Vos fournisseurs détiennent certaines de vos clés. Sachez lesquelles.
Nous vous aidons à recenser vos fournisseurs, à les classer selon ce qu'ils peuvent atteindre, à poser les bonnes questions et à vérifier les réponses sur preuves.
Présentation
Pourquoi le risque fournisseur est votre risque
Chaque hébergeur, éditeur de logiciel, prestataire de paie et sous-traitant disposant d'un accès distant étend votre surface d'attaque. Si l'un d'eux est compromis, vos données et vos clients font partie de l'histoire, quoi qu'en dise le contrat.
La réglementation en a pris acte. La directive NIS 2 inclut la sécurité de la chaîne d'approvisionnement parmi les mesures de gestion des risques de cybersécurité qu'elle exige. DORA, le règlement sur la résilience opérationnelle numérique du secteur financier, encadre en détail le risque lié aux prestataires tiers de services TIC, y compris des exigences contractuelles et un registre d'informations sur les accords conclus avec eux. L'ISO/IEC 27001 a ses propres mesures pour les relations fournisseurs.
Nous construisons un processus que vous pouvez faire tourner avec vos équipes : un inventaire, des niveaux qui déterminent l'examen de chaque fournisseur, des questionnaires proportionnés et une revue des preuves derrière les réponses. Un questionnaire est une déclaration. Nous demandons les justificatifs.
À qui s'adresse ce service
Les organisations concernées par NIS 2 ou DORA, les entreprises qui préparent l'ISO/IEC 27001 ou SOC 2 et ont besoin d'un processus fournisseurs, et les équipes qui reçoivent une pile croissante de questionnaires d'un côté et n'en envoient aucun de l'autre.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Inventaire des fournisseurs
Chaque tiers qui touche vos données, vos systèmes ou vos services critiques, avec son responsable, ses accès et le service fourni.
Classement
Des critères qui classent les fournisseurs par criticité et par accès, pour que l'effort aille là où est l'exposition.
Questionnaires
Des questionnaires de sécurité adaptés à chaque niveau, sur des structures reconnues lorsqu'elles conviennent, et assez courts pour revenir remplis.
Revue des preuves
Nous examinons les preuves derrière les réponses, par exemple certificats ISO/IEC 27001 et leur périmètre, rapports SOC 2, synthèses de tests d'intrusion et politiques.
Clauses contractuelles
Exigences de sécurité, obligations de notification, droits d'audit et clauses de sortie pour vos contrats, rédigées pour être reprises par votre service juridique.
Suivi continu
Un cycle de revue par niveau et des déclencheurs de réévaluation, comme un incident, un changement de service ou un renouvellement de contrat.
Déroulement de la mission
Lancement
Nous convenons du périmètre, des réglementations applicables et des interlocuteurs, et signons d'abord un accord de confidentialité si vous le souhaitez.
Proposition
Une proposition commerciale précisant la méthode, le périmètre et le type de contrat qui vous convient.
Inventaire et classement
Des ateliers avec les achats, l'informatique et les métiers pour dresser la liste des fournisseurs et attribuer les niveaux.
Évaluation
Questionnaires envoyés aux fournisseurs du périmètre, puis revue des preuves et questions complémentaires.
Restitution
Une note de risque pour chaque fournisseur évalué, des actions recommandées et un rapport de synthèse pour la direction.
Clôture
Clôture du projet avec vos retours et, en option, un accompagnement continu pour faire tourner le cycle.
Ce que vous recevez
- Inventaire des fournisseurs avec responsables et accès
- Critères de classement et niveaux attribués
- Jeu de questionnaires par niveau
- Rapports d'évaluation des fournisseurs du périmètre
- Clauses contractuelles types en matière de sécurité
- Procédure de gestion des risques tiers avec cycle de revue
Questions
Évaluez-vous directement nos fournisseurs ?
Oui, avec votre accord et le leur. En général par questionnaires et revue des preuves. Lorsque le contrat le permet et que le risque le justifie, nous pouvons aussi mener une évaluation sur site ou technique, par exemple un test d'intrusion du service d'un fournisseur.
Le certificat ISO/IEC 27001 d'un fournisseur suffit-il ?
C'est une bonne preuve, mais vérifiez le périmètre. Un certificat couvrant un centre de données dit peu de chose du service que vous achetez depuis un autre. Nous lisons la déclaration de périmètre et, si le fournisseur la communique, la déclaration d'applicabilité.
Qu'apporte DORA ?
Pour les entités financières, DORA fixe des règles propres à la gestion du risque lié aux prestataires tiers de services TIC, notamment sur le contenu des contrats et la tenue d'un registre d'informations sur ces accords. Nous vous aidons à mettre en place le processus et le registre ; l'interprétation juridique reste du ressort de votre conseil.
Pouvez-vous aussi nous aider avec les questionnaires que nous recevons ?
Oui. Un audit de sécurité de l'information au regard du questionnaire du client fait partie de nos services.
Services associés
- Conformité et certificationNIS 2NIS 2 avec Black Fox Security : analyse d'assujettissement, écarts face aux mesures de gestion des risques, notification des incidents, fournisseurs.
- Conformité et certificationDORADORA avec Black Fox Security : écarts de gestion du risque lié aux TIC, notification d'incidents, tests de résilience opérationnelle et prestataires tiers.
- Gouvernance et risquesAppréciation des risquesAppréciation des risques infrastructure, réseau et applications par Black Fox Security : probabilité contre gravité, registre des risques et options de traitement.
- Conformité et certificationISO/IEC 27001ISO/IEC 27001 avec Black Fox Security : périmètre du SMSI, appréciation des risques, déclaration d'applicabilité, audit interne et préparation à la certification.
Commencez par la liste
Dites-nous combien de fournisseurs vous pensez avoir. Nous vous aidons à trouver les autres.