La sécurité de votre entreprise ne dépend plus seulement de vos propres systèmes. Elle dépend aussi de ceux de vos fournisseurs.
Un prestataire informatique compromis, un éditeur SaaS victime d’une intrusion, un sous-traitant avec des accès trop larges : chacun de ces scénarios peut ouvrir une brèche directe vers vos données et vos systèmes critiques.
C’est la réalité de la supply chain numérique. Et c’est précisément ce que la gestion des risques fournisseurs cherche à maîtriser.
Pourquoi la gestion des risques fournisseurs est devenue incontournable
L’explosion des dépendances numériques
Aujourd’hui, une PME de taille moyenne s’appuie sur des dizaines de prestataires : hébergement cloud, logiciels métiers, infogérance, support utilisateur, outils collaboratifs…
Chacun de ces partenaires dispose d’un accès, direct ou indirect, à vos environnements.
Cela crée une surface d’exposition qui dépasse largement votre périmètre interne.
Les attaques par la chaîne d’approvisionnement se multiplient
Les attaquants l’ont compris : compromettre un fournisseur, c’est souvent plus simple que d’attaquer directement une cible bien protégée.
L’affaire SolarWinds (2020) en est l’exemple le plus célèbre : via une mise à jour corrompue d’un logiciel de supervision réseau, des milliers d’organisations ont été compromises, dont des agences gouvernementales américaines.
En France, plusieurs incidents majeurs ont impliqué des accès initiaux via des prestataires ou des solutions tierces.
NIS2 impose une gestion formalisée des risques tiers
La directive NIS2 place la gestion des risques fournisseurs parmi les exigences de base pour les entités essentielles et importantes.
Elle impose de :
- Identifier les fournisseurs critiques
- Évaluer leur niveau de sécurité
- Inclure des clauses contractuelles de sécurité
- Superviser les accès et les incidents liés aux tiers
L’ISO 27001 va dans le même sens, avec des contrôles spécifiques dédiés aux relations avec les fournisseurs (domaine A.15).
Pour structurer cette démarche, un RSSI externalisé peut piloter l’ensemble du programme de gestion des risques fournisseurs.
Étape 1 : Cartographier vos fournisseurs et identifier les critiques
Dresser l’inventaire complet
La première étape consiste à lister tous vos prestataires et fournisseurs numériques :
- Hébergeurs et fournisseurs cloud (AWS, Azure, OVH…)
- Éditeurs de logiciels métiers (ERP, CRM, outils comptables…)
- Infogérants et prestataires IT
- Fournisseurs de services SaaS (messagerie, collaboration, RH…)
- Sous-traitants ayant accès à vos données
- Prestataires de maintenance ou de support
Classifier selon la criticité
Tous les fournisseurs ne présentent pas le même niveau de risque. La classification doit prendre en compte :
- L’accès aux données sensibles : le fournisseur traite-t-il des données confidentielles ?
- L’accès aux systèmes : dispose-t-il d’un accès direct à votre infrastructure ?
- La criticité opérationnelle : votre activité s’arrête-t-elle s’il est indisponible ?
- Le niveau de dépendance : peut-on facilement le remplacer ?
| Niveau de criticité | Critères | Fréquence d’évaluation |
|---|---|---|
| Critique | Accès SI direct, données sensibles, dépendance forte | Annuelle + événementielle |
| Important | Accès limité, données partiellement sensibles | Annuelle |
| Standard | Aucun accès SI, données non sensibles | Tous les 2-3 ans |
Étape 2 : Évaluer le niveau de sécurité de vos fournisseurs
Les méthodes d’évaluation
Plusieurs approches permettent d’évaluer la maturité sécurité d’un fournisseur :
Questionnaires de sécurité Envoi d’un questionnaire standardisé couvrant les pratiques de sécurité : gestion des accès, chiffrement, sauvegardes, gestion des incidents…
Revue documentaire Demande de certifications (ISO 27001, SOC 2…), de politiques de sécurité, de rapports d’audit récents.
Audits techniques Pour les fournisseurs les plus critiques, réalisation d’audits ou de tests d’intrusion ciblés.
Évaluation continue Surveillance des indicateurs publics de compromission (dark web monitoring, threat intelligence).
Les questions clés à poser
- Êtes-vous certifié ISO 27001 ou SOC 2 ?
- Comment gérez-vous les accès de vos propres sous-traitants ?
- Quelle est votre procédure en cas d’incident de sécurité ?
- Comment protégez-vous les données de vos clients ?
- Où sont hébergées et traitées nos données ?
- Comment gérez-vous les mises à jour de sécurité ?
Étape 3 : Contractualiser les exigences de sécurité
Les clauses incontournables
Le contrat est le levier principal pour imposer des exigences de sécurité à vos fournisseurs.
Les clauses essentielles couvrent :
Obligations de sécurité
- Maintien d’un niveau de sécurité défini (certifications, politiques)
- Obligation de mise à jour et de correction des vulnérabilités
- Restriction des accès au strict nécessaire (principe du moindre privilège)
Gestion des incidents
- Notification obligatoire en cas d’incident affectant vos données (délai : 24-72h selon NIS2/RGPD)
- Coopération lors des investigations
- Fourniture de preuves et de logs
Droits d’audit
- Droit de réaliser ou faire réaliser des audits de sécurité
- Accès aux rapports d’audit du fournisseur
- Possibilité de tests d’intrusion
Sous-traitance
- Obligation d’information en cas de recours à un sous-traitant
- Exigences de sécurité applicables à la chaîne
- Responsabilité solidaire
Fin de contrat
- Procédure de restitution et de destruction des données
- Délais et méthodes de suppression sécurisée
- Attestation de destruction
Étape 4 : Gérer les accès des fournisseurs
Le principe du moindre privilège
Chaque fournisseur ne doit avoir accès qu’aux systèmes et données strictement nécessaires à sa mission.
En pratique :
- Créez des comptes nominatifs pour chaque intervenant fournisseur
- Limitez les droits au strict périmètre contractuel
- Activez l’authentification multi-facteurs (MFA) pour tous les accès externes
- Définissez des plages horaires d’accès si pertinent
- Enregistrez et tracez toutes les actions
La gestion du cycle de vie des accès
Les accès fournisseurs doivent être gérés tout au long de la relation :
- Onboarding : création des accès avec les droits minimaux
- Pendant la mission : revue périodique des droits
- Changement de périmètre : mise à jour immédiate des accès
- Fin de mission : révocation immédiate des accès
Un SOC managé peut superviser en temps réel les connexions des fournisseurs et détecter les comportements anormaux.
Étape 5 : Superviser et maintenir dans le temps
La surveillance continue
L’évaluation initiale ne suffit pas. La gestion des risques fournisseurs doit être un processus continu :
- Veille sur les incidents de sécurité affectant vos fournisseurs
- Réévaluation périodique selon la classification
- Revue annuelle des contrats et des clauses de sécurité
- Mise à jour de l’inventaire lors de tout changement
Les signaux d’alerte à surveiller
- Incident de sécurité publiquement déclaré par le fournisseur
- Changement de propriétaire ou de structure
- Arrêt du support ou de la maintenance
- Non-renouvellement des certifications
- Signalement de vulnérabilités critiques non corrigées
Construire un programme de gestion des risques fournisseurs avec Cykrony
Mettre en place un programme structuré de gestion des risques fournisseurs demande une méthodologie éprouvée et une connaissance approfondie des exigences réglementaires.
Cykrony accompagne les PME et ETI dans cette démarche :
- Cartographie et classification de l’ensemble de vos fournisseurs
- Conception des questionnaires d’évaluation adaptés à votre secteur
- Rédaction des clauses contractuelles conformes NIS2 et ISO 27001
- Mise en place des processus de revue et de supervision
- Formation des équipes achats et juridiques aux enjeux cyber
Une gestion efficace des risques fournisseurs, c’est réduire votre surface d’exposition sans bloquer vos opérations.
C’est aussi démontrer aux auditeurs et aux clients que votre maîtrise de la sécurité s’étend au-delà de votre périmètre interne.
Pour une approche globale de la gestion des risques, découvrez comment structurer votre démarche complète de risk management.