Fournisseur, partenaire : comment les relations avec les tiers sont votre plus grand angle mort en sécurité

Vous avez investi dans la cybersécurité. Déployé l’authentification multifacteur, formé vos collaborateurs, mis à jour vos pare-feux, verrouillé vos systèmes. Votre posture sécurité interne est solide.

Puis vous recevez l’appel.

L’un de vos fournisseurs a été compromis. Les attaquants ont utilisé leur accès à vos systèmes — accès que vous leur aviez accordé pour leurs prestations — comme tremplin dans votre réseau. Des données clients ont été exposées. Pas à cause de quelque chose que vous auriez mal fait, mais à cause d’une défaillance sécurité chez une entreprise à qui vous faisiez confiance.

Ce n’est pas un scénario hypothétique. C’est l’un des vecteurs d’attaque les plus communs et les plus dévastateurs aujourd’hui. Les violations tierces ont compromis certaines des plus grandes organisations mondiales : Target via un fournisseur de climatisation, SolarWinds via des mises à jour logicielles compromises, Kaseya via les outils MSP. Le schéma est constant — les attaquants visent le maillon le plus faible de la chaîne, puis utilisent ce point d’entrée pour atteindre leurs vraies cibles.

Pour les PME, le risque est encore plus aigu. Vous travaillez probablement avec des dizaines voire des centaines de tiers : prestataires cloud, éditeurs de logiciels, sous-traitants, consultants, prestataires de paiement, agences marketing, infogéreurs, prestataires spécialisés. Chacun a un certain niveau d’accès à vos données, systèmes ou réseau. Et la plupart des PME n’ont aucune idée des contrôles sécurité réellement en place chez ces partenaires.

Vos relations tierces sont votre plus grand angle mort en sécurité. Réglons ça.

Comprendre le risque tiers : ce ne sont pas que les fournisseurs

Quand on parle de risque tiers, la plupart des entreprises pensent aux gros éditeurs ou prestataires critiques. Mais la surface de menace est bien plus large.

Éditeurs SaaS et logiciels. Chaque application cloud que vous utilisez a accès à une partie de vos données. CRM, paie, comptabilité, outils collaboratifs. Quand ces éditeurs sont compromis, vos données le sont aussi.
Infogéreurs (MSP). Si vous externalisez l’infogérance, votre MSP a un accès privilégié à toute votre infrastructure. Un MSP compromis est un cadeau pour les attaquants — une seule violation leur donne les clés de tous leurs clients.
Cabinets de services professionnels. Consultants, avocats, experts-comptables, sous-traitants nécessitent souvent un accès temporaire à des données et systèmes sensibles. Comment gérez-vous cet accès ? Le révoquez-vous à la fin de la mission ?
Partenaires de chaîne d’approvisionnement. Fournisseurs, distributeurs, logisticiens s’intègrent souvent directement à vos systèmes de commande, stock ou finance. Ces intégrations créent des passerelles que les attaquants peuvent exploiter.
Prestataires de paiement et services financiers. Une violation chez un prestataire de paiement peut exposer les données de cartes de vos clients même si vos propres systèmes n’ont jamais été touchés.
Plateformes marketing et analytics. Outils de tracking, gestion de campagnes ou analyse comportementale ont souvent accès à des données personnelles. Le RGPD vous tient responsable de la manière dont vos prestataires les manipulent.

Pourquoi les violations tierces sont si efficaces

Les attaquants ciblent spécifiquement les tiers parce que la stratégie marche.

Accès de confiance. Les tiers ont des identifiants légitimes. Leur activité ne déclenche pas les mêmes alarmes qu’un intrus externe. Quand un sous-traitant se connecte avec ses identifiants valides, comment distinguez-vous cela d’un compte compromis exploité par un attaquant ?
Sécurité plus faible. Tous les fournisseurs n’investissent pas dans la sécurité comme vous. Les plus petits manquent souvent de contrôles de base comme MFA, chiffrement, surveillance.
Surface d’attaque plus large. Un seul fournisseur compromis peut servir des dizaines voire des centaines de clients. Les attaquants peuvent compromettre un fournisseur puis cibler systématiquement tous ses clients.
Difficulté de détection. Quand la violation a lieu chez un tiers, vous dépendez de lui pour la détecter, la divulguer et vous notifier. Beaucoup de fournisseurs n’ont pas la capacité de surveillance pour détecter les intrusions sophistiquées. Certains retardent activement la divulgation pour éviter les dégâts réputationnels.
Complexité contractuelle. Quand un tiers cause une violation affectant vos clients, qui est responsable ? Beaucoup de contrats fournisseurs ont des plafonds de responsabilité qui ne couvrent qu’une fraction des dommages réels.

Ce que les réglementations disent du risque tiers

Les autorités comprennent que l’externalisation n’externalise pas la responsabilité. Vous restez responsable de la protection des données même quand des tiers les manipulent.

L’article 28 du RGPD exige que vous n’utilisiez que des sous-traitants offrant des garanties suffisantes. Vous devez avoir des contrats écrits et conduire une due diligence sur leurs pratiques sécurité.
NIS2 traite explicitement le risque chaîne d’approvisionnement, exigeant l’évaluation des risques cyber des fournisseurs et la mise en œuvre de mesures appropriées.
ISO 27001 inclut des exigences extensives pour les relations fournisseurs, notamment exigences sécurité dans les accords, surveillance des services, gestion des changements.
PCI DSS impose la tenue d’une liste de prestataires accédant aux données titulaires, la surveillance de leur conformité et leur inclusion dans vos évaluations.

Le schéma est clair : les réglementations traitent le risque tiers comme votre risque. « Notre fournisseur a été piraté » n’est pas une défense valide quand les autorités demandent pourquoi des données clients ont été compromises.

Construire un programme de gestion du risque tiers

Une gestion efficace ne signifie pas refuser de travailler avec des fournisseurs. Cela signifie comprendre et gérer les risques qu’ils introduisent.

1. Inventorier et classifier vos tiers

Vous ne pouvez pas gérer ce que vous ne connaissez pas. Créez un inventaire complet des fournisseurs, sous-traitants et partenaires ayant accès à vos données, systèmes ou réseau. Classifiez-les par niveau de risque : type de données accédées, niveau d’accès, criticité opérationnelle.

2. Conduire des évaluations sécurité

Pour les tiers à haut risque, exigez des preuves de contrôles avant d’accorder l’accès : questionnaires complétés, rapports SOC 2 ou certifications ISO 27001, pour les fournisseurs critiques des évaluations sur site ou tests d’intrusion, preuves de formation sécurité, capacités de réponse à incident, procédures de sauvegarde.

Oui, les petits fournisseurs se plaindront. Mais s’ils ne peuvent pas démontrer une hygiène sécurité de base, voulez-vous vraiment qu’ils accèdent à vos systèmes critiques ?

3. Inclure des exigences sécurité dans les contrats

Tout contrat fournisseur doit spécifier : standards sécurité à maintenir, votre droit d’auditer, délais de notification de violation (24-48 heures, pas « quand ils auront le temps »), responsabilité en cas de défaillance sécurité, exigences de manipulation et suppression des données, exigences d’assurance.

4. Mettre en œuvre l’accès au moindre privilège

Les tiers ne doivent accéder qu’aux données et systèmes spécifiquement nécessaires à leur prestation. Rien de plus. Utilisez des comptes séparés (jamais d’identifiants partagés), accès à durée limitée qui expirent automatiquement, MFA pour tous les comptes tiers, segmentation réseau isolant l’accès tiers des systèmes critiques, surveillance et journalisation de toute activité tierce.

5. Surveiller la posture sécurité en continu

Les évaluations ne sont pas ponctuelles. La posture des fournisseurs évolue : abonnez-vous à leurs notifications sécurité, surveillez les bases publiques de violations, ré-évaluez annuellement les fournisseurs à haut risque, faites attention à leur santé financière (les fournisseurs en difficulté coupent les budgets sécurité), revoyez les journaux d’accès pour activité inhabituelle.

6. Avoir un plan de sortie

Avant de devenir dépendant d’un fournisseur, comprenez comment migrer si une violation survient ou s’il fait faillite : assurez-vous de pouvoir exporter vos données dans des formats utilisables, maintenez des sauvegardes hors-ligne des données critiques, documentez les points d’intégration à reconfigurer, identifiez des fournisseurs alternatifs.

7. Inclure les tiers dans la planification de réponse à incident

Votre plan doit traiter les violations tierces : comment serez-vous notifié ? Qui contactez-vous chez le fournisseur ? Quel accès révoquerez-vous immédiatement ? Comment déterminer quelles données ont été compromises ? Quelles sont vos obligations de notification clients/autorités ?

Pratiquez ces scénarios. Conduisez des exercices simulant une violation tierce.

Quand chercher de l’aide experte

La gestion du risque tiers est complexe, chronophage et exige une expertise spécialisée que la plupart des PME n’ont pas en interne. Vous devez maîtriser contrats juridiques, contrôles techniques, exigences réglementaires et méthodologies d’évaluation de risques.

C’est précisément où nos services de RSSI Virtuel apportent de la valeur. Nous aidons les PME à construire des programmes de gestion du risque tiers depuis zéro, développer des questionnaires et cadres d’évaluation, revoir et négocier les contrats fournisseurs sous l’angle sécurité, conduire des évaluations sur site, et mettre en œuvre les contrôles techniques d’accès — tout en assurant la conformité RGPD, NIS2, ISO 27001 et autres.

Nous comprenons que les PME ont besoin d’approches pratiques et évolutives — pas de programmes grands comptes nécessitant des équipes dédiées. Notre approche se concentre sur l’identification de vos relations à plus haut risque et la mise en œuvre de contrôles proportionnés qui apportent une vraie protection sans submerger vos ressources.

La conclusion : faire confiance, mais vérifier

Les relations tierces sont essentielles à l’activité moderne. Vous ne pouvez pas opérer sans fournisseurs, partenaires, prestataires. Mais la confiance seule n’est pas une stratégie sécurité.

Les violations les plus dévastatrices ne commencent souvent pas par une défaillance dans votre propre sécurité — elles commencent par une défaillance chez une entreprise à qui vous faisiez confiance. Vos clients et les autorités ne se soucieront pas de cette distinction. Quand vos données sont compromises, vous êtes responsable, peu importe où la défaillance s’est produite.

Construire un programme de gestion du risque tiers n’est pas de la paranoïa. C’est de la diligence raisonnable.