Les attaques SolarWinds ont attiré l’attention de pratiquement tous les membres de la communauté de la cybersécurité. Il existe de nombreux directeurs de la sécurité de l’information (Chief Information Security Officers, CISO) qui sont sans aucun doute extrêmement reconnaissants que leur organisation n’ait pas été compromise. Mais qui peut dire qu’il ne sera pas victime de la prochaine attaque majeure de la chaîne d’approvisionnement ? Parce qu’il y aura une prochaine fois.
Que nous parlions de logiciels, de matériel ou de fournisseurs de services tiers, les organisations comptent toujours trop sur la confiance et des approches manuelles basées sur des feuilles de calcul pour fournir une assurance sur les cyber-risques. En tant qu’industrie, nous devons développer une meilleure façon de faire les choses, qui combine des données riches et quantitatives avec des attestations et des évaluations tierces réputées.
Le défi s’accroît, bien sûr, lorsqu’il s’agit de gérer les chaînes d’approvisionnement de bout en bout. Pouvez-vous vous porter garant des pratiques de sécurité de vos tiers ? Les organisations mondiales ont du mal à résoudre ce problème depuis des années, et il n’y a pas de réponses simples. Ce que nous pouvons dire, c’est que les meilleures pratiques en matière de sécurité de la chaîne d’approvisionnement doivent toujours commencer par la visibilité de vos actifs informatiques et de ceux de vos partenaires.
Ce n’est qu’avec ce type d’approche de retour aux bases que vous pouvez commencer à répondre à ces questions fondamentales pour aider à calculer l’exposition aux risques : Qui sont vos fournisseurs ? Quelle est leur maturité en matière de sécurité ? À quelles données peuvent-ils accéder ? Et comment l’utilisent-ils ?
Le problème des chaînes d’approvisionnement
La complexité des chaînes d’approvisionnement modernes peut très bientôt rendre les efforts de gestion des risques incontrôlables. Cela n’aide pas que, pendant des décennies, de nombreuses organisations ont utilisé des processus et des audits manuels basés sur des questions trop simplistes pour les aider à calculer le risque fournisseur (par ex., avez-vous un programme de gestion des correctifs ?). Cette approche peut susciter des réponses binaires ou des réponses hautement subjectives qui ne peuvent pas être validées via une forme d’attestation tierce.
Prenez les retombées de l’incident SolarWinds. Certaines organisations ont demandé à leurs fournisseurs : « Avez-vous les versions affectées de SolarWinds Orion dans votre environnement ? » Mais la réponse « oui/non » que cela a induite ne suffit pas pour fonder des calculs de risque importants. Si le fournisseur en question avait des processus de gestion des actifs et des applications faibles en place, il pourrait même ne pas connaître la réponse avec certitude. Et quelle est la qualité d’une assurance basée sur des données partielles ou incomplètes ?
Comme nous le verrons, les organisations matures ont posé plus de questions ouvertes (par ex., Comment votre entreprise aborde-t-elle la modélisation des menaces ? Décrivez votre approche de la gestion des correctifs.) En répondant à ces questions plus holistiques, vous pouvez obtenir une assurance beaucoup plus large de la sécurité des fournisseurs.
En outre, certaines organisations ont essayé d’aller au-delà de l’approche manuelle basée sur des feuilles de calcul avec des solutions techniques qui tentent de calculer plus rigoureusement la posture de sécurité des fournisseurs. Mais de nombreux services ne réussiront qu’à fournir une vue incomplète et « extérieure » des fournisseurs sur la base d’un ensemble limité de critères et d’une notation subjective. Ils ne sont pas assez holistiques pour être beaucoup aidés.
Ce n’est que la pointe de l’iceberg. Les autres défis liés à la sécurité de la chaîne d’approvisionnement comprennent :
Équipes de sécurité/risque engagées trop tard :
La gouvernance de la chaîne d’approvisionnement est souvent effectuée trop tard dans le processus d’intégration. À ce moment-là, il est peut-être trop tard pour atténuer ou supprimer les risques. L’équipe chargée de la sécurité et des risques peut subir une énorme pression de la part de l’entreprise pour donner sa bénédiction au nouvel accord. Souhaitant ne pas être perçu comme le « service du non », les RSSI peuvent avoir l’impression d’avoir le choix.
La recertification n’a pas lieu :
Aussi important qu’une diligence raisonnable rigoureuse avant l’intégration soit, une réévaluation périodique de la relation est également essentielle. Il peut s’agir d’un fournisseur SaaS dont le service a été initialement déployé auprès d’un petit nombre de développeurs utilisant uniquement des données de test.
Cette application peut désormais être utilisée par des centaines d’employés et traiter des informations commerciales critiques. Une recertification périodique est essentielle pour gérer dynamiquement les risques à mesure qu’ils évoluent. Malheureusement, la sécurité de la chaîne d’approvisionnement est « définie et oubliée » pour de nombreuses organisations.
Visibilité et assurance de bout en bout :
La gestion des risques tiers est une chose, mais plus vous allez en amont ou en aval, plus elle devient difficile. Qu’en est-il des fournisseurs de vos fournisseurs ? Et leurs fournisseurs ? Le défi ici est qu’il n’existe pas de meilleures pratiques cohérentes et à l’échelle de l’industrie pour gérer les risques liés aux fournisseurs de bout en bout.
Je demande à mes fournisseurs de fournir des données détaillées basées sur des modèles de menaces et une analyse des risques, mais leurs processus pour valider leurs propres partenaires pourraient être des inspections légères et superficielles. Lorsque chaque composant de la chaîne d’approvisionnement est différent, il devient incroyablement difficile de qualifier le risque global de bout en bout.
Que se passe-t-il ensuite ?
Toutes les organisations sont confrontées à ces défis dans une certaine mesure, même celles qui ont des programmes de cybersécurité relativement matures. C’est pourquoi il est utile de revenir aux bases et d’essayer, en premier lieu, de répondre à ces questions de base sur qui sont vos fournisseurs, leur maturité en matière de sécurité et la manière dont ils utilisent vos données, le cas échéant.
Cela se résume à la visibilité : comprendre quels actifs informatiques vous possédez, ce qui s’exécute sur eux et quelles dépendances tierces existent. C’est simple à dire, mais pas toujours à faire.
Cette même visibilité doit être étendue à vos fournisseurs. Ils doivent être en mesure de fournir un inventaire complet et précis de leurs actifs informatiques pour comprendre le statut des endpoints et quelles versions logicielles sont installées. Et ils doivent être en mesure de corriger rapidement pour atténuer les risques de manière dynamique.
Cela doit s’inscrire dans un effort global pour calculer la maturité globale de la posture de sécurité de vos fournisseurs, en prenant non seulement en compte la télémétrie ponctuelle, souvent incomplète, des correctifs et des vulnérabilités, mais également l’approche d’un fournisseur en matière de modélisation des menaces, de développement logiciel sécurisé, d’architecture de sécurité, etc.
Se concentrer sur des questions prescriptives telles que « Avez-vous exécuté la mise à jour malveillante de SolarWinds Orion ? » fournit une assurance ostensible à un moment donné, mais n’aidera pas lors de la prochaine cyberattaque mondiale. Une sécurité efficace de la chaîne d’approvisionnement exige une approche beaucoup plus étendue.
Une fois que vous avez ces données quantitatives à portée de main, combinez-les avec une attestation et des évaluations tierces pour obtenir une vue à 360 degrés des risques chez chaque fournisseur. Vous voudrez peut-être utiliser des normes internationales pour vous aider ici, comme ISO 27001.
Définissez un ensemble minimal d’exigences et intégrez-les dans les contrats. Cela aidera à construire une alternative plus cohérente et axée sur les données à cette approche arbitraire et basée sur des feuilles de calcul de l’assurance, que trop d’entre nous adhèrent toujours.
Voici quelques autres considérations :
- Impliquez les équipes de sécurité/risque dès que possible dans le processus de diligence raisonnable du nouveau fournisseur. Les exigences doivent être basées sur la sensibilité du service fourni.
- La recertification de sécurité doit être effectuée périodiquement et alignée sur la criticité du service fourni.
- Effectuez une modélisation complète des menaces/analyse des risques pour mieux comprendre vos principaux adversaires, où ils peuvent frapper et comment. Cela vous aidera à éclairer votre stratégie de sécurité de la chaîne d’approvisionnement.
- Assurez-vous que vos fournisseurs disposent d’un processus clair pour la notification des violations en cas de pire scénario.
- Comprendre les approches des fournisseurs concernant le cycle de vie du développement de logiciels de sécurité (SDLC) : comment leurs développeurs sont-ils formés et certifiés en matière de sécurité des applications ? Quels sont leurs processus pour l’analyse statique et dynamique ?
- Définissez des playbooks de réponse aux incidents afin de savoir à quoi ressemble le bien si le pire se produit.
Il ne s’agit pas d’une liste exhaustive, et vous remarquerez qu’elle ne répond pas au défi de l’assurance de la chaîne d’approvisionnement de bout en bout. Il s’agit d’un sujet auquel nous devons, en tant qu’industrie, réfléchir plus attentivement.
Vous souhaitez gagner en visibilité sur l’intégrité de votre environnement informatique ? Demandez une évaluation gratuite des risques pour vous aider à comprendre l’état de vos endpoints, identifier les lacunes critiques, obtenir votre score de cyber-risque et savoir comment améliorer votre hygiène informatique.
