NERC Security Guideline for the Supply Chain Cyber Security Risk Management Lifecycle (Lignes directrices de la NERC en matière de sécurité pour le cycle de vie de la gestion des risques de sécurité de la chaîne d'approvisionnement)

En réponse à des attaques préjudiciables à la chaîne d'approvisionnement telles que celles de SolarWinds, Kaseya et Colonial Pipeline, la North American Electric Reliability Corporation (NERC) a publié une directive de sécurité pour le cycle de vie de la gestion des risques de sécurité de la chaîne d'approvisionnement Cyber . Cette directive recommande aux organisations d'infrastructures critiques, telles que les services publics d'électricité, les fournisseurs de gaz naturel et autres, d'identifier, d'évaluer et d'atténuer les risques liés à la sécurité de la chaîne d'approvisionnement cyber pour leurs actifs technologiques opérationnels (OT) critiques. Les perturbations des systèmes OT, telles que celles provoquées par les incidents de la chaîne d'approvisionnement, peuvent entraîner des pannes des services publics et avoir des répercussions négatives de grande ampleur sur la société dans son ensemble.

Ce billet examine les étapes clés de l'identification, de l'évaluation et de l'atténuation des risques de sécurité de la chaîne d'approvisionnement cyber , conformément aux lignes directrices de sécurité du NERC, et passe en revue les meilleures pratiques pour réduire les risques pour les infrastructures critiques.

Identification des risques

Le chapitre 1 des lignes directrices précise que "le premier objectif de l'organisation dans le cadre du processus de gestion des risques de sécurité de la chaîne d'approvisionnement cyber est d'identifier les risques pour ses biens OT critiques qui pourraient avoir un impact élevé ou une forte probabilité de compromission, en fonction du fournisseur".

Pour répondre à cette ligne directrice, construire :

• Une méthodologie de notation à deux axes basée sur la probabilité de compromission et l'impact sur l'organisation, créant une matrice de type carte thermique dans laquelle les risques sont représentés.
• Règles automatisées permettant d'attribuer des notes si la réponse d'un fournisseur à une question d'évaluation n'atteint pas un seuil de risque acceptable, ce qui permet d'intégrer les risques dans la matrice.
• Rapport pour trier les risques en fonction de la note la plus élevée dans la matrice.
• Mesures correctives personnalisées à recommander au fournisseur pour atténuer le risque.

Mais avant cela, il convient de procéder à une évaluation du profilage et de la hiérarchisation afin de suivre et de quantifier les risques inhérents à tous les fournisseurs. À partir de cette évaluation des risques inhérents, votre équipe peut automatiquement classer et hiérarchiser les fournisseurs (y compris identifier ceux qui sont jugés critiques), fixer des niveaux appropriés de diligence supplémentaire à partir de cette base de référence et déterminer la portée des évaluations continues.

Évaluation des risques

Le chapitre 2 des lignes directrices de sécurité stipule que "Une fois que l'organisation a identifié les risques, elle doit évaluer ses fournisseurs afin de déterminer le degré de risque qu'ils représentent par rapport à chaque risque identifié ; dans la plupart des cas, l'évaluation des fournisseurs sera effectuée au moyen d'un questionnaire".

Pour répondre à ces exigences, automatisez les évaluations des risques afin d'étendre la visibilité, l'efficacité et l'échelle de votre programme de gestion des risques de la chaîne d'approvisionnement à chaque étape du cycle de vie des fournisseurs. Tirez parti d'une bibliothèque qui comprend des centaines de modèles d'évaluation standardisés, avec des capacités de personnalisation, un flux de travail intégré et des mesures correctives pour tout automatiser, de la collecte et de l'analyse de l'enquête à l'évaluation des risques et à la création de rapports. Veillez à ce que la plateforme d'évaluation choisie comprenne des évaluations spécifiques pour les rapports sur les infrastructures critiques et les meilleures pratiques, telles que le cadre du National Institute of Standards and Technology (NIST) pour l'amélioration de la cybersécurité des infrastructures critiques.

Dans le cadre du processus d'évaluation des risques, il convient de suivre et d'analyser en permanence les menaces externes qui pèsent sur les fournisseurs en surveillant l'Internet et le "dark web" à la recherche de menaces et de vulnérabilités sur le site cyber . Les sources de surveillance devraient inclure les forums criminels, les pages en oignon, les forums d'accès spécial du dark web, les flux de menaces, les sites de collage d'informations d'identification divulguées, les communautés de sécurité, les référentiels de code, les bases de données de vulnérabilités et les bases de données d'atteintes à la protection des données.

Une capacité importante à ce stade est de corréler les résultats de la surveillance continue avec les réponses de l'évaluation afin de valider les contrôles. Il n'est pas possible d'y parvenir en utilisant des feuilles de calcul pour l'évaluation des risques ou des outils hétéroclites pour la surveillance de la sécurité sur le site cyber .

Atténuer les risques

Le chapitre 3 des lignes directrices recommande à l'organisation de demander au fournisseur d'atténuer les risques identifiés lors de l'évaluation. L'objectif de l'atténuation des risques devrait être de ramener leur valeur à un niveau acceptable afin de réduire la probabilité et/ou l'impact du risque.

Les lignes directrices précisent que cela peut se faire par le biais d'un appel d'offres ou d'une mise en œuvre contractuelle, mais que les mesures correctives requises sont également un moyen important de mise en œuvre post-contractuelle. Le tableau ci-dessous présente quelques mesures d'atténuation sélectionnées dans les lignes directrices.