Interdiction de Kaspersky : Implications pour la gestion des risques liés aux tiers

En juin 2024, le gouvernement américain a interdit la vente et les mises à jour des logiciels développés par l'entreprise de cybersécurité Kaspersky aux États-Unis. Cette annonce fait suite à une loi de 2017 qui interdisait l'utilisation des logiciels Kaspersky dans les agences gouvernementales. Les États-Unis ne sont pas le seul pays à avoir pris cette décision. Les gouvernements du Royaume-Uni, de l'Allemagne, de l'Italie, des Pays-Bas et d'autres pays ont également interdit ou limité de manière significative l'utilisation des logiciels Kaspersky.

Bien qu'il n'y ait pas de preuve directe d'une activité illégale, l'interdiction découle de la crainte que le gouvernement russe puisse avoir accès au réseau Kaspersky et aux données de ses clients. Ces gouvernements craignent que l'accès utilisé par Kaspersky pour protéger les systèmes informatiques ne soit exploité pour voler des informations sensibles ou installer des logiciels malveillants. L'invasion de l'Ukraine par la Russie a renforcé les craintes que des cyberattaques russes utilisent l'accès aux systèmes de Kaspersky pour mener des opérations offensives contre les pays qui soutiennent l'Ukraine.

Les vendeurs et fournisseurs tiers de ces pays devraient déjà avoir coupé les liens avec les logiciels Kaspersky à la lumière de ces interdictions. Il est donc essentiel que les organisations enquêtent sur leurs vendeurs et leurs chaînes d'approvisionnement pour identifier les cas de Kaspersky afin d'éviter les dommages potentiels cyber, juridiques ou de réputation.

À la lumière de cette nouvelle interdiction, ce billet examine les mesures que les organisations peuvent prendre pour découvrir et surveiller les cas de Kaspersky chez leurs fournisseurs tiers et dans leurs chaînes d'approvisionnement, et pour réduire les risques.

Sept étapes pour atténuer le risque de technologies interdites chez vos fournisseurs tiers ou dans votre chaîne d'approvisionnement

Considérez ces sept étapes pour découvrir, trier et surveiller l'utilisation de Kaspersky dans votre écosystème de fournisseurs. Ces étapes s'appliquent également à toute autre technologie interdite, mais nous nous concentrons ici sur Kaspersky.

1. Établir un inventaire centralisé de tous les tiers

Un inventaire centralisé de tous les vendeurs et fournisseurs tiers ajoute de la gouvernance et des processus à la gestion des fournisseurs, et réduit la probabilité que des relations avec des fournisseurs non surveillés introduisent des risques dans vos opérations informatiques. L'inventaire de vos fournisseurs doit être réalisé sur une plateforme centralisée - et non sur des feuilles de calcul - de manière à ce que plusieurs équipes internes puissent participer à la gestion des fournisseurs et que le processus puisse être automatisé dans l'intérêt de tous.

Vous pouvez créer un inventaire central des fournisseurs en les important dans votre plateforme de gestion des risques par le biais d'un modèle de feuille de calcul ou d'une connexion API à une solution d'approvisionnement ou de comptabilité fournisseurs existante. Les équipes de toute l'entreprise doivent être en mesure de renseigner les informations clés sur les fournisseurs à l'aide d'un formulaire centralisé et personnalisable et d'un flux de travail associé pour l'approbation. Cette capacité devrait être accessible à tous par le biais d'une invitation par courrier électronique, sans nécessiter de formation ou d'expertise en matière de solutions.

Un inventaire central des vendeurs et fournisseurs tiers présente l'avantage supplémentaire de créer un profil unique du fournisseur qui comprend des attributs clés tels que des détails firmographiques, des données financières, des informations opérationnelles et d'autres informations importantes sur l'entreprise.

2. Établir une carte des tiers pour déterminer le risque de concentration technologique

Recueillez les technologies de quatrième partie déployées dans votre écosystème de fournisseurs au cours du processus d'inventaire afin d'aider à identifier les relations entre votre organisation et les tiers sur la base de l'utilisation de certaines technologies. Cela vous aidera à visualiser les voies d'attaque dans votre entreprise et à prendre des mesures d'atténuation proactives. Pour ce faire, vous pouvez procéder à une évaluation ciblée ou à un balayage passif.

Dans le cas de Kaspersky, le fait de disposer d'une carte des fournisseurs qui utilisent l'outil désormais interdit vous aiderait à cibler les fournisseurs à évaluer en vue d'une exposition potentielle aux logiciels malveillants. Concentrez-vous d'abord sur les fournisseurs de premier plan ou critiques pour l'entreprise, car une perturbation de leurs opérations pourrait avoir un impact plus important sur votre organisation.

3. Procéder à une évaluation des risques inhérents

Une fois que vous avez centralisé les fournisseurs et évalué la présence des technologies concernées, procédez à des évaluations des risques inhérents pour vous aider à déterminer comment évaluer vos tiers de manière continue en fonction des risques qu'ils représentent. Les attributs utilisés pour calculer un score de risque inhérent devraient au moins inclure l'accès aux informations ou systèmes sensibles, les exigences réglementaires et légales, et la localisation géographique.