La gestion des risques fournisseurs est difficile et devient de plus en plus difficile. Mais il n’est pas nécessaire qu’il en soit ainsi.
Les unités commerciales externalisent de plus en plus leurs opérations à des prestataires externes. À leur tour, ces prestataires sous-traitent à leurs propres prestataires de services. Il est indéniable que l'exposition moyenne d'une organisation au risque de tiers et de quatrième partie n'a jamais été aussi élevée. Il est important d’avoir de solides pratiques de gestion des fournisseurs.
L'externalisation introduira toujours un certain niveau de risque de cybersécurité, mais un bon programme de gestion des risques liés aux fournisseurs peut atténuer les risques et prévenir les violations et les fuites de données. De nombreuses organisations se concentrent de manière myope sur les facteurs de risque opérationnels dans leur chaîne d'approvisionnement, tels que les niveaux de service, les normes de qualité, les KPI et les niveaux de service, ignorant les risques plus élevés. C’est-à-dire les dommages financiers et de réputation découlant des failles de sécurité.
La gestion des risques liés aux fournisseurs peut contribuer à prévenir les violations de données et constitue de plus en plus un élément clé de la conformité réglementaire. Cela est particulièrement vrai pour les organisations de services financiers avec l'introduction de la CPS 234, de la Gramm-Leach-Bliley Act et de la LPRPDE.
Voici 8 bonnes pratiques dont tout programme de gestion des risques fournisseurs bénéficiera.
Découvrez comment UpGuard rationalise la gestion des risques fournisseurs >
Maintenir un inventaire précis des fournisseurs
Sans un état des lieux de vos relations avec les tiers, il est impossible de mesurer le niveau de risque que présentent les fournisseurs.
Malgré cela, seules 46 % des organisations effectuent des évaluations des risques de cybersécurité des fournisseurs qui traitent des données sensibles.
Veuillez noter que les fournisseurs tiers peuvent ne pas disposer des mêmes contrôles de sécurité que vous. C'est pourquoi un cadre de gestion des risques liés aux tiers doit prendre en compte les risques potentiels de vos fournisseurs.
Et l’impact financier d’une violation de données par un tiers s’élevait à 4,29 millions de dollars à l’échelle mondiale en 2019.
Même les incidents de sécurité chez les petits fournisseurs peuvent conduire à des cyberattaques de grande envergure.
Un bon exemple est la violation de données Target de 2013, qui a commencé avec un sous-traitant CVC dans un seul magasin Target. Cela a conduit à la découverte d'environ 40 millions de cartes de débit et de crédit.
La tenue d'un inventaire de vos fournisseurs est la première étape de tout programme de gestion des risques liés aux fournisseurs. Des problèmes de sécurité peuvent survenir à tout moment du cycle de vie du fournisseur, même après la fin de la relation avec le fournisseur.
Découvrez les meilleures options de solutions VRM sur le marché >
Créer un processus d'évaluation des fournisseurs
Bien que l'intégration de fournisseurs aléatoires puisse vous faire gagner du temps, c'est également un excellent moyen d'introduire des fournisseurs à haut risque qui peuvent faire dérailler vos efforts de sécurité des informations et des données.
Les questionnaires fournisseurs sont essentiels à toute stratégie de gestion des risques fournisseurs. Pour de nombreuses industries, ils constituent une exigence réglementaire.
Le problème des questionnaires fournisseurs traditionnels est qu’ils sont ponctuels, subjectifs et longs à créer.
C'est pourquoi les organisations investissent dans des outils permettant de créer, soumettre et évaluer automatiquement et objectivement les résultats des questionnaires de sécurité.
Si vous ne savez pas par où commencer, utilisez notre modèle de questionnaire d'évaluation des risques fournisseurs. Utilisez-le comme référence et supprimez ou ajoutez des questions en fonction de votre tolérance au risque.
Une bonne main-d’œuvre réduit les frais opérationnels liés à l’évaluation et à l’intégration de nouveaux fournisseurs, sans compromettre la sécurité.
Pour obtenir des conseils sur la façon de concevoir un processus efficace d’évaluation des risques, consultez ce processus qui décrit un flux de travail idéal d’évaluation des risques des fournisseurs.
Surveiller et évaluer en permanence les fournisseurs individuels
Le plus gros problème des processus traditionnels de gestion des risques liés aux tiers est qu’ils sont rapides, coûteux et subjectifs.
Il est difficile de surveiller et d’évaluer en permanence les risques de chaque fournisseur.
Même pour les plus grandes organisations. Une réponse à ce problème réside dans les évaluations de sécurité.
Les notations de sécurité sont une mesure quantitative de la situation de sécurité, de la même manière qu’une notation de crédit mesure la qualité d’un prêt. À mesure que les notes de sécurité s’améliorent, les postures de sécurité s’améliorent également.
Les évaluations de sécurité, une fonctionnalité du logiciel de gestion des risques des fournisseurs d'UpGuard, fournissent une mesure non intrusive en temps réel de la posture de sécurité de n'importe quel fournisseur. Grâce à cette vue globale des performances des fournisseurs et des principaux risques partagés dans leur portefeuille, les équipes de gestion des fournisseurs peuvent surveiller en permanence les problèmes de sécurité de chaque fournisseur.
En combinant la nature de surveillance continue des évaluations de sécurité avec les informations approfondies des évaluations des risques à un moment donné, les équipes de sécurité peuvent obtenir la compréhension la plus complète de l'ensemble de leur surface d'attaque, même à travers les programmes d'évaluation des risques.
Définir les indicateurs de performance des fournisseurs
Si vous envisagez d'embaucher un fournisseur informatique ou de services, définissez des mesures de cybersécurité ainsi que des SLA opérationnels.
Les fournisseurs qui ont accès à des données sensibles, telles que les PHI ou les PII, devraient être tenus d'effectuer des évaluations des risques liés aux tiers sur leurs fournisseurs afin de minimiser leur exposition aux risques liés aux tiers.
Si vous êtes une entité couverte par la HIPAA, vous êtes responsable des violations de données des fournisseurs. Même si vous n’êtes pas légalement responsable, les violations de données causent des dommages financiers et de réputation.
Si vous n'êtes pas sûr des mesures importantes, UpGuard Vendor Risk évalue automatiquement vos fournisseurs en fonction de plus de 50 mesures importantes.
Surveiller les fournisseurs externes
Le risque de cybersécurité ne se limite pas aux tiers. Vos fournisseurs ont très probablement des fournisseurs. Ces prestataires introduisent des risques de tiers.
La gestion des risques tiers nécessite une considération encore plus grande que la gestion des risques tiers. Vous n’avez probablement aucun contrat légal avec des tiers.
De nombreux tiers ne gèrent pas les chambres avec la même rigueur avec laquelle vous gérez vos fournisseurs tiers. Nous considérons qu’il s’agit d’une lacune importante dans la gestion des risques.
La gestion des risques liés aux tiers peut réduire :
- Efforts de remédiation
- Exposition totale au risque
- Processus de sélection des fournisseurs
Et améliorez la diligence raisonnable, les informations de surveillance des risques et l’examen.
Planifiez le pire des cas
Tous les fournisseurs ne répondront pas à vos normes. C'est pourquoi la planification de la continuité des activités, la planification de la reprise après sinistre et la planification de la réponse aux incidents sont essentielles à tout programme VRM.
Votre plan de gestion des tiers doit envisager d’éliminer les fournisseurs qui n’atténuent pas les risques en temps opportun.
La continuité des activités réduit le risque que vos clients souffrent de pannes prolongées causées par des tiers. Cela peut être dû à un compartiment S3 mal configuré géré par un fournisseur ou un centre de données tiers victime d'une catastrophe naturelle.
Former un comité VRM dédié
L'une des meilleures pratiques que vous pouvez mettre en œuvre est la création d'un comité de gestion des risques fournisseurs.
Il s’agit d’une équipe dédiée composée de représentants de la haute direction.
Le comité est chargé de traiter avec les fournisseurs potentiels et existants.
Communiquer constamment
Le plus important est de communiquer avec vos fournisseurs. Ne présumez pas qu’ils savent ce que vous attendez d’eux. La communication peut réduire les malentendus et vous permettre de résoudre les problèmes de manière proactive avant qu'ils ne se transforment en incidents de sécurité.
Les flux de communication doivent également être dirigés vers le haut, pour tenir les parties prenantes informées de vos efforts VRM. Les communications les plus efficaces en matière de gestion des risques liés aux fournisseurs se font via des rapports de cybersécurité qui couvrent des informations telles que :
- Mesures de sécurité pour toutes les principales catégories de risques (pouvant inclure les risques de réputation et les risques financiers)
- L'efficacité des efforts d'atténuation, mesurée par l'amélioration de la posture de sécurité.
- Efforts de surveillance continus pour détecter les vulnérabilités émergentes
- Alignement avec les exigences de conformité, telles que le RGPD.
- Effet du programme TPRM
- Les résultats des audits de cybersécurité (internes et externes)
- Risque critique qui menace les accords de niveau de service stipulés dans les contrats des fournisseurs.
La plateforme UpGuard comprend un module de reporting sur la cybersécurité avec des fonctionnalités d'automatisation qui extraient les données pertinentes de gestion des risques des fournisseurs dans un modèle de reporting optimisé pour les réunions des parties prenantes et du conseil d'administration.
Les rapports récapitulatifs du tableau de bord UpGuard peuvent être instantanément exportés vers des diapositives PowerPoint modifiables pour rationaliser la communication avec les parties prenantes au niveau du rapport et de la présentation.
Voir les rapports UpGuard en action >
Comment UpGuard peut vous aider à développer votre programme VRM
UpGuard a été présenté dans le New York Times, le Wall Street Journal, Bloomberg, le Washington Post, Forbes, Reuters et Techcrunch pour avoir aidé des centaines d'entreprises à gérer leurs programmes VRM.
UpGuard Vendor Risk peut minimiser le temps que votre organisation consacre à la gestion des relations avec les tiers en automatisant les questionnaires des fournisseurs et en fournissant des modèles de questionnaires aux fournisseurs qui s'alignent sur le cadre de cybersécurité du NIST et d'autres bonnes pratiques. Nous pouvons vous aider à surveiller en permanence la situation de sécurité de vos fournisseurs au fil du temps tout en les comparant à votre secteur. Chaque fournisseur est évalué sur plus de 50 critères, tels que la présence de SSL et DNSSEC, ainsi que le risque de piratage de domaine, d'attaques de l'homme du milieu et d'usurpation d'e-mails à des fins de phishing.
