La gestion des risques liés aux tiers consiste à identifier et à atténuer les risques auxquels une organisation est exposée de la part de partenaires commerciaux externes, tels que les fournisseurs, les prestataires et les sous-traitants. Ce processus exige des organisations qu'elles identifient leurs partenaires commerciaux — et, par extension, les partenaires de ces derniers — afin de pouvoir mettre en place des mesures de protection visant à réduire les risques.
Les entreprises modernes, quelle que soit leur taille, externalisent des services et des activités essentiels, en faisant appel à des prestataires tiers pour des services tels que l'hébergement dans le cloud, la gestion de la paie et la gestion des locaux. Lorsque des partenaires tiers ne parviennent pas à fournir un produit ou un service, cela peut avoir des conséquences potentiellement désastreuses. Prenons l'exemple d'une entreprise de commerce électronique qui s'appuie sur Amazon Web Services (AWS) pour héberger son site web. Si AWS venait à subir une interruption de service, le site web serait indisponible, ce qui entraînerait des pertes de transactions pour l'entreprise et, si le site restait indisponible pendant une période prolongée, une atteinte à sa réputation auprès de ses clients.
L'accès de tiers aux locaux et aux systèmes informatiques d'une organisation l'expose à un niveau de risque bien plus élevé . Si les données clients d'une organisation sont exposées en raison d'une faille de sécurité chez un tiers, par exemple, cette organisation reste responsable de l'attaque. Il s'agit d'une préoccupation croissante pour les entreprises aujourd'hui : selon , 93 % des entreprises ont été victimes d'une faille de cybersécurité due à des faiblesses au sein de leur chaîne d'approvisionnement ou chez leurs fournisseurs tiers.
Des tiers confient également certaines parties de leurs activités à d'autres entreprises. Ces entités deviennent des parties prenantes de second rang au sein de l'organisation, et chacune de leurs politiques de sécurité a, à son tour, une incidence sur l'organisation qui passe un contrat avec ce tiers. En termes simples, chaque relation commerciale supplémentaire avec un tiers accroît les risques pour une organisation.
Un exemple classique de risque lié à un tiers est la fuite de données concernant 2013 cartes de crédit de Target. Les pirates ont pris pour cible un prestataire tiers spécialisé dans la réfrigération travaillant pour , à savoir. Ils ont utilisé un e-mail de hameçonnage pour inciter un employé à installer un logiciel malveillant qui leur a permis d'accéder aux identifiants de connexion au portail des fournisseurs de Target. (Certaines sources estiment que le prestataire utilisait un logiciel de sécurité gratuit qui n'offrait pas de protection en temps réel.) Les pirates ont installé un logiciel malveillant sur le système de point de vente de Target et ont dérobé 40 millions de numéros de cartes bancaires , compromettant ainsi les données personnelles de 70 millions de clients. Même si l'attaque avait été perpétrée par un sous-traitant, Target a été tenue pour responsable et a dû verser une indemnité de 18,5 millions de dollars.
Il est essentiel que les organisations vérifient soigneusement toutes les entreprises avec lesquelles elles s'associent. La gestion des risques liés aux tiers aide les organisations à identifier et à évaluer les risques générés par ces derniers, puis à collaborer avec eux soit pour maîtriser ces risques, soit pour trouver une alternative plus sûre.
Quel est le rôle d'un tiers ?
Un tiers fournit un élément ou un service essentiel à une entreprise, tel qu'un logiciel, des biens matériels ou des fournitures. Parmi les partenaires tiers, on trouve généralement :
- Éditeurs de logiciels
- Fournisseurs de services cloud
- Services de gestion informatique
- Agences de recrutement
- Prestataires de services de gestion de la paie
- Services de gestion de la fidélité
- Professionnels de la fiscalité
- Fournisseurs et sous-traitants
Étant donné que des entreprises tierces peuvent accéder aux données d’une organisation et les traiter, il est essentiel de s’assurer qu’elles respectent les normes de sécurité en vigueur en matière d’
.
En quoi consistent les risques liés aux tiers ?
La plupart des risques liés à des tiers relèvent de l'une des catégories suivantes :
- Cybersécurité. Les tiers constituent une source de cyberattaques de plus en plus courante. Les pirates informatiques compromettent un ou plusieurs maillons de la chaîne logistique de l' e d'une organisation et tirent parti de cet accès pour lancer des attaques de plus grande envergure contre des cibles de grande valeur.
- Conformité réglementaire. L'absence de contrôles de sécurité mis en place par des tiers peut entraîner une perte de données, ainsi que des violations des réglementations relatives à la loi « »
et des sanctions. - Opérationnel. Les défaillances de tiers peuvent entraîner la fermeture d'une organisation. Par exemple, une cyberattaque visant l'éditeur de logiciels Geographic Solutions a perturbé le versement des allocations chômage et les services d'aide à la recherche d'emploi pour les personnes résidant dans les États qui utilisaient
leur logiciel.
«Même si l’attaque provenait d’un sous-traitant, Target a été tenue pour responsable et a dû verser une indemnité de 18,5 millions de dollars. »
- Stratégique. Lorsque les stratégies commerciales de l'organisation et celles d'un tiers ne concordent pas, il se peut que les normes réglementaires et autres normes de sécurité ne soient pas respectées.
- Réputation. La mauvaise publicité liée à des failles de sécurité, à des manquements à la conformité ou à d'autres problèmes survenus chez un tiers peut nuire à l'image de l'organisation qui utilise ses produits ou services.
- Finances. Un préjudice financier peut résulter de l'incapacité à fournir les services prévus par le contrat, de la livraison de produits défectueux ou d'une baisse de la qualité du travail effectué par un tiers. Les amendes ou les frais de justice engagés par un tiers peuvent également accroître le risque financier pour une organisation.
Dans la pratique, la défaillance d'un tiers a généralement des répercussions multiples sur une organisation. La fuite de données chez Target, par exemple, a perturbé les activités de l'entreprise, a constitué une menace sur le plan réglementaire et a entraîné des préjudices financiers et une atteinte à la réputation de l'entreprise.
Pourquoi le recours à des tiers comporte-t-il des risques ?
Une organisation peut ne pas disposer, vis-à-vis du personnel, du réseau, des technologies de l'information et des pratiques commerciales d'une autre entreprise, de la même visibilité ni du même contrôle que ceux dont elle dispose vis-à-vis des siens. Cela expose l'organisation à toute une série de risques potentiels sur les plans opérationnel, financier, de réputation, réglementaire et de sécurité. Étant donné qu’une organisation est en dernier ressort responsable des actions des tiers qui lui permettent d’exercer ses activités, tout incident peut avoir des conséquences désastreuses pour
l’entreprise.
Quels sont quelques exemples de risques liés à des tiers ?
Parmi les risques courants liés aux tiers, on peut citer les suivants :
- Sécurité insuffisante. Les pirates peuvent exploiter les failles de sécurité de solutions tierces pour voler les données des clients, des informations financières et la propriété intellectuelle. C'est ce qui s'est produit en 2014 , lorsque les données de 15 000 patients du Boston Medical Center ont été divulguées via le site web de son service de transcription, car le site du prestataire n'utilisait pas de protection par mot de passe pour les dossiers des patients.
- Les salariés. Les pirates ont souvent recours à des techniques d'ingénierie sociale de type « » pour cibler les employés d'entreprises tierces. Les employés reçoivent généralement un e-mail ou un SMS qui semble provenir d'une source fiable et qui tente de les inciter à divulguer leurs identifiants de connexion ou à installer un logiciel malveillant capable de récupérer ces informations. La fuite de données chez Target illustre bien comment la malhonnêteté d'un employé peut déclencher une série d'événements catastrophiques.
- Décalage stratégique. Un manque d'alignement entre les stratégies commerciales des tiers et celles des organisations qu'ils accompagnent peut entraîner divers risques. C'est ce qui a été à l'origine de la fuite de données concernant 2020 membres du programme « Health Share of Oregon » de l' . Des pirates ont divulgué les données personnelles de plus de 650 000 membres à la suite du vol d'un ordinateur portable chez GridWorks, un prestataire de services de transport médical. Le fournisseur n'avait pas respecté
la politique de Health Share, qui impose à ses partenaires commerciaux d'utiliser un système de chiffrement sur tous les appareils portables contenant des informations sur les patients relevant de la loi «
».
En quoi le risque lié aux tiers diffère-t-il du risque interne ?
Les risques internes découlent de problèmes au sein de votre organisation — contrôles de sécurité laxistes, systèmes informatiques vieillissants, formation insuffisante des collaborateurs — qui peuvent entraîner des failles de sécurité et des violations de données. Les risques liés aux tiers découlent en grande partie des mêmes problèmes, mais trouvent leur origine dans les systèmes, les processus et le personnel d’un partenaire commercial.
«Une organisation est en dernier ressort responsable des actions des tiers qui lui permettent d’exercer ses activités. »
La différence essentielle entre le risque interne et le risque lié à un tiers réside dans le niveau de contrôle dont dispose une organisation sur l'atténuation de ce risque. Si une organisation exerce un contrôle sur ses propres mesures de sécurité, elle n'a en revanche qu'une visibilité très limitée sur celles de ses partenaires tiers et de ses prestataires de services externalisés. Cela élargit la surface d'attaque d'une organisation tout en masquant l'origine des risques.
Qu'est-ce que la diligence raisonnable vis-à-vis d'un tiers ?
Les organisations procèdent à une vérification préalable avant de nouer une relation avec un partenaire commercial. Ce processus essentiel de gestion des risques liés aux fournisseurs consiste à dresser un inventaire des tiers potentiels et à évaluer le niveau de risque qu'ils représentent pour un partenariat. Au cours de ce processus, l'organisation recueille des informations concernant la structure de propriété, l'organisation, la situation financière, les activités et la réputation de la partie tierce.
Ces informations permettent à l'organisation de déterminer si un tiers est en mesure d'atténuer les risques liés à son produit ou à son service. La diligence raisonnable relève de la responsabilité du conseil d'administration et de la direction générale ; elle doit être mise en œuvre avant la signature d'un contrat et tout au long de la relation, afin de garantir que les nouveaux risques soient pris en compte dès leur apparition.
Quels sont les avantages de la gestion des risques liés aux tiers ?
La gestion des risques liés aux tiers présente de nombreux avantages, notamment :
- Une meilleure visibilité sur les environnements tiers. Une visibilité détaillée sur les relations avec les fournisseurs, les prestataires de services et d’autres entreprises tierces permet aux entreprises de mieux comprendre les liens qui unissent les différentes parties et d’identifier les risques potentiels.
- Risque réduit. La diligence raisonnable permet aux dirigeants de prendre des décisions plus éclairées concernant les organisations avec lesquelles ils font affaire. Dès le début de la relation, les risques peuvent être identifiés et maîtrisés, grâce à des contrôles réguliers de diligence raisonnable et à des mesures correctives immédiates tout au long du cycle de vie du tiers.
- Une meilleure conformité réglementaire. La gestion des risques liés aux tiers est une exigence de nombreuses normes et réglementations sectorielles, telles que la FISMA, la HIPAA, la HITECH, la SOX, la GLBA et le cadre de cybersécurité du NIST. Une évaluation régulière des relations avec les tiers permet aux organisations de s'assurer qu'elles respectent les exigences des autorités de régulation et d'éviter des amendes et des sanctions coûteuses.
- Réduction des coûts. Bien que la gestion des risques liés aux tiers reste un investissement initial, elle permet de réaliser des économies en réduisant le risque de fuites de données, qui coûtent aux organisations 4,2 millions de dollars en moyenne
par incident.
Quelles sont les meilleures pratiques en matière de gestion des risques liés aux tiers ?
Les dirigeants peuvent réduire au minimum les risques liés aux tiers en gardant à l'esprit les conseils suivants :
- Faites l'inventaire. Pour comprendre d'où proviennent vos risques liés aux tiers, vous devez savoir avec qui vous faites affaire. Dressez un inventaire complet des prestataires externes auxquels vous avez fait appel. Cela pourrait inclure aussi bien de grandes organisations que des entrepreneurs indépendants, ainsi que toute entreprise à laquelle ces entités sous-traitent des services. Veillez également à recenser et à consigner les systèmes, les applications et les données auxquels chaque partie a accès.
- Classez les risques. Examinez chaque tiers individuellement afin de déterminer la probabilité et les conséquences potentielles d'une intrusion informatique, puis classez-les en fonction du niveau de risque qu'ils représentent. Vous devriez concentrer vos efforts d'atténuation en priorité sur les parties présentant le risque le plus élevé.
- Prenez en compte tous les types de risques. Les risques ne se limitent pas au piratage informatique. Des antécédents d'interactions médiocres avec la clientèle, une faible cote de crédit, des retards de livraison et tout autre signal d'alerte de ce type sont révélateurs de la manière dont un tiers mène ses activités et des risques qu'il présente.
- Recueillir des informations auprès de tiers. Envoyez à chaque partie un questionnaire afin de recueillir des informations sur sa structure organisationnelle et sa gouvernance, les pratiques de cybersécurité qu’elle a
mises en place, les réseaux et les actifs numériques auxquels elle doit accéder,
ainsi que les mesures de sécurité qu’elle mettra en œuvre lorsqu’elle accédera aux ressources de votre entreprise. - Réduisez les risques. Une fois que vous aurez identifié l'ensemble de vos tiers et les risques qu'ils présentent, vous pourrez vous attacher à les atténuer ou à les gérer. En fonction du risque, l'atténuation peut nécessiter la mise en place de mesures de sécurité, telles que la restriction de l'accès à certains actifs. Il se peut également que ce tiers doive remédier à des failles de sécurité ou mettre en place des mesures de sécurité plus strictes. Dans les situations où il n'est pas possible de réduire raisonnablement les risques, vous pouvez décider de mettre fin à votre relation.
- Écran. Étant donné que le comportement des tiers évolue au fil du temps, ce qui peut entraîner l'apparition de nouveaux risques, il est important de procéder à des évaluations régulières. La surveillance peut être assurée en continu et en temps réel à l'aide d'une plateforme de gestion des risques fournisseurs.
- Répétez la procédure pour chaque nouveau tiers. Les pratiques susmentionnées doivent être mises en œuvre chaque fois que vous établissez une relation avec un nouveau fournisseur, vendeur, prestataire de services ou sous-traitant. Une vigilance constante permettra de garantir que les tiers ne bénéficient que du niveau d'accès au réseau et aux données dont ils ont besoin pour mener leurs activités avec vous.
Quels sont les défis liés à la gestion des risques liés aux tiers ?
La plupart des organisations n'ont qu'une vague idée des risques auxquels les exposent leurs relations avec des tiers. Parmi les raisons, on peut citer les suivantes :
- Des réseaux de fournisseurs complexes. Les entreprises modernes travaillent avec des centaines de fournisseurs et de prestataires de services, qui ont chacun recours à leur propre réseau de tiers pour externaliser et sous-traiter certaines activités. Des risques peuvent survenir n'importe où sur ce réseau, à tout moment. La plupart des organisations ne disposent pas d'une visibilité suffisamment détaillée sur l'ensemble de leur réseau de relations pour comprendre et gérer leurs risques.
- Processus manuels. Les organisations ont souvent recours à des tableurs, des questionnaires et d'autres processus manuels pour gérer les risques liés aux tiers. Une approche inefficace peut allonger le temps nécessaire pour détecter et résoudre les problèmes.
[À lire également : 5 étapes pour élaborer un plan d'intervention en cas d'incident à toute épreuve]
- Manque d'évolutivité. Les processus manuels sont extrêmement difficiles à étendre à mesure que les réseaux tiers se développent, ce qui peut engendrer des risques supplémentaires.
- Les cloisonnements organisationnels. Les cloisonnements entre les services, les fonctions et les unités opérationnelles de l'entreprise peuvent compliquer la collecte d'informations complètes sur les risques à l'échelle de l'organisation.
- Une pression réglementaire accrue. De nombreuses réglementations fédérales et régionales exigent que les politiques de gestion des risques s'étendent aux partenaires commerciaux tiers d'une organisation. Toutefois, ces entités échappent au contrôle direct d'une organisation, ce qui rend leur mise en œuvre difficile.
En quoi consiste le cycle de vie de la gestion des risques liés aux tiers ?
Les entreprises suivent une série d'étapes dans le cadre d'une relation avec un tiers, depuis la conclusion d'un contrat jusqu'à sa résiliation. Il n'existe pas de schéma définitif du cycle de vie, et le processus varie d'une organisation à l'autre. Cependant, le cycle de vie peut être globalement divisé en trois phases de risque qu'il convient de gérer :
- Phase précontractuelle. Avant de conclure un contrat avec un tiers, l'organisation évalue les risques liés à ce tiers, détermine les informations sensibles auxquelles elle doit avoir accès, et vérifie si l'autre entreprise a l'intention de sous-traiter tout ou partie des services qu'elle fournit.
- Phase contractuelle. L'organisation définit les risques que les deux parties assumeront et la manière dont elles s'y prendront pour les atténuer conjointement, ainsi que les autres modalités du partenariat.
- Phase post-contractuelle. La gestion continue des relations avec les tiers s'effectue par le biais d'un suivi, de rapports et d'évaluations. Les procédures de départ s'appliquent également en cas de cessation de la relation de travail.
Plus de ressources
- Qu'est-ce qu'un score de risque cybernétique ?
- Maîtriser les risques associés à la chaîne logistique suite à la vulnérabilité Log4j
- L'avenir de la gestion des risques repose entièrement sur l'automatisation
- Élaborer un plan d'action en cybersécurité : Comprendre la gestion des risques informatiques
- Comment votre entreprise peut-elle survivre à une attaque par ransomware ?
