Gestion des risques tiers : Le danger est partout

La vigilance en matière de sécurité de l’information, de sécurité informatique et de protection des données augmente à mesure que les attaques informatiques se multiplient. C’est une bonne nouvelle. Cependant, le rédacteur invité et expert en sécurité Thomas Neuwert de neto consulting trouve préoccupant que les mesures de sécurité se limitent souvent à la porte de l’entreprise. Les plus grands risques se cachent en réalité chez les tiers.

Il y a environ deux ans, une avarie dans le canal de Suez nous a montré à quel point les chaînes d’approvisionnement et, par conséquent, l’ensemble de l’économie mondiale peuvent être vulnérables. À l’époque, le porte-conteneurs « Ever Given », long de 400 mètres, large de près de 60 mètres et haut de plus de 32 mètres, s’est mis en travers de cette importante voie maritime – et soudain, les chaînes d’approvisionnement du monde entier se sont effondrées pendant des jours, des semaines, des mois. Rien ne passait plus sur cette route maritime connue. Les porte-conteneurs se sont accumulés – et ont dû faire d’énormes détours. L’exemple de l’« Ever Given » a montré de manière exemplaire : les chaînes se brisent généralement là où se trouve le maillon le plus faible – dans ce cas, le canal étroit. Et elles se brisent toujours lorsque personne ne s’y attend. Et les conséquences sont immenses dans une économie de plus en plus interconnectée et ramifiée.

Ce que l’avarie du navire a en commun avec les risques informatiques

L’incident de l’« Ever Given » est certes un événement unique. Mais c’est un événement qui peut être transposé à d’autres domaines – en premier lieu la gestion sécurisée des données et l’infrastructure informatique. La meilleure protection, le meilleur concept pour les processus logistiques ou la sécurité informatique ne servent à rien si les partenaires commerciaux ne font pas preuve de la même vigilance. Dans le cas de l’« Ever Given », de nombreux PME allemandes ont été les principales victimes parce que leurs livraisons étaient bloquées. Dans le cas de violations informatiques par des tiers, ce sont également les grandes entreprises qui sont entraînées dans le tourbillon négatif.

Beaucoup de progrès à faire en matière de gestion des risques tiers

Pour être clair : en matière de gestion des risques tiers Risk Management, la situation n’est pas brillante dans l’économie allemande. Les niveaux de sécurité les plus élevés ne servent à rien si les risques liés aux données ne sont pas traités avec soin, notamment par les partenaires de services, par exemple dans le cloud. Aucune entreprise ne peut aujourd’hui se permettre de s’isoler du monde comme peut-être encore le régime en Corée du Nord. Elle doit ouvrir des voies de données dans et hors de l’entreprise – pour les clientes et clients, les employées et employés ou les nombreux fournisseurs et partenaires commerciaux. Et il doit être possible, pour des raisons d’efficacité et de coûts, de partager des données et des services avec des tiers ou de les stocker principalement dans le cloud.

Cependant, les points d’attaque augmentent également. Lorsque des fournisseurs tiers entrent en jeu, les entreprises ne peuvent pas se fier à l’auto-évaluation de ces fournisseurs. Toute violation chez les tiers peut entraîner des pertes financières importantes et des dommages à la réputation.

Gérer et surveiller les partenariats avec des fournisseurs tiers

Les partenariats avec des fournisseurs tiers doivent être gérés en continu. Ils sont associés à des risques commerciaux graves et déplacent les aspects de contrôle au-delà des frontières d’une entreprise.

Selon le Global Cybersecurity Outlook 2022 (PDF) du Forum économique mondial à Davos, les cyberattaques indirectes – c’est-à-dire les intrusions réussies dans les réseaux d’entreprises via des tiers – ont augmenté de 44 à 61 pour cent au cours des dernières années. De plus en plus souvent, les entreprises ne sont pas attaquées directement, mais via des tiers dont les services informatiques, les logiciels ou le matériel sont compromis. En Allemagne, de grands noms comme Audi, Volkswagen ou Mercedes-Benz ont déjà été touchés – et cela concerne également de plus en plus les PME. En plus des partenaires informatiques dans le cloud, les entreprises devraient, dans leur propre intérêt de sécurité, s’occuper très attentivement de la sécurité des données chez leurs fournisseurs et partenaires. Et en cas de problème, il doit être assuré qu’un tiers informe immédiatement les autres dans le réseau de la cyberattaque et des mesures éventuellement prises. Cela devrait être sécurisé contractuellement à l’avance. Néanmoins, chaque entreprise devrait s’assurer et surveiller elle-même ces interfaces IT critiques et les vérifier.

L’essentiel

• Les cyberattaques indirectes via des tiers sont passées de 44 à 61 pour cent – votre pare-feu ne suffit pas
• Même des groupes comme Audi, Volkswagen et Mercedes-Benz ont déjà été compromis via des tiers
• La gestion des risques tiers nécessite une surveillance continue, une sécurisation contractuelle et des contrôles propres

Key Facts

Augmentation des attaques indirectes : De 44 à 61 pour cent selon le WEF Global Cybersecurity Outlook 2022

Entreprises concernées : Audi, Volkswagen, Mercedes-Benz – et de plus en plus les PME

Problème central : Les normes de sécurité propres ne servent à rien si les tiers et les partenaires cloud ont des failles

Solution : Obligations contractuelles d’information en cas d’incidents de sécurité et audits réguliers des partenaires

Fait : Le nombre de variantes de logiciels malveillants découvertes quotidiennement est de plus de 450 000 selon AV-TEST.

Fait : Le nombre de variantes de logiciels malveillants découvertes quotidiennement est de plus de 450 000 selon AV-TEST.

Questions fréquentes

Chaque question est verrouillée. Un clic déverrouille la réponse.

Qu’est-ce que la gestion des risques tiers ?

La gestion des risques tiers comprend toutes les mesures d’identification, d’évaluation et de gestion des risques résultant des relations commerciales avec des tiers. Cela inclut les fournisseurs de services cloud, les partenaires informatiques, les fournisseurs et toutes les organisations externes ayant accès aux données de l’entreprise.

Pourquoi les tiers représentent-ils un si grand risque pour la sécurité ?

Aucune entreprise ne peut s’isoler complètement. Elle doit ouvrir des voies de données vers les clients, les employés, les fournisseurs et les services cloud. Chacune de ces interfaces est une porte d’entrée potentielle. Les attaquants choisissent délibérément le maillon le plus faible de la chaîne.

Quel est le lien entre l’avarie du canal de Suez et la sécurité informatique ?

Le blocage par l’Ever Given a montré de manière exemplaire à quel point les systèmes interconnectés sont vulnérables : les chaînes se brisent au niveau du maillon le plus faible, et les conséquences affectent toutes les parties prenantes. Ce principe s’applique également aux chaînes d’approvisionnement informatiques et aux flux de données.

Comment les entreprises peuvent-elles réduire les risques liés aux tiers ?

Les entreprises devraient ancrer les exigences de sécurité contractuellement, effectuer des audits réguliers des partenaires et surveiller elles-mêmes les interfaces IT critiques. Les obligations d’information immédiate en cas d’incidents doivent être convenues à l’avance.

La gestion des risques tiers concerne-t-elle uniquement les grands groupes ?

Non. Les PME sont particulièrement concernées, car elles dépendent souvent de prestataires de services informatiques externes et de services cloud, sans pouvoir vérifier elles-mêmes leur niveau de sécurité.

Weiterführende Lektüre im Netzwerk

Sécurité cloud et gestion des fournisseurs sur cloudmagazin.com

Risques de la chaîne d’approvisionnement et digitalisation sur mybusinessfuture.com

Gestion des risques au niveau de la direction sur digital-chiefs.de

Titel-Bild: Freepik

–

À propos de l’auteur
Thomas Neuwert est le directeur général de neto consulting, une société de conseil basée à Rosenheim. L’entreprise propose des services de conseil en gouvernance, risque et conformité (GRC) intégrés. Pour des solutions automatisées, neto consulting utilise comme produit principal « embedded GRC » de GORISCON : il permet aux entreprises de mettre en œuvre de manière efficace et économe en ressources des processus soutenus par l’IT dans différents domaines – de la sécurité de l’information à la protection des données en passant par la gestion des risques.

Verwandte Artikel

• NIS2 et sécurité de la chaîne d’approvisionnement : Comment les chaînes d’approvisionnement deviennent un risque de conformité
• Les dangers pour les entreprises – Comment les cybercriminels exploitent ChatGPT
• secIT by Heise 2026 : La roadshow de la sécurité pour les administrateurs et les responsables informatiques

Source de l’image : Pexels