Vendor compromise

La sécurité de vos données que les fournisseurs détiennent dépend de la qualité de leur sécurité informatique et de leur gestion des risques.  Si un cybercriminel vole des données, vous pouvez avoir l’obligation légale, en tant que propriétaire desdites données, d’informer les personnes concernées, même si vos propres systèmes n’ont pas été touchés. Les violations de données induites par des fournisseurs peuvent survenir dans n’importe quel secteur. Elles sont toutefois particulièrement fréquentes dans les secteurs de la santé et des services financiers, les fournisseurs stockant ou traitant fréquemment des données sur les patients ou les paiements.

Les organisations permettent souvent à leurs fournisseurs d’accéder à leurs systèmes informatiques. Si un cybercriminel compromet le système d’un partenaire, il peut être en mesure d’accéder à votre système via sa connexion.  Ce type d’incident est particulièrement fréquent chez les fournisseurs de services informatiques gérés (MSP), si les clés d’accès ne sont pas gérées de manière sécurisée. De plus, ce comportement est difficile à détecter car le cybercriminel utilise des informations de connexion valides et s’identifie via une source fiable.

Les cybercriminels ciblent de plus en plus les éditeurs de logiciels pour dissimuler des logiciels malveillants dans des logiciels légitimes. Lorsqu’une entreprise diffuse des mises à jour de ses logiciels, les programmes malveillants peuvent se propager aux systèmes de ses clients et échapper à la détection, car ils proviennent d’une source intrinsèquement fiable. Ces attaques sont appelées à se multiplier et les dommages qu’elles provoquent peuvent être considérables.

Vos fournisseurs possèdent leurs propres fournisseurs, et un cyberincident chez l’un de ces derniers peut se répercuter sur votre organisation.

Identifiez les fournisseurs qui ont accès à votre réseau. Mettez en place une MFA et limitez l’accès sur la base du principe du moindre privilège. Enregistrez, contrôlez et vérifiez l’accès des fournisseurs à vos systèmes. L’utilisation d’outils de détection et réponse des terminaux (EDR) en mode Application peut faciliter la détection des comportements inhabituels résultant de la compromission d’un fournisseur.

Évaluez les pratiques de sécurité de vos fournisseurs et assurez-vous que les contrats de ces derniers exigent une sécurité adéquate en fonction des services qu’ils proposent. Exigez qu’un fournisseur vous informe d’un incident de sécurité des données réel ou suspecté dans un délai convenu qui vous permettra d’évaluer vos obligations en matière de notification. Attribuez la responsabilité de la notification aux régulateurs ou aux individus et les coûts de ces notifications dans le contrat.

Les produits logiciels contiennent souvent du code provenant de diverses sources. De nouveaux outils permettent de générer facilement une nomenclature logicielle (SBOM) pour faciliter l’identification des parties de votre logiciel susceptibles de présenter des vulnérabilités connues.

La mise en place d’une gestion solide des risques de la chaîne d’approvisionnement est le meilleur moyen de réduire les risques liés aux fournisseurs. Cela peut s’avérer difficile dans les petites organisations, mais vous pouvez commencer par identifier et classer vos vendeurs et fournisseurs en fonction du risque. Concentrez-vous d’abord sur les personnes qui présentent les risques les plus importants, puis poursuivez.

Toutes les questions habituelles liées à une intervention (comme mener une enquête forensique, déterminer les obligations de notification et procéder aux notifications tout en préservant les relations avec les clients) peuvent s’avérer beaucoup plus compliquées dans le cas d’un incident impliquant un fournisseur. Forts de l’expérience acquise en aidant nos clients à gérer des milliers d’incidents liés aux fournisseurs, nous pouvons vous aider à comprendre les problèmes auxquels vous êtes généralement confrontés et à naviguer à travers le processus de gestion de l’incident.