Sécurité de la chaîne d’approvisionnement : le risque que vous ne contrôlez pas

Vous pouvez avoir un système d’information correctement tenu et être compromis par un prestataire de maintenance à qui vous avez donné un accès distant permanent en 2019.

C’est aujourd’hui l’un des chemins d’attaque les plus rentables, et c’est le seul que vous ne pouvez pas corriger seul.

Pourquoi le sujet est devenu réglementaire

L’article 21.2 d) de NIS 2 impose explicitement la sécurité de la chaîne d’approvisionnement, y compris les relations avec les fournisseurs directs et prestataires de services.

DORA va plus loin pour le secteur financier, avec l’obligation de tenir un registre d’information de tous les accords portant sur des services TIC.

ISO/IEC 27002:2022 y consacre une série de mesures, de 5.19 à 5.23 : relations avec les fournisseurs, exigences dans les accords, gestion de la chaîne, suivi et revue, sécurité des services en nuage.

Ce n’est donc plus une bonne pratique. C’est une preuve à produire.

Étape 1 — Savoir qui a accès à quoi

La première difficulté n’est pas d’évaluer les fournisseurs. C’est de savoir combien vous en avez.

Dans les organisations que nous auditons, la liste tenue par les achats et la liste des accès réellement ouverts ne coïncident jamais. Il manque systématiquement des prestataires arrivés par un projet, avec un compte créé « pour la durée du chantier » et jamais désactivé.

La cartographie utile croise trois informations :

• Le service rendu et sa criticité pour vos activités essentielles.
• Le niveau d’accès : aucun, données, accès réseau, accès administrateur, hébergement.
• La substituabilité : combien de temps pour en changer, et à quel coût.

Un fournisseur peu critique mais disposant d’un accès administrateur permanent est plus dangereux qu’un prestataire stratégique sans accès technique. Le classement par montant facturé, réflexe fréquent, n’a aucun rapport avec le risque.

Étape 2 — Contractualiser ce qui compte

Les clauses qui manquent le plus souvent dans les contrats que nous relisons :

• La notification d’incident : délai, canal, contenu minimal. Sans clause, vous apprendrez la compromission de votre prestataire par la presse.
• Le droit d’audit ou, à défaut, la fourniture de preuves : rapport de certification, attestation, résultats de tests.
• L’encadrement de la sous-traitance : votre prestataire sous-traite-t-il, à qui, et êtes-vous informé des changements ?
• La réversibilité : restitution des données, formats, délais, effacement certifié en fin de contrat.
• La localisation des données et des traitements.

Ces clauses ne servent pas qu’en contentieux. Elles servent le jour où vous devez expliquer à une autorité comment vous maîtrisez votre chaîne.

Étape 3 — Vérifier sans y passer l’année

Auditer trois cents fournisseurs est impossible. Le principe est la proportionnalité.

Fournisseurs critiques — accès privilégié ou service indispensable : évaluation approfondie, revue des certifications, questionnaire détaillé, éventuellement audit sur site. Revue annuelle.

Fournisseurs intermédiaires : questionnaire standard, vérification des certifications déclarées. Revue tous les deux ans.

Les autres : clauses contractuelles, pas d’évaluation individuelle.

Un mot sur les questionnaires : un fournisseur qui coche cent cases déclaratives sans fournir la moindre preuve ne vous apprend rien. Trois questions avec justificatif valent mieux que cent réponses en oui/non.

Étape 4 — Traiter les accès techniques

C’est la mesure qui réduit le risque le plus vite, et elle ne dépend que de vous.

• Pas d’accès permanent. Ouverture à la demande, pour une durée déterminée.
• Comptes nominatifs, jamais partagés. Un compte « maintenance » utilisé par douze personnes rend toute enquête impossible.
• Authentification multifacteur systématique sur les accès distants.
• Journalisation des sessions prestataires, conservée séparément.
• Revue trimestrielle des comptes externes, avec désactivation par défaut des inactifs.

Cette dernière mesure, à elle seule, ferme la majorité des portes oubliées.

Ce que vous devez à vos propres clients

Le raisonnement fonctionne dans les deux sens. Si vous vendez à des entités assujetties, vous êtes leur chaîne d’approvisionnement. Les questionnaires que vous recevez vont se multiplier.

Anticiper coûte moins cher que subir : un dossier de preuves préparé une fois — politique, certifications, résultats de tests, plan de continuité — se réutilise à chaque appel d’offres.

Sources

• Directive (UE) 2022/2555 (NIS 2), article 21.2 d)
• ISO/IEC 27002:2022, mesures 5.19 à 5.23
• ANSSI — guides sur la maîtrise du risque numérique et les prestataires
• Règlement (UE) 2022/2554 (DORA), registre d’information

Aller plus loin

La cartographie de l’écosystème est au cœur de l’atelier 3 de la méthode EBIOS Risk Manager. Nous conduisons ces travaux en gouvernance, risques et conformité.