Réponse à la violation d'une tierce partie : 5 mesures immédiates à prendre

Les atteintes à la sécurité des tiers sont de plus en plus fréquentes. Un exemple récent est la violation de sécurité chez le fournisseur de services d'identité Okta, où un acteur malveillant a utilisé des informations d'identification volées pour accéder au système de gestion de l'assistance de l'entreprise. Okta joue le rôle de courtier et d'intermédiaire pour un grand nombre de sessions d'authentification et d'autorisation pour des applications utilisées par des milliers de clients. Le nombre d'entreprises susceptibles d'être touchées - directement ou indirectement - est donc important.

Comment votre entreprise réagirait-elle si l'un de vos fournisseurs essentiels était victime d'une violation ?

Ce billet propose des suggestions pour préparer votre programme de réponse aux incidents impliquant des tiers et présente cinq mesures à prendre lorsque l'un de vos fournisseurs est victime d'une violation.

Conseils pour préparer votre programme de réponse aux incidents impliquant des tiers

Sensibilisation aux risques liés aux fournisseurs

Tout d'abord, il est essentiel de surveiller en permanence les tiers critiques pour détecter les menaces nouvelles et émergentes sur cyber (ainsi que les risques opérationnels, financiers et de réputation potentiels). Bien que cela puisse sembler évident, la tâche peut s'avérer monumentale pour les organisations disposant d'un vaste écosystème de fournisseurs. Au lieu d'essayer de suivre manuellement l'actualité de la sécurité et les publications de la communauté, recherchez des fournisseurs de renseignements sur les menaces qui peuvent automatiser et mettre à l'échelle le processus de surveillance pour vous.

Examiner les contrôles de sécurité de base

Certains de vos fournisseurs tiers ont-ils accès à votre infrastructure, à vos utilisateurs et/ou à vos données ? Dans l'affirmative, veillez à mettre en œuvre des outils d'analyse comportementale pour détecter toute activité anormale. Par ailleurs, il convient de surveiller les logiciels utilisés et de s'assurer qu'ils sont à jour et qu'ils comportent les correctifs nécessaires pour remédier aux éventuelles vulnérabilités. La microsegmentation et les outils de gestion des utilisateurs privilégiés peuvent également être utiles à cet égard.

Disposer d'un plan de communication

Les communications à la suite d'une violation par un tiers ou d'un incident présumé sont différentes des communications internes de gestion des incidents. Veillez à ce que les coordonnées des fournisseurs soient facilement accessibles et mettez en place des protocoles de collecte d'informations et des voies d'escalade en cas d'incident. Si le tiers est un fournisseur de logiciels ou de services (voir la violation de SolarWinds en 2020), il peut y avoir un effet de "cascade" qui nécessite des communications avec les clients et les autres parties prenantes.

Envisager des stratégies de confinement

Quel est le degré d'accès du fournisseur ? Il s'agit d'une question essentielle lorsqu'on envisage des stratégies de confinement. Par exemple, si le fournisseur a accès à vos données mais pas à votre infrastructure, vous pouvez simplement cesser d'utiliser le service ou la plateforme jusqu'à ce que vous en sachiez plus. En revanche, si le fournisseur a accès à votre environnement informatique, quel qu'en soit le niveau, vous devez disposer d'un plan pour mettre immédiatement cet accès en quarantaine et l'isoler.

Poser les bonnes questions

En cas d'atteinte à la vie privée d'un tiers, le fait de poser les bonnes questions vous aidera à comprendre et à atténuer efficacement l'impact sur votre organisation. Voici quelques recommandations assorties de lignes directrices concernant les réponses possibles (à adapter en fonction des spécificités de l'incident) :

• Le fournisseur a-t-il été touché par une violation ou utilise-t-il un produit/service touché par une violation (oui/non) ?
• Quelle est la nature de l'impact sur le fournisseur ? (impact élevé/moyen/faible sur les systèmes, les applications et/ou les données)
• L'incident affecte-t-il les services essentiels fournis à votre organisation ? (Oui/Non)
• Le fournisseur a-t-il pris les mesures correctives suivantes ? (Énumérer les mesures recommandées, telles que l'application de correctifs ou la mise à jour des systèmes concernés)
• Le fournisseur a-t-il modifié les contrôles existants ou mis en œuvre de nouveaux contrôles pour résoudre et atténuer l'impact de la violation (identifié et déjà mis en œuvre ; identifié et en cours de mise en œuvre ; non identifié et/ou ne pouvant pas être mis en œuvre) ?
• Si les contrôles ne peuvent être mis en œuvre, quels sont les contrôles compensatoires ou les méthodes de contournement mis en œuvre ?
• Qui est le point de contact pour les demandes de renseignements complémentaires ?