Sécurité supply chain et risque tiers | Securevalley
· Nouh Droussi · Cybersécurité · Maroc · 4 min de lecture · Mis à jour
Fournisseurs, prestataires, éditeurs : comment maîtriser le risque de l'entreprise étendue et répondre aux exigences de NIS 2, DORA et ISO/IEC 27001.
La sécurité de la chaîne d'approvisionnement consiste à maîtriser les risques introduits par vos fournisseurs, prestataires, éditeurs de logiciels et services cloud. Votre surface d'attaque ne s'arrête pas à votre réseau : elle inclut chaque tiers qui accède à vos systèmes ou livre un composant que vous utilisez. NIS 2, DORA et ISO/IEC 27001 en font désormais une obligation explicite.
L'entreprise étendue, une surface d'attaque partagée
Une organisation moderne dépend de dizaines, voire de centaines de tiers : infogérance, hébergement, éditeurs SaaS, intégrateurs, sous-traitants de maintenance, bibliothèques open source intégrées dans ses applications. Chacun peut devenir un point d'entrée. Les attaques de ce type suivent quelques schémas connus :
compromission d'un prestataire disposant d'un accès distant à vos systèmes ;
mise à jour logicielle piégée chez un éditeur, distribuée ensuite à tous ses clients ;
composant open source malveillant ou vulnérable intégré dans une application ;
indisponibilité d'un fournisseur critique, qui bloque votre activité même sans intrusion.
Ce que disent les référentiels
Trois textes structurent aujourd'hui les attentes :
NIS 2 : l'article 21 impose aux entités essentielles et importantes des mesures de gestion des risques incluant la sécurité de la chaîne d'approvisionnement, et notamment les relations avec leurs fournisseurs directs. Les entités doivent tenir compte des vulnérabilités propres à chaque fournisseur, de la qualité de ses produits et de ses pratiques de développement sécurisé.
DORA : applicable depuis le 17 janvier 2025 aux entités financières de l'Union européenne, le règlement consacre un volet entier à la gestion du risque lié aux prestataires TIC tiers : clauses contractuelles obligatoires, registre d'information des contrats, stratégies de sortie, et un cadre de supervision européen des prestataires TIC critiques.
ISO/IEC 27001:2022 : l'annexe A regroupe les mesures fournisseurs de 5.19 à 5.23, soit la politique de sécurité dans les relations fournisseurs, les exigences dans les contrats, la chaîne d'approvisionnement TIC, la surveillance et la gestion des changements des services fournis, et la sécurité des services cloud.
Côté méthode, la publication NIST SP 800-161 Rev. 1 (mise à jour en novembre 2024) détaille une démarche complète de gestion des risques cyber de la chaîne d'approvisionnement.
Cartographier et classer les tiers
On ne protège pas ce que l'on ne connaît pas. La première étape est un inventaire des tiers, enrichi de quelques critères :
nature de l'accès : accès réseau, accès aux données, simple livraison de biens ;
criticité métier : que se passe-t-il si le service s'arrête une semaine ?
sensibilité des données confiées ;
dépendances en cascade : vos fournisseurs critiques ont eux-mêmes des sous-traitants.
Ce classement permet de proportionner l'effort : un fournisseur de fournitures de bureau n'appelle pas la même diligence qu'un infogérant disposant de comptes administrateurs.
Encadrer la relation à chaque étape
La maîtrise du risque tiers suit le cycle de vie du contrat :
avant la signature : questionnaire de sécurité adapté au niveau de criticité, examen des certifications et rapports d'audit disponibles, analyse des résultats ;
au contrat : exigences de sécurité, obligation de notifier les incidents dans un délai défini, droit d'audit, localisation des données, conditions de sous-traitance, réversibilité ;
pendant l'exécution : revues périodiques, suivi des incidents et des changements, contrôle des accès distants ;
en fin de contrat : révocation des accès, restitution ou destruction des données, application du plan de sortie.
Les mesures techniques qui limitent l'impact
Les contrats ne suffisent pas ; il faut aussi réduire ce qu'un tiers compromis peut atteindre :
accès distants des prestataires via une solution dédiée, avec MFA, journalisation et, pour les comptes à privilèges, enregistrement des sessions ;
principe du moindre privilège et accès limités dans le temps ;
segmentation réseau isolant les équipements maintenus par des tiers ;
inventaire des composants logiciels (SBOM) et surveillance des vulnérabilités qui les concernent ;
vérification de l'intégrité des mises à jour avant déploiement lorsque c'est possible.
Compétences et formation
La sécurité de la chaîne d'approvisionnement mêle gouvernance, conformité réglementaire et contrôles techniques. Ces parcours permettent de la prendre en charge :
Vos fournisseurs font partie de votre périmètre de sécurité. Inventoriez-les, classez-les selon leur criticité, encadrez chaque relation contractuellement et limitez techniquement leurs accès. Cette démarche répond à la fois aux attentes de NIS 2, de DORA et d'ISO/IEC 27001, et réduit un risque réel pour votre activité.