Quatre composantes essentielles de la gestion des risques liés aux tiers

Zéro, c'est le nombre de fournisseurs de services gérés (MSP) qui ont demandé à Datto si nous, ou l'un de nos principaux fournisseurs, étions touchés par les vulnérabilités Microsoft Exchange ProxyLogon. Houston, nous avons un problème !

Les considérations de sécurité ne s'arrêtent pas au périmètre de nos réseaux. Nous devons prendre en compte la posture des fournisseurs qui traitent nos données, s'intègrent à nos systèmes, ou ceux dont nous dépendons dans nos opérations quotidiennes. Après tout, la posture de sécurité d'une organisation est aussi forte que son maillon le plus faible, et que nous voulions le croire ou non, les fournisseurs sont devenus une chaîne d'approvisionnement intégrale qui soutient nos opérations commerciales.

En tant que MSP, le concept d'externalisation d'une responsabilité, d'un processus ou d'une fonction est une seconde nature. C'est le fondement même des services que vous fournissez à vos clients, mais quel est le niveau de sécurité du portefeuille de fournisseurs avec lesquels vous vous êtes associés ? Protègent-ils la confidentialité, l'intégrité et la disponibilité des données et des accès de la même manière que vous le feriez ? Plus important encore, comprenez-vous les lacunes en matière de sécurité et les risques auxquels vos relations avec les fournisseurs vous exposent au fil du temps ? Si vous n'avez pas de réponse rapide à toutes ces questions, il y a de fortes chances que vous négligiez un élément essentiel de la stratégie de cyber-résilience de votre organisation.

Faites-vous l'inventaire de vos fournisseurs ?

Commençons par les bases. Tout professionnel de l'informatique ou de la sécurité vous dira que la première étape de toute initiative efficace consiste à « se connaître soi-même », c'est-à-dire à comprendre sa propre situation. Les inventaires des actifs matériels et logiciels constituent des éléments essentiels du domaine fonctionnel « Identification » dans la plupart des cadres de cybersécurité adoptés par les MSP ; alors pourquoi ne pas dresser également l'inventaire de vos fournisseurs ?

Comment pouvez-vous gérer efficacement un problème sans collecter et comprendre ses paramètres ? Sans une compréhension générale des fournisseurs utilisés dans votre organisation, il y a de fortes chances que vous ne puissiez pas identifier les points vulnérables réels dans votre portefeuille de risques tiers. La taxonomie de vos achats joue un rôle important à cet égard. Chaque fournisseur entrant ou sortant doit être pris en compte et correctement identifié dans un système d'enregistrement basé sur le type de service et de relation. Ce système d'enregistrement peut également être technologique ou se présenter sous la forme d'une simple feuille de calcul. L'essentiel est de développer des processus et de les maintenir.

La gestion centralisée d'un portefeuille de fournisseurs présente de nombreux avantages, dont certains seulement sont liés à la sécurité et au risque. Avec une bonne compréhension de ce qui existe, vous pouvez maintenant évaluer les redondances et les relations inutiles en un seul endroit. Sans oublier qu'une fois les fournisseurs centralisés en un seul endroit, vous pouvez commencer à prioriser votre diligence en fonction de la criticité du fournisseur pour les opérations de votre organisation.

Qui est qui dans le zoo des vendeurs ?

Tous les fournisseurs ne sont pas créés égaux, et il peut être difficile d'explorer les profondeurs de chaque fournisseur dans votre portefeuille de fournisseurs, en particulier lorsque vous avez des ressources limitées en matière de sécurité. Ainsi, dans un monde où la gestion des risques est un luxe, nous devons prioriser nos efforts sur les fournisseurs dont la compromission pourrait causer les plus grands dommages à notre organisation ou perturber de manière significative notre rythme opérationnel.

La hiérarchisation, ou le classement des fournisseurs, peut être utilisée pour guider une série de processus dans le cycle de gestion des fournisseurs :

• Définir une cadence pour la vérification des fournisseurs dans l'ensemble de l'entreprise
• Définir des exigences spécifiques pour les fournisseurs à chaque niveau
• Accélérer les processus d'approvisionnement pour les fournisseurs à faible risque
• Permettre la priorisation de l'enquête sur les fournisseurs de premier plan

Voici quelques critères clés à prendre en compte lors de la hiérarchisation de vos fournisseurs.

Une liste de contrôle de trop : Évaluer correctement vos fournisseurs

La complexité des relations avec les fournisseurs évolue, tout comme les méthodes par lesquelles nous les évaluons. L'ère de la liste de contrôle standardisée est révolue et pourtant de nombreuses organisations continuent à se fier uniquement à la capacité d'une liste de contrôle à évaluer des processus de sécurité complexes. Cela revient à essayer de quantifier un problème tridimensionnel avec une approche bidimensionnelle.

Maintenant que vous avez développé des critères pour identifier vos fournisseurs les plus critiques, vous pouvez prendre du recul et développer une méthode appropriée pour les évaluer - une méthode qui mesure les fournisseurs d'une manière qui reflète vos exigences internes. Dans la plupart des cas, ces fournisseurs de niveau 1 doivent être traités comme une extension de votre organisation, et vous devez donc vous assurer qu'ils disposent de politiques, procédures, processus et capacités similaires ou supérieurs à ceux que vous avez définis pour votre organisation.

Il devient impératif de se demander, si ce fournisseur particulier devait être victime d'une brèche, quel serait l'impact sur nos opérations et celles de nos clients ? Évaluez le fournisseur en fonction de ces priorités. Si la disponibilité vous préoccupe, intégrez des accords de niveau de service fermes dans le contrat et assurez-vous qu'il dispose d'un plan de réponse adéquat en cas d'incident. Assurez-vous que ses plans de continuité des activités sont élaborés et testés pour faire face à l'imprévu, et pas seulement pour se conformer à une exigence. Si vos préoccupations concernent principalement les données, assurez-vous que les contrôles d'accès adéquats sont intégrés dans leur environnement, que les normes de cryptage sont adoptées, que les journaux d'audit sont examinés, etc.

Les scénarios pourraient se poursuivre à l'infini, mais l'important est de ne pas négliger les lacunes dans les processus du fournisseur et d'orienter votre évaluation sur la base d'une bonne compréhension de ce qu'il fait pour vous et de l'impact qu'il a sur votre résilience. Il est très facile de s'attribuer le mérite de l'existence d'un processus, mais il est beaucoup plus difficile de prouver son efficacité et son efficience par la documentation. Veillez donc à approfondir vos recherches, à poser des questions, à rencontrer les bons représentants et à documenter leurs plans pour résoudre tout problème ou toute préoccupation. N'oubliez pas que vous avez donné la priorité à une poignée de ces fournisseurs, il est temps de commencer à les traiter comme tels.

Si de tels plans n'existent pas, travaillez avec eux pour développer un plan d'action avec des étapes. Cela les aidera à suivre les progrès réalisés pour atteindre la solution souhaitée. Si cette option n'est pas envisageable, assurez-vous de disposer d'un système permettant de transférer le risque au fournisseur ou d'établir la conformité par le biais d'un langage contractuel. Les meilleures pratiques et les assurances ne peuvent plus être attendues, elles doivent être présentées comme des exigences lors de l'établissement d'une relation avec un fournisseur, et si elles ne sont pas respectées, tout ou partie des dommages doivent être assumés par le fournisseur.

Un langage de sécurité contractuel ne vous protégera pas seulement en obligeant les fournisseurs à respecter les meilleures pratiques, mais il établira la cadence de la relation. Il liera les deux parties aux normes qui doivent être respectées en cas d'incident. Des éléments tels que la réponse à un incident, la récupération des données, la propriété des données, les droits à une évaluation, etc. doivent tous être précisés dès le départ dans ces relations. Ces exigences peuvent sembler élémentaires, mais lorsque le moment sera venu, vous serez heureux que votre équipe juridique puisse invoquer ces clauses pour accélérer une réponse ou une action de la part du fournisseur.