Violation de données chez Accellion : Quatre stratégies de réponse aux risques liés aux tiers

La violation de données tierces d'Accellion, qui a déjà fait des victimes parmi les cabinets d'avocats, les détaillants, les télécoms, les banques et les gouvernements du monde entier, a maintenant touché l'une des plus grandes entreprises du monde : Royal Dutch Shell.

Pour résumer, FTA, le logiciel de transfert de fichiers d'Accellion, vieux de 20 ans, a été compromis en décembre 2020. Bien qu'il ait été corrigé depuis, cet outil presque en fin de vie compte encore plus de 3 000 clients, ce qui signifie que des milliers d'entreprises - et leurs clients - auraient pu être en danger.

Comme la violation de la chaîne d'approvisionnement de SolarWinds avant elle, cette violation de données de tiers de plus en plus préjudiciable continue de fournir un exemple de la façon dont une seule compromission peut avoir un impact négatif sur les systèmes des clients, et pourquoi une approche plus proactive de la gestion des risques des tiers est nécessaire.

4 stratégies de gestion des risques pour faire face à la brèche d'Accellion

Lagestion des risques liés aux tiers (TPRM ) (parfois appelée gestion des risques liés aux fournisseurs ou VRM) fait partie d'une stratégie globale de gestion des risques destinée à identifier, évaluer et atténuer les risques présentés tout au long du cycle de vie des relations avec les tiers - y compris les vendeurs, les partenaires, les fournisseurs ou autres Nth parties.

TPRM joue un rôle essentiel dans la gestion des fournisseurs. Si vous craignez qu'une brèche du type de celle d'Accellion n'ait un impact sur votre organisation, considérez ces 4 stratégies TPRM pour comprendre le risque lié à vos fournisseurs et ce qu'il faut faire à ce sujet.

1. Utilisez le risque inhérent pour classer et profiler vos fournisseurs avec précision.

Afin de bien comprendre le risque que les fournisseurs représentent pour une organisation, les équipes de gestion des risques doivent être en mesure de calculer le risque inhérent, ou le niveau de risque actuel compte tenu de ce qui est considéré comme l'ensemble des contrôles existants (ou l'absence de contrôles) pour ce fournisseur. Le calcul du risque inhérent est important lors de l'intégration de nouveaux fournisseurs, et pour éclairer les décisions de profilage, de hiérarchisation et de catégorisation.

Lorsque vous réfléchissez à la manière de classer un fournisseur, il est important de bien comprendre l'impact qu'il pourrait avoir sur votre entreprise en cas de défaillance. Par conséquent, vous devez utiliser un système de notation qui détermine le groupe de niveau du fournisseur. Ce système pourrait inclure les critères suivants :

• Processus opérationnels ou en contact avec le client
• Interaction avec les données personnelles
• Situation et implications financières
• Obligations légales et réglementaires
• Réputation

Dans le contexte de cette violation de données, Accellion aurait pu être placée dans un niveau élevé parce qu'elle traitait les données personnelles de ses clients. Le fait d'être dans un niveau supérieur aurait automatiquement augmenté le niveau d'examen de leurs processus, ce qui aurait pu révéler une vulnérabilité avant qu'elle ne soit exploitée.

2. Évaluez vos tiers de manière flexible en fonction des besoins de l'entreprise

L'évaluation de la cybersécurité de vos fournisseurs et vendeurs fournit une base de référence pour mesurer la conformité ou l'adhésion aux protocoles de sécurité. Cependant, ne forcez pas chaque fournisseur de chaque niveau à répondre à un questionnaire unique et rigide. S'il est important d'utiliser une série de questions similaires pour évaluer tous les fournisseurs, assurez-vous d'avoir la flexibilité nécessaire pour les évaluer en fonction d'exigences uniques.

Quel que soit le questionnaire, les vendeurs devraient être invités à se rendre sur un portail central pour fournir des réponses et soumettre des preuves à l'appui. Leurs réponses seraient automatiquement signalées comme des risques si elles n'atteignent pas certains seuils, et des mesures automatiques pourraient alors être prises pour résoudre le problème.

En prenant l'exemple d'Accellion, ses clients auraient pu évaluer l'entreprise sur son adhésion au cycle de vie du développement logiciel (SDLC) - en particulier les processus de maintenance, les correctifs et les mises à jour. Si Accellion n'était pas en mesure de démontrer qu'elle avait mis en place les processus de correction et de mise à jour pour empêcher l'exploitation des vulnérabilités, un risque aurait été soulevé.