Constituer la liste des fournisseurs
La première étape est la plus laborieuse : déterminer quels fournisseurs existent. Les bonnes sources sont la liste des fournisseurs de la comptabilité, les contrats des achats, la liste des abonnements logiciels et le registre des activités de traitement. Interrogez aussi les services métier, car de nombreux services cloud y sont souscrits directement.
Tous les fournisseurs ne sont pas pertinents pour la sécurité de l’information. La cantine et le fournisseur de fournitures de bureau ont rarement leur place dans l’évaluation. L’essentiel est de savoir si un fournisseur a accès à vos données, systèmes ou locaux, ou si sa défaillance affecterait votre propre prestation. Services cloud, prestataires informatiques, hébergement, paie et logiciels en font presque toujours partie.
Dans Sightadel, vous créez chaque fournisseur pertinent avec son nom, sa catégorie et son pays. La catégorie facilite le filtrage et la comparaison de fournisseurs similaires. Le pays est important lorsque des données personnelles sont traitées hors de l’UE. Inutile de ressaisir les listes existantes, car Sightadel prend en charge l’import de fichiers Excel.
Concevez la liste comme un registre vivant. De nouveaux fournisseurs arrivent via les achats, d’anciens disparaissent. Définissez qui signale les nouveaux fournisseurs avant la signature d’un contrat.
Évaluer le risque de façon traçable
L’évaluation d’un fournisseur commence par la question de ce qu’il fait pour vous. Il en découle le risque inhérent, c’est-à-dire le risque sans tenir compte des mesures de protection. Un cabinet de paie qui traite des données salariales et de santé présente un risque inhérent plus élevé qu’une imprimerie qui imprime des prospectus.
Les facteurs de risque rendent l’évaluation traçable. Ils montrent quelles catégories de données le fournisseur traite, par exemple des catégories particulières selon l’article 9 du RGPD, des données financières et de paiement ou des données d’authentification, et quelles fonctions de sécurité manquent, par exemple l’authentification multifacteur ou le chiffrement des données stockées et transmises.
Les mesures d’atténuation réduisent le risque. Il peut s’agir d’une clause contractuelle, d’une preuve fournie par le fournisseur comme un certificat, ou d’une mesure technique de votre côté. Chaque mesure est appliquée, puis approuvée ou rejetée. Le résultat est le risque résiduel, et l’historique montre combien de points chaque mesure a apportés.
L’approbation est essentielle. Un risque résiduel que personne n’a accepté n’est qu’un chiffre. Définissez qui peut accepter quel risque résiduel, et consignez les exceptions avec leur justification.
Ce que vérifient les auditeurs et l’autorité de contrôle
En matière de pilotage des fournisseurs, l’auditeur vérifie trois choses. Premièrement, si vous savez quels fournisseurs sont critiques. Une liste complète avec catégories et niveau de risque en est la preuve. Deuxièmement, si des exigences de sécurité sont convenues contractuellement, par exemple dans l’accord de sous-traitance ou dans une annexe de sécurité au contrat. Troisièmement, si vous réexaminez régulièrement les fournisseurs, et pas seulement une fois à la signature du contrat.
Dans la pratique, l’auditeur choisit quelques fournisseurs et pose des questions : comment ce fournisseur a-t-il été évalué ? Quelles preuves sont disponibles ? Quand a eu lieu le dernier réexamen ? Que se passe-t-il s’il fait défaut ? L’analyse de risques de Sightadel répond aux trois premières questions avec l’évaluation, les facteurs, les mesures et l’historique. Vous liez comme preuves les contrats, certificats et rapports d’audit du fournisseur.
Pour les entités financières soumises à DORA s’ajoute l’autorité de contrôle. Elle attend un registre d’informations complet et une diligence particulière envers les prestataires qui soutiennent des fonctions critiques ou importantes. Les stratégies de sortie en font aussi partie. L’évaluation par fournisseur en constitue une base, mais ne remplace pas les autres obligations DORA.
Erreurs fréquentes dans le pilotage des fournisseurs
L’erreur la plus fréquente est l’évaluation unique. Un fournisseur est contrôlé à la signature du contrat, puis plus jamais. Or les prestations, les sous-traitants et la situation de sécurité évoluent. Réexaminez les fournisseurs importants au moins une fois par an, et en plus lorsque la prestation, le contrat ou les données traitées changent. Dans Sightadel, vous lancez ce réexamen avec « Réexaminer l’évaluation ».
Une deuxième erreur consiste à fournir le même effort pour tous. Qui soumet chaque fournisseur au même questionnaire détaillé n’obtient pas de réponses, ou de mauvaises réponses. Adaptez la profondeur du contrôle au risque inhérent. Pour les fournisseurs critiques, il vaut la peine d’examiner certificats et rapports d’audit, pour les fournisseurs non critiques, un bref classement suffit.
Troisièmement, les certificats du fournisseur ne sont pas lus. Un certificat ISO 27001 n’est utile que si son périmètre couvre la prestation que vous utilisez. Vérifiez-le et classez le certificat comme preuve avec sa date de validité.
Quatrièmement, la défaillance est négligée. Outre la confidentialité, ce qui compte, c’est ce qui se passe lorsqu’un fournisseur ne livre plus. Pour les fournisseurs critiques, consignez la marche à suivre dans ce cas.
