NERC Security Guideline for the Supply Chain Cyber Security Risk Management Lifecycle (Lignes directrices de la NERC en matière de sécurité pour le cycle de vie de la gestion des risques de sécurité de la chaîne d'approvisionnement)

Prevalent offre les possibilités suivantes pour répondre à cette exigence :

• Une méthodologie de notation à deux axes basée sur la probabilité de compromission et l'impact sur l'organisation, créant une matrice de type carte thermique dans laquelle les risques sont représentés.

• Règles automatisées permettant d'attribuer des notes si la réponse d'un fournisseur à une question d'évaluation n'atteint pas un seuil de risque acceptable, ce qui permet d'intégrer les risques dans la matrice.

• Rapport pour trier les risques en fonction de la note la plus élevée dans la matrice.

• Mesures correctives personnalisées à recommander au fournisseur pour atténuer le risque.

La plateforme Prevalent vous permet d'effectuer des évaluations de profilage et de hiérarchisation afin de suivre et de quantifier les risques inhérents à tous les fournisseurs. À partir de cette évaluation des risques inhérents, votre équipe peut automatiquement classer et hiérarchiser les fournisseurs (y compris identifier ceux qui sont considérés comme critiques), définir des niveaux appropriés de diligence supplémentaire à partir de cette base de référence et déterminer la portée des évaluations continues.

Prevalent vous permet d'automatiser l'évaluation des risques afin d'accroître la visibilité, l'efficacité et la portée de votre programme de gestion des risques de la chaîne d'approvisionnement à chaque étape du cycle de vie des fournisseurs.

La plateforme Prevalent offre une bibliothèque de centaines de modèles d'évaluation standardisés, avec des capacités de personnalisation, un flux de travail intégré et des mesures correctives pour automatiser toutes les étapes, de la collecte et de l'analyse de l'enquête à l'évaluation des risques et à l'établissement de rapports. Veillez à ce que la plateforme d'évaluation choisie comprenne des évaluations spécifiques pour les rapports sur les infrastructures critiques et les meilleures pratiques, telles que le cadre pour l'amélioration de la cybersécurité des infrastructures critiques du National Institute of Standards and Technology (NIST).

Dans le cadre du processus d'évaluation des risques, il convient de suivre et d'analyser en permanence les menaces externes qui pèsent sur les fournisseurs en surveillant l'Internet et le "dark web" à la recherche de menaces et de vulnérabilités sur le site cyber . Les sources de surveillance devraient inclure les forums criminels, les pages en oignon, les forums d'accès spécial du dark web, les flux de menaces, les sites de collage d'informations d'identification divulguées, les communautés de sécurité, les référentiels de code, les bases de données de vulnérabilités et les bases de données d'atteintes à la protection des données.

Une capacité importante à ce stade est de corréler les résultats de la surveillance continue avec les réponses de l'évaluation afin de valider les contrôles. Il n'est pas possible d'y parvenir en utilisant des feuilles de calcul pour l'évaluation des risques ou des outils hétéroclites pour la surveillance de la sécurité sur le site cyber .

La plateforme Prevalent vous permet de recommander des mesures correctives aux fournisseurs sur la base des résultats de l'évaluation des risques, afin de garantir que les fournisseurs traitent les risques en temps voulu et de manière satisfaisante. Elle vous permet également de suivre les mesures correctives jusqu'à leur conclusion avec des responsables définis - au sein de votre organisation et de l'organisation de votre fournisseur.

Grâce à la plateforme Prevalent , vous pouvez procéder à une évaluation de base des risques liés à la passation de marchés au début du processus de passation de marchés, suivie d'une évaluation de base des risques liés à la passation de marchés :

• Profilage, hiérarchisation et notation du risque inhérent de tous les fournisseurs afin de vous permettre de vous concentrer sur les fournisseurs critiques.

• Évaluer et contrôler en permanence les fournisseurs sur la base des résultats de l'évaluation des risques inhérents de base.

• Mesurer le respect des indicateurs clés de performance (KPI) et des indicateurs clés de risque (KRI) contractuels.

• Analyser les risques, prendre des mesures correctives et établir des rapports conformément aux meilleures pratiques du secteur.

Prevalent vous permet d'optimiser votre programme afin de prendre en compte l'ensemble du cycle de vie du risque fournisseur en facilitant sa mise à jour continue :

• Réglementer les politiques, les normes, les systèmes et les processus pour protéger les systèmes

• Rôles et responsabilités de l'organisation (par exemple, RACI)

• Inventaires et criticité des fournisseurs

• Règles et seuils d'évaluation des risques basés sur la tolérance au risque de votre organisation

• Méthodes d'évaluation et de suivi basées sur la criticité des fournisseurs

• Cartographie de la quatrième et de la troisième partie pour comprendre l'écosystème étendu des fournisseurs

• Sources de données de surveillance continue de la sécurité cyber

• Indicateurs clés de performance (KPI) et indicateurs clés de risque (KRI)

• Conformité et exigences de rapports contractuels par rapport aux niveaux de service

• Exigences en matière de réponse aux incidents

• Rapports sur les risques et les parties prenantes internes

• Stratégies d'atténuation des risques et de remédiation