Plus une entreprise étendue a de partenaires commerciaux, plus la nécessité de penser sa gestion des risques liés aux tiers en cybersécurité s'impose.
Une étude du Ponemon Institute parue en mai 2021 affirme que 51% des entreprises ont déjà été victimes de fuites de données du fait de leurs sous-traitants. Cette situation, qui illustre un des nombreux enjeux de cybersécurité pour les entreprises en 2021, montre la nécessité de prioriser la gestion des risques cyber liés aux tiers.
Le sujet de la gestion des risques cyber est l’objet d’une attention croissante ces dernières années. Les entreprises qui ont investi dans des programmes de ce type se sont montrées plus résilientes à la crise du COVID-19. Elles se prémunissent à la fois d’un risque opérationnel, mais aussi des risques juridiques liés au respect du règlement européen sur la protection des données (RGPD), et donc de risques légaux et financiers.
Dans le domaine de la cyber sécurité, la gestion des risques liés aux tiers trouve sa nécessité dans l’adoption massive du modèle de l’entreprise étendue.
Cela fait maintenant presque 30 ans que le modèle de l’entreprise étendue s’impose dans nos sociétés. Le constructeur automobile Chrysler fut effectivement le premier à l'adopter. L’entreprise étendue s’appuie sur la digitalisation de ses processus pour faire évoluer la relation avec ses partenaires. En tant qu’entreprise « pilote », elle crée la valeur ajoutée, tandis que des sociétés tierces prennent en charge les compétences qu’elle ne détient pas.
Ces prestataires interagissent avec la société pilote grâce à de nouveaux modes de partage d’informations numériques. Réseaux informatiques, logiciels, systèmes de messageries et d’échanges de données : l’entreprise étendue se caractérise par le partage digitalisé des informations et des processus.
Ce large écosystème de partenaires a l’avantage de créer de nouvelles synergies, porteuses de croissance. Il constitue aussi un vaste terrain d’émergence de risques cyber. Chaque partenaire incarne effectivement un point d'entrée potentiel pour les cyberattaques.
Chez C-Risk, notre méthode de gestion des risques et de mesure des vulnérabilités et contrôles de cybersécurité repose sur le standard FAIR™. Selon ce dernier, le risque se définit comme un événement incertain, capable de générer une perte liée à un actif. Cette perte se caractérise par son niveau de probabilité. Le risque devient donc “la fréquence probable et la magnitude probable de la perte future”.
En cybersécurité, les risques sont divers et varient selon chaque entreprise. Les risques cyber liés aux tiers restent cependant assez récurrents :
Le risque cyber liés aux tiers relève donc du risque opérationnel, mais aussi du risque financier, réputationnel, juridique et réglementaire.
En termes légaux, le tiers, ou l’entreprise tierce, désigne la personne morale extérieure à une relation, par exemple une entreprise partenaire. Les tiers recoupent donc de nombreuses parties prenantes extérieures de l'entreprise :
Évidemment, les acteurs qui constituent les tiers divergent selon les sociétés. Leur identification dépend toujours de l’analyse des risques cyber et de la stratégie de cybersécurité mises en place. Celles-ci restent indispensables pour que le microcosme de sociétés installé pour compléter les compétences de la société pilote ne menace ni ses activités, ni sa réputation.
La gestion des risques liés au tiers, ou Third-party risk management (TPRM) en anglais, consiste à définir puis exécuter une procédure de prévention continue. Dans ce domaine, il s’agit effectivement plus de prévenir que de guérir. Cette démarche nécessite de centraliser la gestion et la surveillance du réseau et des processus informatiques développés avec les sociétés tierces.
Ce travail peut donc nécessiter de mobiliser un ou une responsable de la gestion des risques cyber liés aux tiers. Il peut s'agir du risk manager, ou de la direction des systèmes d’information (DSI). Plusieurs corps de métiers vont cependant être amenés à interagir dans ce domaine :
Il existe diverses méthodes pour gérer le risque cyber lié aux tiers. Toutes s'appuient sur une vérification du sérieux de la société tierce, doublée d’un suivi de l'évolution du risque au cours de la relation commerciale.
Chez C-Risk, notre analyse des risques liés aux tiers découle de la méthode Fair Analysis. Cette méthode recommande notamment de commencer par déterminer la portée du risque encouru, c’est-à-dire l’“événement de perte” éventuel.
Cette identification nécessite d'identifier votre actif à risque, c’est-à-dire ce qui, dans votre entreprise, peut perdre de la valeur ou engager votre responsabilité s’il est affecté. Il s’agit ensuite également d'identifier quel serait dans ce cas l’acteur de la menace. D’où la nécessité de faire l’inventaire des fournisseurs avec qui des échanges de données existent.
Enfin, il convient également d’identifier l’effet de ce risque, qui peut être de trois ordres, selon le modèle C-I-D (en anglais C-I-A) :
La deuxième étape de ce processus consiste à évaluer la probabilité de ce risque en termes d’ampleur de la perte financière potentielle qu’il implique, et de fréquence des pertes. En dernière instance, il s’agit de rencontrer les fournisseurs les plus à risque pour les interroger quant à leurs politiques de réduction des risques cyber. Certains tiers seront plus à risque du fait de :
Ce type de méthodes implique quelques démarches indispensables :
À ce propos, Clémentine Bouvier, experte IBM, détaille une série de conseils si la gestion des risques liés aux tiers amène à identifier de vrais risques cyber chez l'entreprise partenaire et qu’il convient alors de traiter selon la règle des 4T (en anglais) :
Cet intérêt renouvelé pour la gestion des risques liés aux tiers s'explique par l’augmentation des incidents cyber liés à la sécurité de l’information et à la confidentialité.
Qu’ils soient d'origine informatique ou pas, les risques liés aux tiers peuvent avoir des conséquences opérationnelles, réputationnelles, juridiques, réglementaires et financières.
Évaluer régulièrement les risques liés aux tiers en matière de cybersécurité permet de prévenir les comportements sources de vulnérabilités informatiques. C’est aussi une façon de préparer les inspections de la Commission nationale de l'informatique et des libertés, CNIL, pour qu'elles se passent au mieux.
en lien avec la cybersécurité et la quantification des cyber risques
