Comment utiliser la veille sur les menaces pour réduire les risques liés aux tiers ?

Quatre façons dont la veille sur les menaces contribue à atténuer les risques pour les tiers

Les renseignements sur les menaces externes peuvent contribuer à atténuer les risques pour les tiers de quatre manières principales.

1. Valider l'efficacité des contrôles internes déclarés par le fournisseur

Si un fournisseur tiers a indiqué dans son évaluation de la sécurité ou a fourni des preuves dans une certification de sécurité (telle que ISO ou SOC 2) qu'il exige un mot de passe fort, mais que des renseignements externes sur les menaces montrent que les identifiants des utilisateurs du fournisseur, les mots de passe ou les identifiants d'administration sont en vente sur le Dark Web, vous pouvez raisonnablement supposer que les politiques de mot de passe du fournisseur ne sont pas assez fortes (ou même, peut-être, que leurs programmes d'hameçonnage ou de sensibilisation à la sécurité ont besoin d'être améliorés).

2. Obtenir une vision précoce du profil de risque d'un fournisseur potentiel

La veille sur les menaces peut être utilisée pour se faire une idée des risques qu'un fournisseur potentiel fait peser sur votre environnement. Par exemple, au cours de la phase d'approvisionnement et de sélection d'un fournisseur tiers ou d'une relation avec un fournisseur, l'obtention de renseignements sur les violations de données antérieures, les incidents de sécurité, les problèmes de conformité, les sanctions, etc. peut éclairer les décisions de sélection du fournisseur. Un fournisseur dont le score de sécurité est faible peut ne pas correspondre à la tolérance au risque de votre organisation.

3. Combler les lacunes entre les cycles d'évaluation réguliers

Si votre organisation procède à une évaluation annuelle de la sécurité de ses tiers, les renseignements sur les menaces externes peuvent combler les lacunes entre ces évaluations annuelles, de sorte que vous ne manquiez pas les menaces potentiellement critiques au fur et à mesure qu'elles apparaissent.

4. Effectuer un contrôle de base pour les fournisseurs non critiques

Dans la plupart des organisations, il existe un sous-ensemble de fournisseurs considérés comme critiques, et votre organisation devrait procéder régulièrement à des évaluations complètes de la sécurité de ces fournisseurs. Toutefois, pour les fournisseurs considérés comme non critiques ou de niveau inférieur, il suffit parfois de procéder aux évaluations de base. Un exercice de profilage et de hiérarchisation vous aidera à déterminer comment traiter les fournisseurs selon qu'ils sont essentiels aux opérations de votre entreprise ou qu'ils traitent des données sensibles sur les clients, par exemple.

Bonnes pratiques pour l'optimisation de la veille sur les risques liés aux tiers

Centraliser pour normaliser

Une approche courante consiste à examiner tous les renseignements en silos, mais cela annule les avantages de la collecte de toutes ces informations. Il est préférable de centraliser toutes ces sources d'informations sur les menaces dans un registre unique des risques afin de normaliser et de transformer les données en résultats significatifs. Cette approche permet de quantifier et de contextualiser les risques - comme les correspondances avec divers cadres de sécurité et contrôles de conformité - afin d'aider à hiérarchiser les risques et les activités de remédiation qui en découlent. Cette approche unifiée permet également d'établir une corrélation avec les résultats de l'évaluation. Cela permettra de rationaliser considérablement les initiatives d'examen, d'analyse, de rapport et de réponse en matière de risques.

L'assainissement est essentiel

Comme nous l'avons appris dans l'étude 2023 sur la gestion des risques par les tiers, il existe un écart important entre le nombre d'entreprises qui suivent les risques et celles qui y remédient. La valeur de l'utilisation de l'intelligence du risque dans votre programme de TPRM se résume donc à l'appétit pour le risque et à la remédiation. Si la menace que représente un fournisseur pour votre organisation se traduit par un score de risque élevé, vous devez alors recommander (ou exiger) la mise en œuvre de mesures correctives spécifiques pour pouvoir continuer à faire des affaires avec lui. Vous pouvez également exiger la mise en place de contrôles compensatoires spécifiques. Quelle que soit l'approche retenue, un dialogue bilatéral est essentiel à la réduction des risques.

Prochaines étapes de l'intégration de la veille sur les risques liés aux tiers dans votre programme de gestion des risques liés aux tiers (TPRM)

L'intelligence des risques des tiers deviendra de plus en plus importante pour suivre l'évolution des exigences réglementaires et un paysage de menaces en constante évolution. Pour en savoir plus sur la façon dont l'analyse avancée et l'apprentissage automatique peuvent être appliqués pour identifier les risques imprévus qui se cachent actuellement dans vos chaînes d'approvisionnement, demandez une démonstration dès aujourd'hui.