Toyota interrompt sa production : Six étapes pour renforcer la cybersécurité de la chaîne d'approvisionnement

Le 28 février 2022, Toyota a annoncé que l'entreprise suspendait les opérations sur les 28 lignes de production de 14 usines de fabrication au Japon pendant une journée en raison d'une défaillance du système chez un fournisseur, Kojima Industries. D'autres partenaires de Toyota, dont Hino Motors et Daihatsu Motor, ont également été touchés par cet arrêt. La cause de la défaillance du système chez Kojima semble être une cyberattaque qui a empêché les communications avec Toyota et les systèmes de surveillance de la production. Le 1er mars, Toyota a annoncé qu'elle reprenait ses activités pour la première équipe de production seulement à partir du 2 mars.

Cet incident est un exemple clair du risque encouru lorsqu'un fournisseur essentiel est incapable de livrer, et il démontre l'effet domino des conséquences négatives tout au long de la chaîne d'approvisionnement. L'arrêt de la production pendant une journée (et la réduction du nombre d'équipes pendant des jours supplémentaires) pourrait faire manquer les objectifs de production, les revenus et les bénéfices attendus par Toyota, sans parler de la perte de confiance des clients.

Six étapes pour renforcer la sécurité de la chaîne d'approvisionnement

La réalité de la sécurité de la chaîne d'approvisionnement est que, bien que votre organisation ne soit pas responsable de la sécurité des fournisseurs, elle assume une partie du risque. Alors, comment les fabricants et autres organisations peuvent-ils atténuer les risques de défaillance de la chaîne d'approvisionnement liés à cyber? Considérez les six étapes suivantes.

1. Améliorer les évaluations de la cybersécurité lors de la sélection des fournisseurs et de la vérification préalable des contrats.

La réalisation d'un contrôle préalable au contrat permet de s'assurer qu'un nouveau fournisseur n'introduit pas de risques inacceptables dans votre environnement. Le processus implique la réalisation d'évaluations des pratiques du fournisseur en matière de sécurité de l'information, de sécurité opérationnelle et de résilience de l'entreprise. Et bien que cet incident particulier soit lié à cyber, les organisations devraient étendre leurs efforts de diligence raisonnable pré-contractuelle pour inclure également des évaluations de la position financière et de la réputation d'un fournisseur. Par exemple, si un fournisseur a des nouvelles négatives concernant ses produits, ou a montré des performances financières irrégulières, il peut être incapable de s'adapter rapidement à l'évolution des demandes de production ou pourrait sous-financer la sécurité. Ces informations alimentent les calculs de risque inhérent qui aident à déterminer les domaines nécessitant une évaluation plus approfondie.

Afin d'améliorer la diligence raisonnable avant contrat, de nombreuses entreprises choisissent d'exploiter des bibliothèques d'évaluations de risques fournisseurs déjà réalisées sur cyber . Il suffit de télécharger une évaluation terminée pour obtenir la visibilité nécessaire sur les risques d'un fournisseur potentiel, plus rapidement qu'en procédant vous-même à une évaluation complète.

2. Établir des niveaux de service exécutoires dans les contrats

Pour réduire efficacement les risques liés aux fournisseurs, il faut comprendre comment ils se comportent par rapport aux attentes, et cela commence par l'établissement de niveaux de service exécutoires pendant la phase contractuelle. Les niveaux de service mesurables peuvent inclure le temps de fonctionnement, le temps moyen de détection (MTTD) de la raison d'une panne et le temps moyen de reprise (MTTR) des opérations après une panne. La phase contractuelle est également le bon moment pour inclure des clauses clés garantissant le basculement et la sauvegarde du système, notamment parce qu'il n'est pas facile de simplement "éteindre" un fournisseur et de le remplacer par un autre. Enfin, la gestion centralisée des indicateurs clés de performance (ICP) et des indicateurs clés de risque (ICR) apporte une visibilité à l'échelle de l'entreprise sur les performances des fournisseurs.

Avec de nombreuses parties internes et externes impliquées dans la négociation des contrats, le processus peut rapidement devenir incontrôlable. Pour remédier à ce problème, de nombreuses entreprises se standardisent sur des produits de gestion du cycle de vie des contrats qui fournissent des vues spécifiques aux rôles pour suivre les attributs de performance clés, permettent le contrôle des versions et les discussions intégrées, ainsi que le flux de travail pour faire passer les contrats plus efficacement par la phase de révision et d'approbation.

3. Évaluer les fournisseurs par rapport aux contrôles de cybersécurité de la chaîne d'approvisionnement standard de l'industrie

La diligence raisonnable pré-contractuelle apportera la visibilité nécessaire aux risques inhérents qu'un nouveau fournisseur introduit dans votre environnement, mais les évaluations des risques ne s'arrêtent pas à l'étape de l'embarquement. Heureusement, il existe plusieurs cadres sectoriels qui rendent le processus d'évaluation détaillée des contrôles beaucoup plus normalisé qu'en utilisant des feuilles de calcul. Par exemple, les normes NIST 800-61 et ISO 27036 comportent des séries de questions spécifiques conçues pour évaluer les contrôles de sécurité des fournisseurs.

Lesplateformes tierces de gestion des risques automatisent la collecte des réponses aux questionnaires des fournisseurs ainsi que l'attribution et le suivi des risques. Elles intègrent également des recommandations de remédiation pour ramener ces risques à un niveau acceptable. Lorsque les fournisseurs sont "trop gros pour faire faillite", vous pouvez vous tourner vers des fournisseurs experts pour effectuer la collecte et l'analyse de l'évaluation et de la diligence raisonnable. services manages pour qu'ils effectuent la collecte et l'analyse de l'évaluation de la diligence raisonnable en votre nom, permettant ainsi à votre équipe de se concentrer sur les mesures correctives.