Sous-traitants et fournisseurs : comment sécuriser sa chaîne d'approvisionnement ?

Points clés

• La multiplication des fournisseurs et sous-traitants expose les entreprises à de nouveaux risques cyber
• Évaluer la maturité cyber de ses partenaires et les sensibiliser est un prérequis
• Formaliser les exigences de sécurité dans les contrats et auditer régulièrement leur application est clé
• Segmenter son réseau, tracer les accès et surveiller les activités des tiers limitent les risques
• Préparer un plan de gestion de crise cyber incluant les fournisseurs critiques est essentiel

Introduction

A l'heure de la transformation numérique, nos chaînes d'approvisionnement n'ont jamais été aussi étendues et interconnectées. Externalisation, délocalisation, spécialisation... Nos écosystèmes sont de plus en plus complexes et font intervenir une multitude de fournisseurs et sous-traitants, souvent imbriqués sur plusieurs niveaux.

Si cette évolution apporte agilité et compétitivité, elle expose aussi nos entreprises à de nouveaux risques, en particulier cyber. Car nos partenaires sont autant de maillons qui, s'ils sont mal sécurisés, peuvent fragiliser l'ensemble de la chaîne. Les exemples récents ne manquent pas : Solarwinds, Kaseya, Codecov... Autant d'attaques dévastatrices qui se sont propagées via des fournisseurs de confiance.

Alors comment garder le contrôle sur la sécurité de bout en bout de sa supply chain ? Quelles précautions prendre dans ses relations avec les tiers ? Quels garde-fous mettre en place ? Pas de panique, nous allons passer en revue les bonnes pratiques à adopter. Prêts à sécuriser votre écosystème ? C'est parti !

Cartographier ses fournisseurs et évaluer leur maturité cyber

Première étape incontournable : dresser une cartographie exhaustive de ses fournisseurs et sous-traitants, en identifiant pour chacun :

• Les services et produits fournis
• Les données et systèmes auxquels ils ont accès
• Leur criticité pour votre activité

Cet exercice permet de prioriser ses efforts en se concentrant sur les partenaires les plus à risque, ceux qui traitent vos données sensibles ou qui sont essentiels à votre chaîne de production.

Ensuite, place à l'évaluation de leur maturité cyber. L'idée est de vérifier qu'ils appliquent des mesures de sécurité au moins équivalentes aux vôtres. Pour cela, rien de tel qu'un questionnaire d'audit reprenant les grands points clés :

• Politique de sécurité et gouvernance
• Sécurité des infrastructures et des développements
• Gestion des identités et des accès
• Protection des données et chiffrement
• Détection et réponse aux incidents
• Conformité réglementaire
• Gestion des sous-traitants

En fonction des réponses et des preuves apportées, vous pourrez noter chaque fournisseur et identifier d'éventuelles failles à combler. Des certifications comme ISO 27001 ou des labels sectoriels peuvent aussi vous donner des indications sur le niveau de confiance.

Formaliser les exigences de sécurité dans les contrats

Une fois ce premier filtre passé, il est essentiel de formaliser noir sur blanc vos exigences de sécurité. Vos contrats et SLA doivent explicitement aborder le sujet et décrire précisément les mesures attendues de la part du prestataire :

• Respect de votre politique de sécurité et de vos standards
• Contrôles d'accès logiques et physiques
• Gestion des mises à jour et correctifs de sécurité
• Utilisation de protocoles et moyens de chiffrement
• Remontée et gestion des incidents
• Droit d'audit et reporting régulier
• Conditions de réversibilité et restitution des données

N'hésitez pas à annexer au contrat un plan d'assurance sécurité détaillant tous ces points. C'est la base de votre relation de confiance !

Pensez aussi à inclure des clauses spécifiques en cas de non-conformité : pénalités, résiliation anticipée, droit à réparation... Cela responsabilisera d'autant plus votre fournisseur.

Auditer et suivre ses fournisseurs dans la durée

Signer un contrat ne suffit pas, encore faut-il s'assurer qu'il est bien respecté dans la durée. D'où l'importance de mener des audits réguliers de vos fournisseurs critiques.

Concrètement, cela peut prendre plusieurs formes selon le niveau de risque et la nature de la prestation :

• Audit documentaire : revue des politiques, procédures et preuves de mise en œuvre
• Audit sur site : visite des locaux pour vérifier la sécurité physique et logique
• Tests d'intrusion : avec accord du prestataire pour tester la robustesse de ses systèmes
• Revue de code : pour les développements spécifiques afin de traquer les failles

La fréquence et la profondeur des audits seront à adapter en fonction des enjeux. Un fournisseur critique manipulant des données sensibles devra être audité plus souvent et plus en détail qu'un fournisseur de commodité.

Au-delà des audits, instaurez un dialogue régulier avec vos fournisseurs sur le sujet de la sécurité. Partagez vos bonnes pratiques, faites-les monter en compétence, challengez-les sur leurs progrès. La sécurité est l'affaire de tous !

Segmenter son réseau et tracer les accès des tiers

Malgré toutes ces précautions, le risque zéro n'existe pas. Un fournisseur, même de confiance, peut être compromis et servir de point d'entrée aux attaquants. Pour limiter la propagation, il est essentiel de cloisonner son système d'information.

La segmentation réseau consiste à découper son SI en zones distinctes, séparées par des pare-feu et des contrôles d'accès stricts. Le principe : donner à chaque fournisseur uniquement les accès dont il a besoin, en fonction de son besoin d'en connaître.

Concrètement, vous pouvez créer un réseau dédié aux tiers, isolé de votre SI interne et ne contenant que les ressources nécessaires à la prestation. Toute connexion entre ce réseau et le reste du SI doit être strictement contrôlée et tracée.

Car la traçabilité est votre meilleure alliée pour détecter les comportements suspects. Mettez en place une journalisation centralisée de tous les accès et activités de vos prestataires. Qui s'est connecté ? À quelle ressource ? Pour faire quoi ? En analysant ces traces vous pourrez repérer les anomalies et réagir au plus vite.

Préparer un plan de gestion de crise incluant les fournisseurs

Enfin, même le mieux préparé peut être victime d'une attaque. L'important est d'avoir un plan pour y faire face et limiter l'impact. Votre plan de gestion des incidents cyber doit impérativement inclure le volet fournisseurs.

Quelques points clés à prévoir :

• Les procédures d'alerte et d'escalade avec chaque fournisseur critique
• Les scénarios de contournement si un fournisseur est indisponible
• Les mesures de déconnexion d'urgence des prestataires compromis
• La communication de crise et la coordination avec les fournisseurs
• Les responsabilités juridiques et financières de chaque partie

N'attendez pas d'être attaqué pour tester ce plan. Organisez des exercices réguliers en impliquant vos principaux fournisseurs. C'est le meilleur moyen de développer les bons réflexes et de renforcer la confiance.

Conclusion

À l'heure de l'entreprise étendue, sécuriser sa chaîne d'approvisionnement est devenu un impératif stratégique. Vos fournisseurs sont votre maillon fort, mais aussi votre maillon faible. En appliquant les bonnes pratiques détaillées ici, vous réduirez considérablement les risques liés aux tiers.

Mais n'oubliez pas, la sécurité est un combat de tous les instants. Les menaces évoluent vite et il faut sans cesse s'adapter.

Citations: 1 2 3 4