Meilleures pratiques en matière de sécurité de la chaîne d'approvisionnement en logiciels

Les récentes attaques contre la chaîne d'approvisionnement en logiciels ont incité le Sénat des États-Unis à adopter une loi renforçant la formation à la cybersécurité du personnel chargé des achats au niveau fédéral. La loi sur la formation à la sécurité de la chaîne d'approvisionnement impose aux agences d'évaluer et d'atténuer les risques liés à la chaîne d'approvisionnement tout au long du cycle d'acquisition. Le ministère de la sécurité intérieure, le NIST et d'autres agences fédérales sont chargés de coordonner et d'appliquer ce programme.

Pour gérer les risques liés à la chaîne d'approvisionnement en logiciels, il faut non seulement protéger votre organisation contre les attaques directes, mais aussi atténuer le risque de violation de données par des tiers et des tiers qui pourraient perturber votre activité.

Que signifie la sécurité de la chaîne d'approvisionnement en logiciels pour le TPRM ?

Votre chaîne d'approvisionnement en logiciels fait référence aux applications que vous utilisez pour fournir des services à vos clients. Dans le cadre de la gestion des risques pour les tiers, la sécurité de la chaîne d'approvisionnement en logiciels consiste à identifier les éventuelles vulnérabilités des composants sous-jacents de ces applications et à évaluer leur probabilité d'être manipulés par des cybercriminels.

Des dispositions plus strictes en matière de cybersécurité sont essentielles pour renforcer la gestion des risques de la chaîne d'approvisionnement, et nous suggérons à toutes les organisations - et pas seulement aux agences fédérales - d'envisager la mise en œuvre des meilleures pratiques suivantes.

Meilleures pratiques en matière de sécurité de la chaîne d'approvisionnement en logiciels

1. Renforcer la diligence raisonnable à l'égard des fournisseurs grâce à des évaluations combinées des risques internes et externes

Pour minimiser le risque d'interruption de la chaîne d'approvisionnement en logiciels de tiers, exiger des fournisseurs de solutions qu'ils partagent des informations sur le cycle de développement de leurs logiciels, notamment :

• Les origines de leur code source
• Leurs processus d'assurance qualité (AQ)
• leurs accords de niveau de service (SLA) pour l'identification et la correction des vulnérabilités

Si les évaluations initiales peuvent provenir de questionnaires destinés aux fournisseurs, ceux-ci ne fournissent qu'un instantané dans le temps. Complétez l'évaluation de vos fournisseurs par des données actualisées en permanence sur les risques encourus par les fournisseurs, provenant notamment des sources suivantes

• Les forums criminels, les pages en oignon, les forums d'accès spéciaux du dark web, les flux de menaces et les sites de collage d'informations d'identification fuitées. La surveillance des discussions sur ces sites peut fournir un indicateur d'alerte précoce indiquant qu'un partenaire de la chaîne d'approvisionnement a été ou sera pris pour cible.
• Les communautés de sécurité, les référentiels de code, les bases de données de vulnérabilités et les notifications historiques de violations de données pour vérifier régulièrement l'hygiène de sécurité des fournisseurs.
• Informations sur le risque de réputation, y compris la couverture médiatique défavorable, l'inscription sur les listes de sanctions mondiales ou la propriété d'une entreprise publique.

Le suivi de ces sources de renseignements vous permet d'avoir une vision actualisée des vulnérabilités de vos fournisseurs et de passer d'une évaluation statique à une évaluation dynamique des risques liés aux fournisseurs.

Toutefois, il faut se garder de mettre en place un programme de surveillance des risques trop complexe et potentiellement coûteux. Avec des centaines de sources potentielles de renseignements sur la cybersécurité et la réputation, il est facile d'être rapidement submergé par des données non corrélées provenant de sources disparates et autorisées séparément.

Choisissez des plateformes qui centralisent les données provenant de multiples sources de renseignements, corroborent les résultats de l'évaluation et établissent des rapports significatifs sur l'exposition potentielle au risque des fournisseurs.