Si vous recherchez “violations de donn\u00e9es tierces” sur Google, vous trouverez de nombreux rapports r\u00e9cents de violations de donn\u00e9es qui ont \u00e9t\u00e9 caus\u00e9es par une attaque contre un tiers ou des informations sensibles stock\u00e9es dans un emplacement tiers ont \u00e9t\u00e9 expos\u00e9es. Les violations de donn\u00e9es de tiers ne font pas de distinction par secteur, car presque toutes les entreprises op\u00e8rent avec une sorte de relation avec un fournisseur – qu’il s’agisse d’un partenaire commercial, d’un entrepreneur ou d’un revendeur, ou de l’utilisation d’un logiciel ou d’une plate-forme informatique, ou d’un autre fournisseur de services. Les organisations partagent d\u00e9sormais des donn\u00e9es avec une moyenne de 730 fournisseurs tiers, selon un rapport d’Osano<\/a>et avec l’acc\u00e9l\u00e9ration de la transformation num\u00e9rique, ce nombre ne fera qu’augmenter.<\/p>\n Avec de plus en plus d’organisations partageant des donn\u00e9es avec davantage de fournisseurs tiers, il n’est pas surprenant que plus de 50\u00a0% des incidents de s\u00e9curit\u00e9 au cours des deux derni\u00e8res ann\u00e9es proviennent d’un tiers disposant de privil\u00e8ges d’acc\u00e8s, selon un Rapport de la CyberRisk Alliance.<\/a><\/p>\n Malheureusement, alors que la plupart des \u00e9quipes de s\u00e9curit\u00e9 conviennent que la visibilit\u00e9 de la cha\u00eene d’approvisionnement est une priorit\u00e9, le m\u00eame rapport note que seulement 41 % des organisations ont une visibilit\u00e9 sur leurs fournisseurs les plus critiques et seulement 23 % ont une visibilit\u00e9 sur l’ensemble de leur \u00e9cosyst\u00e8me tiers. <\/p>\n Les raisons du manque d’investissement dans la gestion des risques tiers (TPRM) sont les m\u00eames que celles que nous entendons constamment\u00a0: manque de temps, d’argent et de ressources, et c’est un besoin commercial de travailler avec le fournisseur. Alors, comment pouvons-nous faciliter le d\u00e9passement des obstacles \u00e0 la gestion du cyber-risque tiers\u00a0? Automatisation.<\/p>\n L’automatisation permet aux organisations de faire plus avec moins. Du point de vue de la s\u00e9curit\u00e9, voici quelques-uns des avantages que l’automatisation offre, comme mise en valeur par Graphus<\/a>:<\/p>\n En ce qui concerne la TPRM, l’automatisation peut transformer votre programme en\u00a0:<\/p>\n Les \u00e9valuations continues de l’exposition aux menaces comprennent des \u00e9valuations compl\u00e8tes qui int\u00e8grent les \u00e9l\u00e9ments suivants\u00a0: <\/p>\n Il s’agit d’une analyse plus compl\u00e8te des tiers par rapport au simple envoi de questionnaires. Un processus de questionnaire manuel peut prendre entre 8 et 40 heures par fournisseur, \u00e0 condition que le fournisseur r\u00e9ponde rapidement et avec pr\u00e9cision. Mais cette approche ne permet pas de voir les vuln\u00e9rabilit\u00e9s ou de valider l’efficacit\u00e9 des contr\u00f4les requis dans un questionnaire. <\/p>\n L’incorporation d’une capacit\u00e9 d’\u00e9valuation automatis\u00e9e de l’exposition aux menaces et son int\u00e9gration avec des questionnaires peuvent r\u00e9duire le temps d’examen des fournisseurs, et nous avons constat\u00e9 que la combinaison peut r\u00e9duire le temps d’\u00e9valuation et d’int\u00e9gration de nouveaux fournisseurs de 33\u00a0%.<\/a><\/p>\n Les organisations qui g\u00e8rent de nombreux questionnaires, ou les fournisseurs qui r\u00e9pondent \u00e0 de nombreux questionnaires, devraient envisager d’utiliser un \u00e9change de questionnaires. En termes simples, il s’agit d’un r\u00e9f\u00e9rentiel h\u00e9berg\u00e9 de questionnaires standard ou personnalis\u00e9s remplis qui peuvent \u00eatre partag\u00e9s avec d’autres parties int\u00e9ress\u00e9es apr\u00e8s approbation.<\/p>\n Si vous s\u00e9lectionnez une plate-forme qui effectue l’automatisation d\u00e9crite ci-dessus, les deux parties b\u00e9n\u00e9ficient d’une approche v\u00e9rifi\u00e9e et automatis\u00e9e des questionnaires les plus r\u00e9cents qui sont automatiquement valid\u00e9s par des \u00e9valuations continues. Encore une fois, cela peut faire gagner du temps \u00e0 votre \u00e9quipe en demandant l’acc\u00e8s aux questionnaires existants ou en r\u00e9duisant leur temps dans la r\u00e9ponse d’un nouveau questionnaire qui peut \u00eatre r\u00e9utilis\u00e9 sur demande.<\/p>\n Les cotes de s\u00e9curit\u00e9 seules ne fonctionnent pas. Utiliser uniquement des questionnaires pour \u00e9valuer des tiers ne fonctionne pas. La gestion de l’exposition aux menaces, qui int\u00e8gre des cotes de s\u00e9curit\u00e9 pr\u00e9cises issues des \u00e9valuations directes, combin\u00e9es \u00e0 des questionnaires valid\u00e9s – o\u00f9 le questionnaire interroge l’\u00e9valuation et met \u00e0 jour la cote de s\u00e9curit\u00e9 – vous offre une solution puissante pour une gestion continue des risques li\u00e9s aux tiers. Les plates-formes qui utilisent des \u00e9valuations actives et passives, et ne s’appuient pas uniquement sur les donn\u00e9es OSINT historiques, offrent la visibilit\u00e9 de la surface d’attaque la plus pr\u00e9cise – puisqu’il s’agit d’un tiers \u00e0 ce moment-l\u00e0. <\/p>\n Ces informations peuvent \u00eatre exploit\u00e9es pour valider automatiquement les contr\u00f4les applicables dans le questionnaire pour les exigences du cadre de s\u00e9curit\u00e9 et de conformit\u00e9 et signaler toute divergence entre la r\u00e9ponse du client et le r\u00e9sultat de l’\u00e9valuation technologique. Cela donne aux organisations une v\u00e9ritable approche de \u00ab\u00a0confiance mais v\u00e9rification\u00a0\u00bb vis-\u00e0-vis des avis de tiers. Comme cela peut \u00eatre fait rapidement, vous pouvez \u00eatre averti lorsque des tiers deviennent non conformes \u00e0 des contr\u00f4les techniques sp\u00e9cifiques.<\/p>\n Les organisations qui cherchent \u00e0 maximiser l’efficacit\u00e9 de leur programme tiers de gestion des risques cybern\u00e9tiques devraient envisager d’ajouter une automatisation \u00e0 leurs processus. Dans des environnements macro-\u00e9conomiques plus difficiles, les entreprises peuvent se tourner vers l’automatisation pour r\u00e9duire le travail de leur \u00e9quipe, tout en r\u00e9alisant des progr\u00e8s et des r\u00e9sultats, en \u00e9change de la possibilit\u00e9 pour les membres de l’\u00e9quipe de se concentrer sur d’autres initiatives.<\/p>\n Note:<\/b> Victor Gamra, CISSP, ancien CISO, a r\u00e9dig\u00e9 et fourni cet article. Il est \u00e9galement fondateur et PDG de FortifyData, une soci\u00e9t\u00e9 de gestion continue de l’exposition aux menaces (CTEM) leader du secteur. FortifyData permet aux entreprises de g\u00e9rer les cyber-risques au niveau organisationnel en int\u00e9grant des \u00e9valuations automatis\u00e9es de la surface d’attaque, la classification des actifs, la gestion des vuln\u00e9rabilit\u00e9s bas\u00e9e sur les risques, les cotes de s\u00e9curit\u00e9 et gestion des risques tiers<\/a> en une plateforme tout-en-un de gestion des cyber-risques. Pour en savoir plus, veuillez visiter www.fortifydata.com<\/a>.<\/p>\nL’importance de la gestion des risques li\u00e9s aux tiers<\/strong><\/h2>\n
Les avantages de l’automatisation<\/strong><\/h2>\n
\n
\u00c9tape 1 – \u00c9valuez vos fournisseurs avec la gestion continue de l’exposition aux menaces (CTEM)<\/strong><\/h3>\n
\n
\u00c9tape 2 – Utilisez un \u00e9change de questionnaires<\/strong><\/h3>\n
\u00c9tape 3 – Combinez en permanence les r\u00e9sultats de l’exposition aux menaces avec l’\u00e9change de questionnaires <\/strong><\/h3>\n
![\"\"\/](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/02\/3-etapes-pour-automatiser-votre-programme-de-gestion-des-risques.gif\")