Les attaques SolarWinds « » ont retenu l'attention de la quasi-totalité de la communauté de la cybersécurité. De nombreux responsables de la sécurité des systèmes d'information (RSSI) sont sans aucun doute extrêmement soulagés que leur organisation n'ait pas été victime d'une intrusion. Mais qui peut affirmer qu’il ne sera pas victime de la prochaine attaque majeure visant la chaîne d’approvisionnement ? Car il y aura une prochaine fois.
Qu'il s'agisse de logiciels tiers, de matériel informatique ou de prestataires de services, les organisations s'appuient encore trop sur la confiance et sur des méthodes manuelles, basées sur des tableurs, pour garantir la maîtrise des risques cybernétiques. En tant que secteur, nous devons mettre en place une meilleure façon de procéder, qui allie des données quantitatives détaillées à des attestations et des évaluations réalisées par des tiers reconnus.
Le défi se complique bien sûr lorsqu'il s'agit de gérer les chaînes d'approvisionnement de bout en bout. Pouvez-vous garantir le respect des pratiques de sécurité par les sous-traitants de vos sous-traitants ? Les organisations internationales sont confrontées à ce problème depuis des années, et il n'existe pas de réponse simple. Ce que nous pouvons affirmer, c'est que les meilleures pratiques en matière de sécurité de la chaîne d'approvisionnement doivent toujours commencer par la visibilité — tant sur vos ressources informatiques que sur celles de vos partenaires.
Ce n'est qu'en adoptant ce type d'approche qui revient à l'essentiel que vous pourrez commencer à répondre à ces questions fondamentales qui vous aideront à évaluer votre exposition au risque : Qui sont vos fournisseurs ? Quel est leur niveau de maturité en matière de sécurité ? À quelles données ont-ils accès ? Et comment l'utilisent-ils ?
Le problème des chaînes d'approvisionnement
La complexité des chaînes d'approvisionnement modernes peut très vite faire dérailler les efforts de gestion des risques. Cela n'arrange pas les choses que, pendant des décennies, de nombreuses organisations aient eu recours à des processus manuels et à des audits reposant sur des questions trop simplistes pour les aider à évaluer le risque lié aux fournisseurs (par exemple : « Disposez-vous d'un programme de gestion des correctifs ? »). Cette approche peut donner lieu à des réponses binaires ou à des réponses très subjectives qui ne peuvent être validées par aucune forme d'attestation par un tiers.
Prenons l'exemple des répercussions de l'incident SolarWinds. Certaines organisations ont demandé à leurs fournisseurs : « Avez-vous utilisé les versions concernées de SolarWinds Orion dans votre environnement ? » Mais la réponse « oui/non » ainsi obtenue ne suffit pas pour étayer des calculs de risque importants. Si le fournisseur en question disposait de processus de gestion des actifs et des applications peu efficaces, il se pourrait même qu'il ne connaisse pas la réponse avec certitude. Et à quoi sert une assurance fondée sur des données partielles ou incomplètes ?
Comme nous le verrons, les organisations bien établies posaient davantage de questions ouvertes (par exemple : « Comment votre entreprise aborde-t-elle la modélisation des menaces ? » Veuillez décrire votre approche en matière de gestion des correctifs.) En répondant à ces questions plus globales, vous pouvez obtenir une assurance bien plus complète quant à la sécurité des fournisseurs.
Par ailleurs, certaines organisations ont tenté d'aller au-delà de l'approche manuelle reposant sur des tableurs en recourant à des solutions techniques visant à évaluer de manière plus rigoureuse le niveau de sécurité des fournisseurs. Mais de nombreux services ne parviendront qu’à fournir une vision incomplète et « de l’extérieur vers l’intérieur » des fournisseurs, fondée sur un ensemble limité de critères et une notation subjective. Elles ne sont pas suffisamment globales pour être d'une grande utilité.
Ce n'est que la partie émergée de l'iceberg. Parmi les autres défis liés à la sécurité de la chaîne d'approvisionnement, on peut citer :
Les équipes chargées de la sécurité et de la gestion des risques ont été sollicitées trop tard :
La gouvernance de la chaîne d'approvisionnement est souvent mise en œuvre trop tardivement dans le processus d'intégration. À ce moment-là, il sera peut-être trop tard pour atténuer ou éliminer le risque. L'équipe chargée de la sécurité et de la gestion des risques peut subir une pression considérable de la part de l'entreprise pour qu'elle donne son feu vert à ce nouvel accord. Soucieux de ne pas être perçus comme le « service du non », les RSSI peuvent avoir l'impression de n'avoir d'autre choix que d'agir ainsi.
Il n'y a pas de renouvellement de certification :
Si une vérification préalable rigoureuse avant l'intégration est essentielle, il est tout aussi crucial de procéder à une réévaluation périodique de la relation. Il peut s'agir d'un fournisseur de SaaS dont le service a été initialement déployé auprès d'un petit nombre de développeurs utilisant uniquement des données de test.
Cette application est désormais susceptible d'être utilisée par des centaines d'employés et de traiter des informations commerciales essentielles. Une recertification périodique est essentielle pour gérer de manière dynamique les risques à mesure qu'ils évoluent. Malheureusement, pour de nombreuses organisations, la sécurité de la chaîne d'approvisionnement est une question que l'on règle une fois pour toutes, puis que l'on oublie.
Visibilité et assurance de bout en bout :
La gestion des risques liés aux tiers est une chose, mais plus on remonte ou descend la chaîne d'approvisionnement, plus cela devient difficile. Et qu'en est-il des fournisseurs de vos fournisseurs ? Et leurs fournisseurs ? La difficulté réside ici dans le fait qu'il n'existe pas de bonnes pratiques cohérentes et applicables à l'ensemble du secteur pour la gestion du risque fournisseurs de bout en bout.
Je demande à mes fournisseurs de me fournir des données détaillées fondées sur des modèles de menaces et des analyses de risques, mais leurs processus de validation de leurs propres partenaires pourraient se limiter à des contrôles superficiels et sommaires. Lorsque chaque maillon de la chaîne d'approvisionnement est différent, il devient extrêmement difficile d'évaluer le risque global de bout en bout.
Que va-t-il se passer ensuite ?
Toutes les organisations sont confrontées, dans une certaine mesure, à ces défis — même celles qui disposent de programmes de cybersécurité relativement bien établis. C’est pourquoi il est utile de revenir à l’essentiel et d’essayer, dans un premier temps, de répondre à ces questions fondamentales : qui sont vos fournisseurs, quel est leur niveau de maturité en matière de sécurité, et comment utilisent-ils vos données, le cas échéant ?
Tout cela se résume à une question de visibilité : il s'agit de savoir quels sont les actifs informatiques dont vous disposez, quels logiciels y sont exécutés et quelles sont les dépendances vis-à-vis de tiers. C'est facile à dire, mais pas toujours à faire.
Cette même visibilité doit être étendue à vos fournisseurs. Ils doivent être en mesure de fournir un inventaire complet et précis de leurs actifs informatiques afin de connaître l'état des terminaux et les versions logicielles qui y sont installées. Et ils doivent être en mesure d'appliquer rapidement des correctifs afin d'atténuer les risques de manière dynamique.
Cela devrait s'inscrire dans le cadre d'une démarche globale visant à évaluer le niveau global de maturité de la posture de sécurité de vos fournisseurs — en tenant compte non seulement des données ponctuelles, souvent incomplètes, relatives aux correctifs et aux vulnérabilités, mais également de l'approche adoptée par le fournisseur en matière de modélisation des menaces, de développement logiciel sécurisé, d'architecture de sécurité, et bien plus encore.
En se concentrant sur des questions normatives telles que « Avez-vous exécuté la mise à jour malveillante de SolarWinds Orion ? » offre une garantie apparente à un moment donné, mais ne sera d'aucune utilité lorsque la prochaine cyberattaque mondiale se produira. Pour garantir efficacement la sécurité de la chaîne d'approvisionnement, il faut adopter une approche bien plus globale.
Une fois que vous disposez de ces données quantitatives, associez-les à des attestations et évaluations réalisées par des tiers afin d'obtenir une vision à 360 degrés des risques liés à chaque fournisseur. Vous pourriez vous référer à des normes internationales pour vous aider dans ce domaine, telles que ISO 27001.
Définissez un ensemble minimal d'exigences et intégrez-les dans les contrats. Cela permettra de mettre en place une alternative plus cohérente et fondée sur les données à cette approche arbitraire de la vérification, basée sur des tableurs, à laquelle nous sommes encore trop nombreux à adhérer.
Voici quelques autres éléments à prendre en compte :
- Impliquez les équipes chargées de la sécurité et de la gestion des risques dès que possible dans le processus de vérification préalable des nouveaux fournisseurs. Les exigences doivent être déterminées en fonction du caractère sensible du service fourni.
- La recertification de sécurité doit être effectuée périodiquement et adaptée au niveau de criticité du service fourni.
- Réalisez une modélisation complète des menaces et une analyse approfondie des risques afin de mieux comprendre vos principaux adversaires, où ils sont susceptibles de frapper et de quelle manière. Cela vous aidera à définir votre stratégie de sécurité de la chaîne d'approvisionnement.
- Veillez à ce que vos fournisseurs disposent d'une procédure claire de notification des violations de données en cas de scénario catastrophe.
- Comprenez l'approche des fournisseurs concernant le cycle de vie du développement des logiciels de sécurité (SDLC) : comment leurs développeurs sont-ils formés et certifiés en matière de sécurité des applications ? Quels sont leurs processus d'analyse statique et dynamique ?
- Élaborez des guides d'intervention en cas d'incident afin de savoir comment réagir de manière optimale si le pire devait arriver.
Cette liste n'est pas exhaustive, et vous remarquerez qu'elle n'aborde pas le défi que représente la garantie de la chaîne d'approvisionnement de bout en bout. Il s'agit là d'un sujet sur lequel nous devons, en tant que secteur, nous pencher plus attentivement.
Souhaitez-vous avoir une meilleure visibilité sur l'état de votre environnement informatique ? Demandez une évaluation gratuite des risques afin de mieux cerner l'état de vos terminaux, d'identifier les failles critiques, d'obtenir votre score de cyber-risque et de repartir en sachant comment améliorer votre hygiène informatique.
