La plupart des entreprises ne dépendent pas uniquement de leurs systèmes internes. Elles s’appuient sur des plateformes cloud, des prestataires de paie, des outils marketing, des partenaires informatiques et des dizaines de comptes SaaS qui font avancer le travail quotidien. Chaque fournisseur résout un problème et crée aussi une nouvelle relation de confiance.
La gestion des risques fournisseurs (VRM) est le processus qui consiste à évaluer, approuver, surveiller et examiner les risques de sécurité liés à la collaboration avec des tiers. Elle aide les entreprises à comprendre quels fournisseurs peuvent accéder à des systèmes ou à des données sensibles, quels contrôles ces fournisseurs ont mis en place, si leurs pratiques de sécurité sont suffisamment solides pour justifier cet accès et à quelle vitesse l’accès peut être modifié si un contrat prend fin ou si un incident survient.
Cet article explique comment aborder la gestion des risques fournisseurs au sein de votre entreprise : comment évaluer les fournisseurs avec lesquels vous travaillez déjà, comment classer le risque lié aux fournisseurs tiers, ce qu’il faut inclure dans une liste de contrôle de sécurité des fournisseurs et comment contrôler les identifiants des fournisseurs avant qu’ils ne deviennent une exposition à long terme.
Ce que couvre la gestion des risques fournisseurs
Votre guide de gestion des risques fournisseurs
Votre liste de contrôle de sécurité des fournisseurs
Comment Proton Pass for Business prend en charge le contrôle des accès fournisseurs
Ce que couvre la gestion des risques fournisseurs
La gestion des risques fournisseurs repose sur un principe simple : toute partie externe qui touche à vos données, vos systèmes ou vos processus métier modifie votre profil de risque.
La plupart des risques fournisseurs naissent du travail quotidien. Par exemple, une agence tierce peut être intégrée à un réseau d’entreprise parce qu’une équipe a besoin de rapidité, d’expertise ou d’un logiciel que l’entreprise ne possède pas en interne. L’accès est accordé, les données sont partagées et la relation s’établit dans le cadre du travail quotidien.
Le risque apparaît lorsqu’on ne sait pas clairement à quoi ce fournisseur peut accéder, quels contrôles protègent cet accès contre une fuite de données, comme l’authentification multifacteur (MFA), les comptes nommés ou le chiffrement, ni à quelle vitesse cet accès peut être détecté et coupé. La révocation se fait généralement dans le système lui-même ou via le provisionnement SCIM ; le plus difficile pour la plupart des entreprises est de savoir où chercher réellement.
Le fournisseur peut être un grand fournisseur cloud, une plateforme SaaS de niche, un développeur indépendant ou un cabinet comptable. La taille et le secteur du fournisseur ne sont pas le problème principal. C’est son accès qui l’est.
Le risque lié aux fournisseurs se manifeste de plusieurs façons :
- Risque lié aux données : Le fournisseur peut consulter, stocker, traiter, transférer ou supprimer des données professionnelles ou personnelles.
- Risque lié aux accès : Le fournisseur peut se connecter à des systèmes, gérer des paramètres, utiliser des intégrations ou accéder à des panneaux admin.
- Risque opérationnel : L’entreprise dépend du fournisseur pour un flux de travail, un service ou un processus critique destiné aux clients.
- Risque de conformité : Le rôle du fournisseur influence vos obligations au titre des lois sur la protection des données (comme les exigences de conformité au GDPR), des obligations contractuelles ou sectorielles.
- Risque lié aux identifiants : L’accès du fournisseur est partagé, réutilisé, non documenté ou difficile à révoquer.
Le risque fournisseur est difficile à repérer parce qu’il se construit souvent à travers de petits choix d’accès qui semblent logiques sur le moment : un membre de l’équipe partage des identifiants qu’il ne devrait pas, ou un compte fournisseur conserve des autorisations par commodité, ou une autorisation accordée à un prestataire que personne ne revoit une fois le projet terminé. Avec le temps, ces exceptions font partie de l’environnement de l’entreprise, même si personne ne les gère activement.
Comment mettre en place un processus de gestion des risques fournisseurs (VRM)
Bien menée, la gestion des risques fournisseurs ne complique pas chaque décision. Elle crée un cadre fiable pour la manière dont votre entreprise accorde l’accès avec des limites plus claires. Cet article explore les étapes clés que votre entreprise peut suivre pour évaluer son propre risque fournisseur et bâtir une stratégie de gestion des risques.
1. Établir un inventaire de vos fournisseurs
Plutôt que de laisser la gestion des risques fournisseurs devenir une tâche réactive lorsque vous devez fournir des preuves de sécurité ou renouveler un contrat, faites-en une tâche proactive. Commencez par comprendre les fournisseurs déjà présents dans vos opérations.
Dresser un inventaire des fournisseurs n’a pas besoin d’être complexe. Il doit être suffisamment clair pour montrer :
- Qui est responsable de la relation
- Le service fourni par le fournisseur
- Les systèmes ou données auxquels ils peuvent accéder
- Si des données personnelles sont concernées
- Si des sous-traitants ultérieurs sont utilisés
- La prochaine échéance du contrat ou de l’examen de sécurité
L’accès est un élément crucial à consigner, car les fournisseurs ont des privilèges et des besoins d’accès différents. Certains fournisseurs utilisent des comptes nommés. D’autres s’appuient sur des identifiants partagés, un accès admin, des clés API, des boîtes de réception partagées ou des identifiants temporaires qui restent actifs bien après que le besoin initial a disparu. Ces différences comptent, car elles déterminent la rapidité avec laquelle l’accès peut être modifié lors d’un départ ou d’un incident.
L’inventaire doit aussi inclure les fournisseurs plus petits qui peuvent échapper aux achats formels. Une extension, un consultant, un développeur indépendant, une agence ou un service SaaS spécialisé peut créer une exposition importante s’il touche à des données sensibles ou à des flux de travail critiques.
La principale valeur d’un inventaire est de créer de meilleurs contrôles d’accès. Lorsqu’une relation avec un fournisseur prend fin, votre entreprise sait quels comptes désactiver, quels identifiants renouveler, quelles intégrations retirer et ce qu’il convient de faire des données stockées.
2. Classer les fournisseurs selon le risque, et non selon la commodité
Après avoir cartographié vos fournisseurs, regroupez-les selon le risque qu’ils créent. Cela permet de garder un processus proportionné et d’éviter de traiter chaque fournisseur comme inoffensif ou critique.
Fournisseurs à haut risque traitent généralement des données sensibles, soutiennent des opérations essentielles ou détiennent un accès privilégié. Cela peut inclure l’infrastructure cloud, les plateformes d’identité, la paie, la finance, les systèmes RH, l’informatique gérée, les services de sécurité ou les plateformes SaaS principales.
Fournisseurs à risque modéré soutiennent des activités importantes, mais disposent d’un accès plus limité. Ils peuvent inclure des plateformes de collaboration, des outils d’analyse, des systèmes de gestion de projet, des logiciels de support ou des agences disposant d’autorisations limitées.
Fournisseurs à faible risque ont peu ou pas accès à des données sensibles ou à des systèmes critiques pour l’entreprise. Ils doivent tout de même être consignés, mais ils n’ont pas besoin du même niveau d’examen, sauf si leur rôle change.
Le niveau doit suivre l’accès réel, et non la réputation, la taille ou le prix du fournisseur. Une plateforme familière peut devenir à haut risque si elle stocke des données sensibles. Un petit prestataire peut présenter un risque élevé s’il détient des privilèges admin.
Utilisez le niveau de risque pour décider de la profondeur de l’évaluation du fournisseur, de la fréquence de réexamen de la relation et des contrôles minimaux à appliquer.
3. Définir les exigences de sécurité avant d’accorder l’accès
Les évaluations de fournisseurs sont plus efficaces lorsque l’entreprise connaît ses exigences minimales avant que l’accès ne soit approuvé.
Pour les fournisseurs à haut risque, ces exigences doivent couvrir les contrôles qui protègent les données et garantissent la responsabilité des accès : MFA, chiffrement en transit et au repos, contrôle des accès basé sur les rôles, journaux d’audit, procédures de réponse aux incidents, gestion des vulnérabilités, contrôles des sous-traitants ultérieurs, engagements de suppression des données et planification de la continuité des activités.
Les preuves de sécurité peuvent étayer cet examen. ISO 27001, SOC 2, les référentiels nationaux tels que Cyber Essentials au Royaume-Uni, les synthèses de tests d’intrusion ou les livres blancs de sécurité peuvent tous aider, selon le rôle du fournisseur et la sensibilité de la relation.
Les certifications et les rapports d’audit décrivent la manière dont un fournisseur opère. Ils en disent beaucoup moins sur l’identité réelle du fournisseur. Une récente enquête sur la sécurité de Passwork prouve que cette distinction compte : une immatriculation européenne, un site internet soigné et un message « conçu pour la confiance » ont suffi à franchir le seuil dans des organisations qui n’ont jamais vérifié la propriété, la juridiction ou l’origine du code qu’elles installaient.
Pour tout fournisseur disposant d’un accès sensible, deux questions doivent figurer aux côtés de la liste de contrôle : qui possède et contrôle l’entreprise, et sous quelles lois nationales opère-t-elle ; et des experts indépendants peuvent-ils inspecter le code, ou l’entreprise fait-elle confiance à un système fermé sur la seule parole du fournisseur ?
Fournisseurs à risque modéré peuvent nécessiter un examen plus léger, mais ils doivent tout de même pouvoir expliquer comment ils protègent les comptes, limitent l’accès des employés, traitent les données, informent les clients en cas d’incident et retirent l’accès lorsque la relation prend fin.
Pour les fournisseurs à faible risque, la principale vérification peut être de savoir s’ils n’ont vraiment aucun accès à des systèmes sensibles ou à des données personnelles. Si cela change, le fournisseur doit être réévalué.
Un bon processus est strict lorsque le risque est élevé et léger lorsque le risque est réellement faible. Il ne doit pas transformer chaque examen de fournisseur en audit d’entreprise, mais il doit empêcher que des accès sensibles soient approuvés sur la seule confiance.
4. Surveiller les fournisseurs après l’intégration
Les fournisseurs modifient leurs systèmes, leurs sous-traitants, leurs politiques, leur personnel et leurs contrôles de sécurité. Votre entreprise peut également leur accorder plus d’accès au fil du temps. Sans surveillance, votre évaluation initiale devient obsolète.
Un processus de surveillance pratique peut inclure des examens annuels pour les fournisseurs à haut risque et à risque modéré, des vérifications avant le renouvellement du contrat, une réévaluation lorsque l’accès s’étend et un examen après tout incident signalé. Les fournisseurs critiques peuvent nécessiter des contrôles d’accès plus fréquents.
La surveillance doit inclure la couche des identifiants. Vérifiez si les comptes fournisseurs appartiennent toujours à des contacts actifs, si les autorisations correspondent au périmètre actuel, si des identifiants partagés existent encore et si des intégrations ou des clés API sont toujours nécessaires.
C’est là que de nombreuses entreprises découvrent une exposition évitable : anciens comptes d’agence, identifiants de sous-traitants inutilisés, mots de passe partagés dont personne n’est responsable, intégrations créées pour un projet passé et autorisations d’administrateur accordées pour des raisons de commodité.
Le risque fournisseur fait également partie de la planification de la continuité. Si un fournisseur critique devient indisponible, signale une fuite de données ou impose des changements d’accès d’urgence, l’entreprise doit pouvoir maintenir ses activités essentielles. Le guide de Proton sur les stratégies de continuité d’activité explique pourquoi la résilience dépend de plus que des sauvegardes, en particulier lorsque l’accès et les identifiants sont concernés.
5. Contrôler les identifiants tiers
De nombreux programmes de gestion des risques fournisseurs semblent solides sur le papier, puis échouent au niveau des identifiants. Un fournisseur peut sembler conforme sur le papier et néanmoins créer une exposition par la façon dont l’accès est géré au quotidien.
Le risque réside dans l’écart entre le processus formel et le processus réel : identifiants stockés en dehors des systèmes approuvés, comptes partagés sans propriétaire clair ou clés API qui restent actives après un changement de relation avec le fournisseur.
Si ces chemins d’accès ne sont pas examinés et révoqués, l’entreprise peut continuer à porter le risque fournisseur longtemps après la fin des travaux d’origine.
L’accès des tiers doit suivre la même discipline et utiliser les mêmes politiques de mots de passe que l’accès interne :
- Accorder aux fournisseurs uniquement l’accès dont ils ont besoin
- Utiliser des comptes nommés lorsque c’est possible
- Éviter les identifiants partagés sauf s’il n’existe pas d’alternative
- Stocker les identifiants partagés dans un système de gestion des identifiants contrôlé
- Partager des fichiers avec les fournisseurs via un stockage cloud pour entreprises chiffré avec des liens expirants, et non des pièces jointes
- Revoir régulièrement les accès
- Révoquer l’accès à la fin des travaux
- Changer les identifiants après un changement de personnel chez le fournisseur ou un incident
- Exiger le MFA partout où le service le permet
Un gestionnaire de mots de passe pour entreprises facilite la mise en œuvre de ces règles. Il offre aux équipes un espace sécurisé pour stocker les identifiants des fournisseurs, partager l’accès sans envoyer de mots de passe par chat ou par e-mail, changer les mots de passe et retirer l’accès lorsqu’une relation avec un fournisseur prend fin.
Votre liste de contrôle de sécurité des fournisseurs
Une liste de contrôle de sécurité des fournisseurs doit aider votre entreprise à intégrer de nouveaux fournisseurs en toute sécurité.
Utilisez-la pour bien comprendre la relation :
- À quelles données le fournisseur accédera-t-il, et quelles données traitera-t-il ou stockera-t-il ?
- Le fournisseur traitera-t-il des données personnelles pour notre compte ?
- Le fournisseur signera-t-il un accord de traitement des données (DPA) et supprimera-t-il nos données à la fin du contrat ?
- Où les données seront-elles stockées et traitées ?
- Le fournisseur fait-il appel à des sous-traitants ?
- Le fournisseur impose-t-il le MFA ?
- Comment le fournisseur contrôle-t-il l’accès de ses employés aux données clients ?
- Notre entreprise peut-elle attribuer des autorisations basées sur les rôles ?
- L’accès peut-il être retiré immédiatement ?
- Le fournisseur fournit-il des journaux d’audit ou des rapports d’activité des administrateurs ?
- Comment le fournisseur chiffre-t-il les données ?
- Dans quel délai le fournisseur nous informera-t-il d’un incident de sécurité ?
- Le fournisseur dispose-t-il de procédures de continuité d’activité ou de reprise après sinistre ?
- Le fournisseur peut-il fournir des documents de sécurité, des certifications ou des synthèses d’audit ?
- Le fournisseur a-t-il déjà connu un incident de sécurité rendu public, et comment l’a-t-il géré ?
- Qui détient et contrôle l’entreprise, et sous quelle juridiction opère-t-elle ?
- Le produit est-il open source ou audité de manière indépendante, afin que ses affirmations en matière de sécurité puissent être vérifiées ?
La liste de contrôle doit montrer tout risque que votre entreprise accepte. Un fournisseur qui ne dispose pas de certification formelle peut néanmoins convenir à des travaux à faible risque. Un fournisseur avec un accès administrateur, une authentification faible, des délais d’incident flous ou aucun processus de suppression clair constitue une décision entièrement différente.
Pour les fournisseurs déjà utilisés, ressortez la liste de contrôle lors des renouvellements et des revues planifiées. L’approbation initiale peut ne plus refléter la façon dont l’outil est utilisé aujourd’hui. Un fournisseur introduit pour un petit projet peut discrètement devenir partie intégrante des opérations clients, des flux financiers ou des intégrations critiques.
Comment Proton Pass for Business soutient le contrôle des accès fournisseurs
La gestion des risques fournisseurs devient beaucoup plus difficile lorsque l’accès des tiers est géré en dehors d’un système contrôlé. Un fournisseur peut être approuvé, documenté et couvert par un contrat, mais l’exposition réelle dépend souvent des chemins d’accès quotidiens : identifiants partagés, autorisations, clés d’accès, codes de récupération, clés API et comptes qui doivent être examinés ou supprimés à mesure que la relation évolue.
Un gestionnaire de mots de passe pour entreprises comme Proton Pass for Business aide les entreprises à intégrer cet accès dans un processus plus sécurisé et auditable. Les équipes peuvent stocker les identifiants des fournisseurs dans des coffres-forts chiffrés de bout en bout, générer des mots de passe forts et uniques, utiliser le remplissage automatique pour réduire la manipulation manuelle, gérer les clés d’accès et partager l’accès sans envoyer de mots de passe par e-mail, chat ou documents de projet.
Pour l’accès fournisseur spécifiquement, les coffres-forts partagés peuvent aider à séparer les identifiants par fournisseur, projet, équipe ou niveau de sensibilité. Cela permet de garder l’accès organisé, de vérifier qui a accès à quoi et de retirer l’accès lorsqu’un contrat prend fin, qu’un contact fournisseur change ou qu’un incident nécessite un confinement rapide.
Un gestionnaire de mots de passe pour les équipes informatiques ajoute la couche administrative nécessaire à mesure que le processus se formalise. Les politiques, les rapports, les journaux, le contrôle d’accès basé sur les rôles, le provisionnement SCIM et l’intégration de l’authentification unique aident les entreprises à gérer l’accès de manière cohérente entre les équipes, plutôt que de compter sur les habitudes individuelles.
Proton Pass for Business aide votre entreprise en contrôlant les identifiants et les chemins d’accès que les fournisseurs utilisent pour travailler avec vous. Il est également open source et audité de manière indépendante, de sorte qu’il répond à la même liste de contrôle que nous vous recommandons d’appliquer à vos propres fournisseurs. Lorsque l’accès des fournisseurs est stocké, partagé, examiné et révoqué à partir d’un environnement contrôlé, le risque fournisseur devient plus facile à gérer au-delà de l’évaluation initiale.
Contrôlez l’accès aux identifiants tiers en toute sécurité avec un gestionnaire de mots de passe pour entreprises.
