Compromission d’un fournisseur

La sécurité de vos données dépend de la façon dont vos fournisseurs assurent leur sécurité informatique et gèrent les risques associés.  Si un cybercriminel vole des données, vous pourriez avoir l’obligation légale, en tant que propriétaire des données, d’informer les personnes concernées, même s’il n’y a pas eu d’accès à vos propres systèmes. Les incidents de violation de données chez les fournisseurs peuvent se produire dans n’importe quelle industrie. Ils sont particulièrement courants dans les secteurs de la santé et des services financiers, où les fournisseurs stockent ou traitent souvent des données sur les patients ou les paiements.

Les organisations accordent souvent aux fournisseurs partenaires l’accès à leurs systèmes informatiques. Si un cybercriminel compromet le système d’un partenaire, il pourrait potentiellement accéder à votre système via leur connexion.  Les fournisseurs de services informatiques gérés (MSP) sont particulièrement sujets à ce type d’incident si les clés d’accès ne sont pas gérées de manière sécurisée. Ce qui rend cette situation encore plus préoccupante, demeure la difficulté de la détecter, car le cybercriminel utilise des informations de connexion valides qui proviennent d’une source de confiance.

Les cybercriminels ciblent de plus en plus les sociétés de logiciels pour dissimuler des logiciels malveillants dans des applications légitimes. Lorsqu’une entreprise déploie des mises à jour de son logiciel, des logiciels malveillants peuvent se propager aux systèmes de leurs clients et échapper à la détection, car la source est intrinsèquement considérée comme fiable. On s’attend à ce que ces attaques augmentent, et les dommages qu’elles causent peuvent être étendus. 

Vos fournisseurs ont eux-mêmes leurs propres fournisseurs, et un cyberincident chez l’un de leurs fournisseurs peut créer un effet d’entraînement pouvant avoir un impact sur votre organisation.

Identifier les fournisseurs qui ont accès à votre réseau. Mettez en place une MFA et limitez l’accès sur la base du principe du moindre privilège. Mettre en place des mesures pour enregistrer, surveiller et contrôler l’accès de vos fournisseurs à vos systèmes. L’utilisation d’outils de détection et de réponse au niveau des points d’entrée (EDR) sous forme d’application peut aider à détecter les comportements inhabituels résultant d’un fournisseur compromis.

Procédez à une évaluation des pratiques de sécurité de vos fournisseurs et assurez-vous que leurs contrats incluent des mesures de sécurité appropriées en adéquation avec les services qu’ils offrent. Exigez que vos fournisseurs vous informent de tout incident de sécurité de données réel ou suspecté dans un délai convenu, afin de vous permettre d’évaluer vos obligations en matière de notification. Incluez dans le contrat la responsabilité de la notification aux organismes de réglementation ou aux personnes concernées, ainsi que les coûts associés à ces notifications.

Les produits logiciels intègrent fréquemment du code provenant de diverses sources. De nouveaux outils facilitent la génération d’une liste de matériel logiciel (SBOM) pour vous aider à identifier les parties de votre logiciel susceptibles de présenter des vulnérabilités connues.

La mise en place d’une gestion efficace des risques de la chaîne d’approvisionnement est la meilleure stratégie pour atténuer les risques associés à vos fournisseurs. Bien que cela puisse représenter un défi pour les petites organisations, vous pouvez commencer par identifier et classer vos fournisseurs en fonction du niveau de risque qu’ils représentent. Concentrez-vous d’abord sur ceux qui présentent les plus grands risques, et ainsi de suite.

Toutes les questions habituelles liées à une intervention (comme mener une enquête forensique, déterminer les obligations de notification et procéder aux notifications tout en préservant les relations avec les clients) peuvent s’avérer beaucoup plus compliquées dans le cas d’un incident impliquant un fournisseur. Avec notre expérience dans l’accompagnement de nos clients suite à des milliers d’incidents impliquant des fournisseurs, nous pouvons vous aider à mieux comprendre les problèmes qui surviennent couramment et à mieux gérer l’incident.