Angles morts liés aux quatrièmes parties : risques cachés, conséquences importantes

La plupart des organisations ont fait évoluer leur approche de la gestion des risques liés aux tiers au cours de la dernière décennie, mais les risques liés aux quatrièmes parties sont devenus un angle mort majeur pour les programmes de sécurité modernes.

Elles répertorient leurs fournisseurs critiques, évaluent les mesures de contrôle, examinent les attestations et négocient des contrats incluant des exigences de sécurité. Pourtant, les incidents les plus perturbateurs trouvent de plus en plus souvent leur origine en dehors de ces relations directes. Ils proviennent des fournisseurs qui se trouvent derrière vos fournisseurs directs. Ces quatrièmes parties sont situées plus en profondeur dans la chaîne d’approvisionnement, souvent invisibles pour le centre des opérations de sécurité jusqu’à ce que les incidents surviennent.

Pour les responsables de la gestion des risques liés aux tiers, ce n’est pas une préoccupation abstraite, mais une réalité opérationnelle créée par la dépendance au cloud, les services gérés, la prolifération des SaaS et les partenariats basés sur les API. Dans de nombreux secteurs, vos tiers dépendent de dizaines ou de centaines de sous-traitants pour l’hébergement, la gestion des identités, l’analyse de données, les outils d’assistance, les paiements, l’enrichissement des données et les composants logiciels. Ce réseau de dépendances évolue plus rapidement que ne le permettent vos cycles d’évaluation.

Même si vous mettez en œuvre un programme de gestion des tiers rigoureux, vous pouvez toujours être exposé à une quatrième partie dont vous ignoriez l’existence.

Quatrièmes parties : un comportement différent de celui des tierces parties

Le principal défi est simple : votre organisation peut gérer ses fournisseurs directs par le biais de la diligence raisonnable, de contrats et de la gestion des performances. Mais les quatrièmes parties échappent souvent à votre champ d’action contractuel. Elles ne sont pas tenues de communiquer leurs mesures de sécurité, leurs échéanciers et n’ont pas non plus d’obligation de reporting vis-à-vis de vous. Vous dépendez de vos tiers pour leur imposer ces obligations en votre nom, et leurs motivations ne coïncident pas toujours avec les vôtres.

Ils peuvent privilégier les coûts, la rapidité de livraison ou la commodité. Ils peuvent manquer d’envergure pour faire pression sur un sous-traitant clé. Il est même possible qu’ils n’aient pas une visibilité complète sur leur propre chaîne d’approvisionnement.

C’est pourquoi le risque lié aux quatrièmes parties est différent du risque tiers. Il ne s’agit pas simplement de gérer un plus grand nombre de fournisseurs. C’est un vecteur de risque différent. Une seule quatrième partie peut créer une exposition corrélée à travers plusieurs tiers sur lesquels vous vous appuyez. Une seule panne chez un fournisseur de cloud peut mettre hors service plusieurs fournisseurs SaaS. Une seule compromission chez un fournisseur d’identité peut se répercuter sur les plateformes d’assistance, les systèmes de tickets et les workflows d’accès privilégié. Un seul composant logiciel largement utilisé peut introduire une vulnérabilité dans des dizaines de produits en aval.

Lorsque la même quatrième partie est une dépendance partagée, le rayon d’impact ne se limite pas à un seul fournisseur. Cela devient systémique.

Les problèmes de sécurité deviennent des problèmes métier

Les risques liés aux quatrièmes parties transforment rapidement les incidents de sécurité en crises commerciales car les premières conséquences sont souvent opérationnelles et touchent directement les clients.

Les services peuvent être interrompus, des données sensibles peuvent être exposées à la suite d’une compromission en aval, et les obligations de conformité peuvent être déclenchées même si votre organisation n’est pas à l’origine de l’incident. La réponse est également ralentie, car les preuves essentielles et les mesures de confinement relèvent de parties sur lesquelles vous n’avez aucun contrôle direct.

Dans le même temps, la perturbation peut remonter la chaîne via vos tiers, entraînant des manquements aux accords de niveau de service, des retards dans les signalements et des confinements soudains qui interrompent vos activités. Lors d’événements majeurs, le tiers peut devenir un goulot d’étranglement en matière d’information. Pourtant, la responsabilité ne s’en trouve pas atténuée : les clients, les conseils d’administration et les régulateurs vous tiennent toujours pour responsable de la continuité, de la confidentialité et de la confiance. Et « nous ne savions pas » n’est pas une excuse valable.

La surveillance ponctuelle est dépassée

Les risques liés aux quatrièmes parties ne peuvent pas être gérés uniquement par des examens périodiques. Les approches traditionnelles de gestion du risque tiers ont été conçues à une époque où les changements de fournisseurs étaient plus lents et les limites plus claires. Les évaluations annuelles, les questionnaires ponctuels et la collecte occasionnelle de rapports SOC ne fournissent qu’un instantané de la situation. Or l’exposition aux risques liés aux quatrièmes parties évolue comme un cours d’eau. Les fournisseurs font appel à de nouveaux sous-traitants. Les architectures d’hébergement changent. Des acquisitions ont lieu. Les services critiques migrent. De nouvelles vulnérabilités apparaissent dans les composants partagés.

Un instantané figé est déjà dépassé au moment où vous le classez.

La solution ne consiste pas à abandonner la diligence raisonnable, mais à la compléter par une visibilité en continu. Les systèmes automatisés sont essentiels car les humains ne peuvent pas suivre le rythme, l’ampleur et l’interconnexion des chaînes d’approvisionnement modernes à l’aide de workflows manuels. La surveillance continue doit détecter les signaux indiquant une évolution des risques dans l’écosystème qui entoure vos tiers. Cela inclut les changements dans l’infrastructure des fournisseurs, les vulnérabilités récemment révélées liées aux technologies utilisées, les preuves émergentes de violations, les schémas de perturbation des services et les changements dans l’empreinte de dépendance propre aux fournisseurs.

L’automatisation est essentielle, car la rapidité de réaction fait partie intégrante de la gestion des risques. Lors d’un incident impliquant une quatrième partie, les premières heures sont déterminantes pour l’issue de la situation. Les organisations qui parviennent à limiter l’impact sont celles qui sont capables d’identifier rapidement quels tiers dépendent de la quatrième partie concernée, quels processus métier sont exposés et quelles mesures de contrôle doivent être activées. Elles ne peuvent pas se contenter de tableaux Excel, de fils de discussion par e-mail ou des rapports fournisseurs du trimestre précédent.

Votre organisation a besoin d’une solution capable de :

• Automatiser la prise en compte, le classement en niveaux, les évaluations et les réévaluations
• Centraliser les données fournisseur dans un inventaire unique avec une notation contextuelle
• Permettre une surveillance en temps réel et des workflows automatisés pour la résolution des problèmes
• Permettre aux équipes chargées de la gestion des risques tiers de passer d’une gestion réactive à une gestion proactive

Pour les responsables de la gestion des risques tiers, c’est l’occasion de repenser le programme, en le faisant passer d’une simple activité de conformité à un enjeu de résilience opérationnelle. Le risque lié aux quatrièmes parties n’est pas une catégorie de niche : c’est la nouvelle norme de l’entreprise numérique. Les organisations qui l’envisagent ainsi prendront de meilleures décisions concernant leurs fournisseurs, réagiront plus rapidement en cas de crise et renforceront leur crédibilité auprès des RSSI, des conseils d’administration et des autorités de régulation. La surveillance continue permet à la visibilité de rattraper la réalité.

Découvrez-en davantage sur le processus de gestion des tiers et ce qu’il implique pour l’ensemble de votre chaîne d’approvisionnement dans ce guide téléchargeable.