La gestion des tiers est la gouvernance des risques de sécurité qui apparaissent lorsqu'une organisation s'appuie sur des fournisseurs, des sous-traitants et des prestataires de services. Les opérations modernes dépendent de parties externes pour les logiciels, l'infrastructure et les services, et chaque relation peut étendre la surface d'attaque de l'organisation. Cette discipline vise à comprendre, réduire et surveiller cette exposition tout au long du cycle de vie du fournisseur.
Dans le cadre de la gouvernance opérationnelle, la gestion des tiers s'exerce au quotidien, car les relations avec les fournisseurs sont continues et non ponctuelles. Elle relie l'appréciation du risque, les achats, le juridique et les opérations de sécurité, afin que les dépendances externes soient évaluées avant que l'on s'y fie et surveillées aussi longtemps qu'elles persistent.
Ce domaine est important car une faiblesse chez un fournisseur peut devenir une faiblesse de l'organisation, quelle que soit la robustesse des contrôles internes. Les incidents trouvant leur origine dans la chaîne d'approvisionnement peuvent toucher de nombreuses organisations à la fois, et la responsabilité de la protection des données ne peut souvent pas être externalisée même lorsque leur traitement l'est.
Le travail comprend l'évaluation des fournisseurs avant tout engagement, la fixation d'attentes de sécurité dans les contrats, telles que des exigences de garanties, de notification et de droits d'audit, et la surveillance des fournisseurs dans la durée plutôt qu'au seul moment de l'intégration. Le risque est généralement priorisé selon le caractère critique d'un fournisseur et la sensibilité des données ou des accès concernés, afin de concentrer les efforts là où l'exposition est la plus forte.
Références#
- NIST SP 800-161, Cybersecurity Supply Chain Risk Management Practices.
- ISO/IEC 27036, Sécurité de l'information pour les relations avec les fournisseurs.