La sécurité des fournisseurs avec NIS2 : une façon simple de commencer

Une bonne part des incidents graves ne commence pas chez la victime. Elle commence chez un fournisseur : un infogérant dont l’outil de prise en main à distance a été compromis, un service de paie dont la base a fuité, une plateforme d’e-mailing dont le compte a été piraté puis utilisé pour hameçonner vos clients en votre nom. NIS2 le prend au sérieux. L’article 21, paragraphe 2, point d, range « la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires directs » parmi les mesures que toute entité concernée doit prendre.

Ce guide propose une façon de commencer qui reste proportionnée pour une PME ou une ETI.

Étape 1 : lister les fournisseurs qui touchent vos systèmes ou vos données

Tous les fournisseurs ne comptent pas. Celui de la machine à café, non. Posez trois questions pour chacun :

Détient-il nos données ? Comptabilité, paie, CRM, stockage en ligne, sauvegarde.
Peut-il atteindre nos systèmes ? Infogérance, assistance à distance, hébergement, agence web.
Agit-il en notre nom ? Envoi d’e-mails, lettres d’information, pages de paiement, bureau d’enregistrement et hébergeur DNS.

Un oui à l’une d’elles met le fournisseur sur la liste. Pour la plupart des petites entreprises, elle compte entre dix et quarante noms.

Votre DNS en dit déjà une bonne partie. Vos enregistrements MX nomment votre messagerie, les include: de votre enregistrement SPF nomment chaque service autorisé à envoyer pour vous, vos serveurs de noms nomment votre hébergeur DNS, et les enregistrements de vérification de votre domaine nomment les outils auxquels vous vous êtes inscrits. Perimetry Cloud lit tout cela dans les audits de vos domaines et liste ces services pour vous.

Étape 2 : les classer

Rangez chaque fournisseur dans un de ces trois groupes :

Critique : s’il est compromis ou s’arrête, vous vous arrêtez ou vos clients en pâtissent (messagerie, hébergement, infogérance, paie).
Important : une compromission ferait mal, mais vous pourriez la contourner.
Secondaire : tout le reste de la liste.

Concentrez vos efforts sur le groupe critique.

Étape 3 : regarder ce qui se voit de l’extérieur

Avant de demander quoi que ce soit à un fournisseur, regardez ce qu’il montre à tout le monde. Quelques signaux publics en disent long sur la façon dont une entreprise soigne sa propre sécurité :

Son domaine publie-t-il une politique DMARC appliquée, ou n’importe qui peut-il envoyer des e-mails en son nom ?
Ses certificats sont-ils valides, ses sites servis avec un TLS récent, ses en-têtes de sécurité en place ?
Ses serveurs exposent-ils des services aux vulnérabilités exploitées connues ?
Publie-t-il un fichier security.txt qui dit comment signaler une vulnérabilité ? Le vérificateur security.txt le lit et dit s’il est valide.

Rien de cela ne prouve qu’il est sûr, mais un fournisseur qui échoue partout a peu de chances d’être solide là où vous ne voyez pas. Ces contrôles sont passifs : ils ne lisent que ce que n’importe quel visiteur peut lire, vous n’avez donc besoin de la permission de personne.

Étape 4 : interroger les critiques

Pour les fournisseurs critiques, envoyez un court questionnaire une fois par an. Gardez-le court : les longs questionnaires reçoivent des réponses copiées-collées. Demandez l’authentification multifacteur de leur personnel, les sauvegardes et la fréquence de leurs tests, comment et en combien de temps ils vous préviendront d’un incident, où vos données sont hébergées, et s’ils ont une certification (ISO 27001, SOC 2, ou un référentiel national). Le pré-remplir avec ce que vous avez déjà vu de l’extérieur leur fait gagner du temps et rend les réponses plus faciles à vérifier.

Étape 5 : l’écrire dans le contrat

Pour les nouveaux contrats avec des fournisseurs critiques, ajoutez des clauses sur la notification des incidents (un délai qui vous permette de tenir votre propre obligation de 24 heures), sur la sous-traitance et sur le sort de vos données à la fin.

Étape 6 : continuer à surveiller

La sécurité d’un fournisseur change. Un questionnaire annuel rate le certificat qui a expiré en mars ou le serveur qui expose une base de données depuis juin. Surveiller les signaux publics en continu, et être prévenu quand la note d’un fournisseur baisse, c’est ce qui transforme une liste en sécurité de la chaîne d’approvisionnement.

Ce que fait Perimetry

La page Fournisseurs de Perimetry Cloud surveille chaque semaine les domaines de vos fournisseurs avec les contrôles publics uniquement, vous prévient quand l’un d’eux se dégrade, et envoie des questionnaires de sécurité pré-remplis avec ce qu’elle voit déjà. Elle liste aussi les services trouvés dans votre propre DNS, pour que vous puissiez suivre chacun d’eux en un clic. Voir aussi NIS2 pour les PME et ETI.