Politiques de gestion des risques liés aux fournisseurs tiers : meilleures pratiques à mettre en œuvre dès maintenant

Autres considérations relatives à la conformité

Lors de la conception de vos politiques et procédures, veillez à prendre en compte les exigences de conformité générales susceptibles d'avoir un impact sur les opérations commerciales. Par exemple, si votre entreprise traite des informations de santé protégées (PHI), il est important d'utiliser vos politiques de gestion des risques liés aux tiers pour préciser exactement comment et quand ces informations sont partagées avec d'autres organisations. Les tiers, les quatrièmes et les nièmes parties sont tenus, en vertu de l'HIPAA, d'appliquer les mêmes mesures de protection que l'organisation principale lorsqu'ils traitent des informations de santé protégées. Le non-respect de ces règles peut entraîner de lourdes amendes pour vous et vos associés en aval de la chaîne.

De nombreuses exigences en matière de sécurité des informations imposent des limites strictes au type de données qui peuvent être partagées avec des tiers. Veillez à prêter également attention aux exigences qui affectent les unités commerciales individuelles. Par exemple, le GDPR impose des limites strictes sur la manière dont les données des ressortissants européens sont stockées, protégées et transférées. Dans de nombreux cas, seul un département, tel que le marketing, peut travailler avec des données européennes. Il est essentiel que vous évaluiez les types et les quantités de données recueillies dans l'ensemble de l'organisation pour déterminer les besoins en matière de conformité plutôt que de faire des hypothèses basées sur votre secteur d'activité.

Vos politiques doivent définir clairement quelles informations sont partagées avec des tiers, quand elles sont partagées et quels sont les protocoles permettant de garantir la protection de ces informations. Dans de nombreux cas, vous pouvez exiger que les organisations tierces qui traitent des données sensibles se conforment à des exigences indépendantes en matière de sécurité des informations, telles que SOC2 ou HIPAA. Si vous ne le faites pas, vous risquez de ne pas respecter les exigences réglementaires essentielles et de nuire à votre réputation en cas de violation des données par un tiers. Avant de fournir des informations sensibles à un tiers, il est essentiel de procéder à une vérification préalable approfondie de ce dernier.

Fonder vos politiques de gestion des risques liés aux tiers sur des normes largement acceptées

Heureusement, vous n'avez pas besoin d'inventer tous les contrôles vous-même. Lorsque vous planifiez votre programme de gestion des risques liés aux tiers, vous pouvez vous inspirer de cadres de gestion des risques liés aux tiers largement acceptés, tels que NIST 800-161 ou Shared Assessments TPRM Framework. L'utilisation de ces cadres préétablis peut fournir d'excellentes indications sur les types de contrôles à inclure dans vos politiques de gestion des risques liés aux tiers. Le risque lié aux tiers peut se présenter sous diverses formes. En adhérant à un cadre éprouvé, vous pouvez vous assurer que votre gestion des risques liés aux fournisseurs est complète.

En outre, vous pouvez utiliser d'autres cadres tels que NIST CSF 2.0 et ISO 27036 pour vous aider à concevoir vos questionnaires d'évaluation du risque fournisseur. Les questionnaires sont un élément essentiel du cycle de vie de la gestion du risque fournisseur et devraient être obligatoires pour tous les nouveaux fournisseurs de services. Les politiques de gestion des risques liés aux tiers doivent clairement stipuler comment et quand les unités opérationnelles doivent administrer les questionnaires, et définir les niveaux acceptables de risque résiduel.

Nous vous recommandons d'examiner les évaluations partagées et le document NIST 800-161 pour vous aider à planifier la forme que doit prendre votre programme et les types de contrôles qui méritent d'être inclus. Vous pouvez ensuite choisir des contrôles spécifiques pour vos questionnaires à partir des cadres de sécurité de l'information standard. Dans de nombreux cas, nous constatons que les organisations basées aux États-Unis s'appuient souvent sur le NIST, tandis que les entreprises en Europe, en Asie et en Afrique choisissent souvent l'ISO.

Exiger une documentation normalisée de la part des tiers

Assurez-vous que votre organisation fonctionne à partir d'un ensemble standard de documents lorsqu'elle traite des relations avec des tiers. Les accords de non-divulgation, les questionnaires sur les risques liés aux tiers et les accords de niveau de service (SLA) doivent être aussi uniformes que possible tout au long du cycle d'approvisionnement. La normalisation est particulièrement importante lors de la création du questionnaire d'évaluation des risques liés aux fournisseurs de votre organisation. Sans un processus normalisé d'évaluation des fournisseurs, vous ne pouvez pas comparer différents fournisseurs en fonction du niveau de risque qu'ils représentent pour votre organisation.

Les politiques relatives aux risques liés aux tiers doivent stipuler que les fournisseurs tiers sont évalués en fonction de leur niveau de risque et que les fournisseurs à haut risque sont contraints de prendre des mesures correctives avant de faire partie de la chaîne d'approvisionnement. Les fournisseurs doivent également faire l'objet d'une surveillance continue des risques de cybersécurité, des risques opérationnels et des risques de conformité tout au long de la relation commerciale. Ce n'est pas parce qu'une organisation était à faible risque au moment de l'intégration qu'elle le restera.

Tenir compte des 4e parties dans vos politiques de risque

Les grandes entreprises qui comptent des centaines de contractants tiers sont les plus susceptibles d'entrer dans cette catégorie. Une quatrième partie peut être sous-traitée par une troisième partie. Si le fournisseur sous-traitant n'adhère pas aux mêmes pratiques de sécurité de l'information que le contractant principal, des acteurs malveillants peuvent alors être en mesure d'accéder aux données de votre entreprise. Dans de nombreux cas, les groupes criminels peuvent essayer de pénétrer dans la quatrième partie et de remonter le système latéralement jusqu'à ce qu'ils trouvent les IIP qu'ils recherchent.

Les contrats entre les entreprises et les fournisseurs doivent comporter des dispositions relatives aux quatrièmes parties. Si les associés tiers sont autorisés à sous-traiter, l'accord de niveau de service doit exiger que la quatrième partie suive les mêmes directives de cybersécurité que l'entreprise mère. Si une entreprise ignorait qu'un quatrième parti était impliqué et était à l'origine d'une fuite de données, elle serait jugée responsable et soumise à des amendes par les autorités de réglementation.

Liste de contrôle de la politique de risque du fournisseur

Vous craignez toujours de ne pas être assez complet dans vos politiques de gestion des risques liés aux tiers ? Voici quelques contrôles que nous vous recommandons d'intégrer à vos politiques de gestion des risques liés aux fournisseurs. Pour une liste plus complète, consultez notre article sur la liste de contrôle de la gestion des risques liés aux fournisseurs.

Général

• Les fournisseurs doivent remplir un questionnaire standardisé d'évaluation des risques liés aux fournisseurs avant l'intégration.

• Profilage et hiérarchisation pour mettre en œuvre une méthodologie reproductible d'évaluation des vendeurs.

• Evaluation et suivi des risques inhérents et résiduels afin d'identifier clairement les fournisseurs qui présentent les risques les plus importants pour l'entreprise.

• Suivi continu après l'embarquement

• Les fournisseurs sont réévalués périodiquement pour déterminer si leur niveau de risque a changé.

• Flux de travail et billetterie pour automatiser les communications

• Des pondérations de risque flexibles qui définissent de manière granulaire l'importance de risques spécifiques pour l'entreprise.

Conformité

• Les fournisseurs tiers font l'objet d'une évaluation de conformité avant d'être intégrés.

• Les données partagées avec des tiers sont soigneusement documentées et conservées.

• Les tiers qui stockent les données de votre organisation sont tenus de remédier aux pratiques non conformes avant de recevoir des informations sensibles.

• Surveillance des affaires à partir de centaines de milliers de sources fournissant des informations sur les affaires, la réglementation, la réputation ou les questions juridiques.

• Facultatif: Les fournisseurs sont tenus d'obtenir des certifications en matière de sécurité de l'information avant d'être intégrés.

Sécurité de l'information

• Les fournisseurs font l'objet d'un contrôle continu du risque de cybersécurité tout au long du contrat.

• Cyber surveillance du web profond/obscur pour des informations sur les risques en temps réel

• Registre unifié des risques qui met en corrélation cyber et les événements liés aux risques commerciaux avec les résultats de l'évaluation afin de valider les données de contrôle communiquées par les fournisseurs.

• Transformez les données relatives aux fournisseurs cyber et aux événements commerciaux en risques exploitables, ce qui vous donne une visibilité des risques en temps réel.

• Déclencher des actions telles que l'envoi de notifications, la création de tâches ou de drapeaux, l'augmentation des scores de risque, l'accélération du processus d'atténuation des risques.

• Tous les contrats avec des tiers comportent un libellé clair indiquant comment les données partagées avec des tiers sont protégées.

• Le fournisseur s'engage à supprimer toutes les données de l'organisation à la fin du contrat.

• Les fournisseurs sont contractuellement tenus d'informer l'organisation de toute violation de la sécurité ou de tout soupçon de violation des données.

• Les politiques de sécurité des fournisseurs sont examinées en détail et vérifiées par rapport aux réponses au questionnaire des fournisseurs.

Opérations

• Le fournisseur doit fournir des mises à jour sur le personnel clé, les finances et d'autres domaines qui pourraient avoir un impact sur la chaîne d'approvisionnement.

• Chaque département est tenu de soumettre les données relatives aux fournisseurs à un référentiel central.

• Les fournisseurs considérés comme présentant un "risque élevé" doivent ramener les risques à un niveau acceptable pour pouvoir travailler avec l'organisation.

• Les fournisseurs tiers sont tenus par contrat d'adhérer à des instructions claires de désengagement, notamment en ce qui concerne la restitution de l'équipement, des cordons et des badges, et la suppression de tout mot de passe ou autre information sensible.

• Prise en compte des quatre parties et d'autres éléments lors de la rédaction des accords de niveau de service et d'autres contrats clés.

Politiques et pratiques de gestion des risques liés aux tiers

La mise en œuvre d'un système efficace de contrôle des risques pour les fournisseurs tiers demande du temps et de l'argent. Que vous employiez un expert en informatique ou que vous fassiez appel à des services commerciaux, c'est la réalité. L'adoption de stratégies et de procédures de contrôle des risques pour les prestataires tiers présente plusieurs avantages, même si elle peut être décourageante.

Laplateforme de gestion des risques liés aux tiers Prevalent unifie la gestion des fournisseurs, l'évaluation des risques et la surveillance des menaces pour offrir une vue à 360 degrés des risques. La plate-forme permet d'intégrer facilement les fournisseurs, de les évaluer à l'aide de questionnaires standardisés et personnalisés, de corréler les évaluations avec les données externes sur les menaces, de révéler, de hiérarchiser et de signaler les risques, et de faciliter le processus de remédiation.

Quelle que soit votre situation actuelle, Prevalent peut vous aider à mettre en place un programme de gestion des risques de tiers avec une visibilité, une efficacité et une échelle inégalées. Nous travaillerons avec vous pour trouver la combinaison de services manages, d'adhésion au réseau et/ou d'accès à la plateforme TPRM qui convient le mieux à votre organisation. Vous bénéficierez d'un délai de rentabilité rapide, serez équipé pour prendre des décisions fondées sur l'intelligence et réduirez de manière mesurable les risques liés aux fournisseurs, tout en réduisant les maux de tête pour vous et votre équipe. Demandez une démonstration maintenant.