" un fournisseur et de le remplacer par un autre. Enfin, la gestion centralisée des indicateurs clés de performance (ICP) et des indicateurs clés de risque (ICR) offre une visibilité au niveau de l'entreprise sur les performances des fournisseurs.
Avec de nombreuses parties internes et externes impliquées dans la négociation des contrats, le processus peut rapidement devenir incontrôlable. Pour y remédier, de nombreuses entreprises adoptent des produits de gestion du cycle de vie des contrats qui offrent des vues spécifiques aux rôles pour suivre les attributs de performance clés, permettent le contrôle des versions et les discussions intégrées, ainsi que le flux de travail pour faire passer plus efficacement les contrats par la phase d'examen et d'approbation.
3. Évaluer les fournisseurs en fonction des contrôles de cybersécurité de la chaîne d'approvisionnement conformes aux normes industrielles
L'audit préalable au contrat apportera la visibilité nécessaire aux risques inhérents qu'un nouveau fournisseur introduit dans votre environnement, mais l'évaluation des risques ne s'arrête pas à l'étape de l'intégration. Heureusement, il existe plusieurs cadres industriels qui rendent le processus d'évaluation des contrôles détaillés beaucoup plus standardisé que l'utilisation de feuilles de calcul. Par exemple, les normes NIST 800-61 et ISO 27036 comportent des séries de questions spécifiques conçues pour évaluer les contrôles de sécurité des fournisseurs.
Les plateformes tierces de gestion des risques automatisent la collecte des réponses des fournisseurs au questionnaire, ainsi que l'attribution et le suivi des risques. Elles intègrent également des recommandations de remédiation pour ramener ces risques à un niveau acceptable. Lorsque les fournisseurs sont "trop gros pour faire faillite", vous pouvez vous tourner vers des fournisseurs de services gérés experts pour qu'ils effectuent la collecte et l'analyse de la diligence raisonnable en votre nom, laissant ainsi votre équipe se concentrer sur les mesures correctives.
4. Surveiller en permanence les fournisseurs pour détecter les signaux d'alerte précoce
Les évaluations des risques fournissent une vue ponctuelle des contrôles de sécurité d'un fournisseur et, bien qu'elles soient essentielles pour comprendre sa position en matière de sécurité, vous devez également maintenir une vue continue des risques - cybernétiques ou autres - qui peuvent avoir une incidence sur la capacité de votre fournisseur à fournir ses services.
Surveiller
Internet et le dark web à la recherche de cybermenaces et de vulnérabilités - ainsi que les sources publiques et privées d'informations sur la réputation, les sanctions et les finances - peuvent fournir des signaux d'un incident de sécurité imminent. Envisagez la surveillance :
- Cyber : Les forums criminels, les pages en oignon, les forums d'accès spécial du dark web, les flux de menaces, les sites de téléchargement d'informations d'identification, les communautés de sécurité, les référentiels de code et les bases de données de vulnérabilités et de piratages peuvent fournir des indicateurs historiques et actuels de compromission.
- Les entreprises : Les fusions et acquisitions, les nouvelles commerciales, les nouvelles négatives, les informations réglementaires et juridiques et les mises à jour opérationnelles peuvent indiquer une perte d'intérêt pour la cybersécurité.
- Finances : De mauvais résultats financiers pourraient entraîner des coupes budgétaires qui auraient des répercussions sur les opérations de sécurité.
L'intégration de ces informations dans votre processus holistique d'examen des fournisseurs ajoute un contexte aux événements et contribue à valider les contrôles évalués à l'étape 3 ci-dessus.
5. Connaître sa chaîne d'approvisionnement étendue
Parfois, un incident de cybersécurité dans votre écosystème de fournisseurs élargi (par exemple les fournisseurs de vos fournisseurs) peut avoir un impact sur la capacité de votre fournisseur à livrer, et donc sur votre capacité à livrer. Dans le cadre de l'étape de diligence préalable au contrat, recueillez des informations auprès de vos fournisseurs sur leurs fournisseurs afin d'établir une carte des relations. Cela vous aidera à découvrir les dépendances et à visualiser les points faibles de votre chaîne d'approvisionnement. Il peut s'agir simplement de connaître les technologies de quatrième partie déployées dans l'écosystème de vos fournisseurs afin de déterminer celles qui pourraient être exposées à une violation ciblée. Au lieu de dépendre de plusieurs outils non intégrés pour recueillir ces informations, recherchez des solutions de surveillance uniques qui construisent automatiquement cette base de données pour vous.
6. Activez votre plan d'intervention en cas d'incident d'un tiers
Si un incident de cybersécurité se produisait dans votre chaîne d'approvisionnement, votre organisation serait-elle en mesure de comprendre rapidement ses implications pour votre entreprise et d'activer son propre plan d'intervention en cas d'incident ? Le temps est un facteur essentiel dans la réponse aux incidents, c'est pourquoi le fait d'être plus proactif avec un plan de réponse aux incidents défini réduira le temps nécessaire pour découvrir et atténuer les problèmes potentiels de la chaîne d'approvisionnement. Un plan de réponse aux incidents plus programmé de la part d'une tierce partie pourrait comprendre les éléments suivants
- une base de données centralisée des fournisseurs et des technologies sur lesquelles ils s'appuient
- Évaluations préétablies de la résilience, de la continuité et de la sécurité de l'entreprise afin d'évaluer la probabilité et l'impact d'un incident.
- La notation et la pondération permettent de se concentrer sur les risques les plus importants.
- Recommandations intégrées pour remédier aux vulnérabilités potentielles
- Rapport spécifique aux parties prenantes pour répondre à l'inévitable demande du conseil d'administration
Prochaines étapes de la gestion des risques de la chaîne d'approvisionnement
L'interruption de la chaîne d'approvisionnement de Toyota nous rappelle que toutes les organisations - quelles que soient la sophistication et la diversité de leurs systèmes - peuvent être affectées par la défaillance d'un fournisseur ou un cyber-incident. Évaluez la position de votre propre organisation en matière de sécurité de la chaîne d'approvisionnement à l'aide des six étapes présentées ici, ou contactez Prevalent pour une session de stratégie ou une évaluation de la maturité de vos processus existants de gestion des risques liés à la chaîne d'approvisionnement.
Note de la rédaction : Ce billet a été publié à l'origine sur Prevalent.net. En octobre 2024, Mitratech a acquis l'entreprise Prevalent, spécialisée dans la gestion des risques pour les tiers et dotée d'une intelligence artificielle. Le contenu a depuis été mis à jour pour inclure des informations alignées sur nos offres de produits, les changements réglementaires et la conformité.
