Fiche 13 — Sécurité des tiers & de la chaîne d’approvisionnement

Exigence explicite de NIS2 (art. 21 §2 d), DORA (pilier 4), ISO 27001 (A.5.19 à A.5.23), ISO 27036, EBIOS RM atelier 3. C’est aujourd’hui l’un des sujets les plus vendeurs en conseil.

1. Pourquoi c’est le sujet n°1

Une part majoritaire des incidents implique un tiers (prestataire, éditeur, hébergeur, MSP).
Cas d’école à savoir citer : SolarWinds (build compromis, 2020), Kaseya (MSP → clients, 2021), Log4Shell (dépendance transitive, 2021), MOVEit (vulnérabilité d’un outil de transfert utilisé par des milliers d’organisations, 2023), XZ Utils (backdoor introduite par un mainteneur infiltré, 2024), 3CX (double supply chain).
Le risque de concentration : quand tout un secteur dépend du même prestataire cloud ou du même éditeur, une défaillance devient systémique → d’où la supervision CTPP de DORA.

2. Typologie des risques tiers

Catégorie	Exemple
Accès	Prestataire avec un compte VPN + droits d’admin permanents
Hébergement / traitement	SaaS qui héberge des données sensibles
Interconnexion	Lien réseau permanent, API, EDI, tunnel site-à-site
Chaîne logicielle	Dépendances open source, images, plugins, MAJ automatiques signées
Sous-traitance en cascade (4th party)	Le SaaS s’appuie sur un autre SaaS
Concentration / dépendance	Un seul fournisseur pour un service vital, absence d’alternative
Résilience	Le fournisseur n’a pas de PCA à la hauteur de mon RTO
Conformité / juridique	Transfert hors UE, loi extraterritoriale, absence de DPA
Continuité économique	Faillite, rachat, changement de stratégie, fin de support

3. Le processus TPRM (Third Party Risk Management) — à savoir dérouler

1. Inventaire & cartographie des tiers
2. Classification / segmentation par criticité (tiering)
3. Évaluation (due diligence) proportionnée au tier
4. Contractualisation (clauses de sécurité)
5. Suivi continu (monitoring, revues, audits)
6. Gestion des incidents impliquant un tiers
7. Réversibilité / sortie

1-2. Inventaire & tiering

Sources : achats/contrats, comptabilité fournisseurs, IdP (applications SSO), proxy/CASB (shadow IT), inventaire réseau. L’inventaire est toujours le point de départ manquant.
Critères de criticité : criticité du processus servi, sensibilité et volume des données, niveau d’accès au SI, interconnexion, substituabilité, RTO exigé, volume financier.
Résultat : 3 niveaux (critique / important / standard) avec un niveau d’exigence différent. → C’est le message clé : on ne peut pas auditer 800 fournisseurs, il faut segmenter.

3. Évaluation

Standard : attestation, questionnaire court, vérification de certificat.
Important : questionnaire complet (CAIQ, SIG, grille ISO 27002), revue des preuves (ISO 27001 avec vérification du périmètre, SOC 2 Type II avec lecture des exceptions, rapport de pentest récent, plan de continuité, politique de gestion des incidents).
Critique : audit sur site / à distance, tests techniques, revue d’architecture, test de bascule conjoint, notation externe (Bitsight/SecurityScorecard — en complément seulement).
Toujours : vérifier la cohérence entre le périmètre du certificat et le service acheté ⭐, la date, et l’organisme accréditeur.

Fiche 13 — Sécurité des tiers & de la chaîne d’approvisionnement

1. Pourquoi c’est le sujet n°1

2. Typologie des risques tiers

3. Le processus TPRM (Third Party Risk Management) — à savoir dérouler

1-2. Inventaire & tiering

3. Évaluation

4. Clauses contractuelles à exiger (checklist mission) ⭐