NERC Security Guideline for the Supply Chain Cyber Security Risk Management Lifecycle (Lignes directrices de la NERC en matière de sécurité pour le cycle de vie de la gestion des risques de sécurité de la chaîne d'approvisionnement)

Chapitre 1 : Identifier les risques

Le premier objectif de l'organisation dans le cadre du processus de gestion des risques de sécurité de la chaîne d'approvisionnement cyber est d'identifier les risques pour ses biens OT critiques qui pourraient avoir un impact élevé ou une forte probabilité de compromission, en fonction du fournisseur.

Prevalent offre les possibilités suivantes pour répondre à cette exigence :

• Une méthodologie de notation à deux axes basée sur la probabilité de compromission et l'impact sur l'organisation, créant une matrice de type carte thermique dans laquelle les risques sont représentés.

• Règles automatisées permettant d'attribuer des notes si la réponse d'un fournisseur à une question d'évaluation n'atteint pas un seuil de risque acceptable, ce qui permet d'intégrer les risques dans la matrice.

• Rapport pour trier les risques en fonction de la note la plus élevée dans la matrice.

• Mesures correctives personnalisées à recommander au fournisseur pour atténuer le risque.

La plateforme Prevalent vous permet d'effectuer des évaluations de profilage et de hiérarchisation afin de suivre et de quantifier les risques inhérents à tous les fournisseurs. À partir de cette évaluation des risques inhérents, votre équipe peut automatiquement classer et hiérarchiser les fournisseurs (y compris identifier ceux qui sont considérés comme critiques), définir des niveaux appropriés de diligence supplémentaire à partir de cette base de référence et déterminer la portée des évaluations continues.

Chapitre 2 : Évaluer les risques

Une fois que l'organisation a identifié les risques, elle doit évaluer ses fournisseurs afin de déterminer le degré de risque qu'ils représentent par rapport à chaque risque identifié ; dans la plupart des cas, l'évaluation des fournisseurs sera effectuée au moyen d'un questionnaire.

Prevalent vous permet d'automatiser l'évaluation des risques afin d'accroître la visibilité, l'efficacité et la portée de votre programme de gestion des risques de la chaîne d'approvisionnement à chaque étape du cycle de vie des fournisseurs.

La plateforme Prevalent offre une bibliothèque de centaines de modèles d'évaluation standardisés, avec des capacités de personnalisation, un flux de travail intégré et des mesures correctives pour automatiser toutes les étapes, de la collecte et de l'analyse de l'enquête à l'évaluation des risques et à l'établissement de rapports. Veillez à ce que la plateforme d'évaluation choisie comprenne des évaluations spécifiques pour les rapports sur les infrastructures critiques et les meilleures pratiques, telles que le cadre pour l'amélioration de la cybersécurité des infrastructures critiques du National Institute of Standards and Technology (NIST).

Dans le cadre du processus d'évaluation des risques, il convient de suivre et d'analyser en permanence les menaces externes qui pèsent sur les fournisseurs en surveillant l'Internet et le "dark web" à la recherche de menaces et de vulnérabilités sur le site cyber . Les sources de surveillance devraient inclure les forums criminels, les pages en oignon, les forums d'accès spécial du dark web, les flux de menaces, les sites de collage d'informations d'identification divulguées, les communautés de sécurité, les référentiels de code, les bases de données de vulnérabilités et les bases de données d'atteintes à la protection des données.

Une capacité importante à ce stade est de corréler les résultats de la surveillance continue avec les réponses de l'évaluation afin de valider les contrôles. Il n'est pas possible d'y parvenir en utilisant des feuilles de calcul pour l'évaluation des risques ou des outils hétéroclites pour la surveillance de la sécurité sur le site cyber .

Chapitre 3 : Atténuation des risques

Le chapitre 3 recommande à l'organisation de demander au fournisseur d'atténuer les risques identifiés lors de l'évaluation. L'objectif de l'atténuation des risques devrait être de ramener leur valeur à un niveau acceptable afin de réduire la probabilité et/ou l'impact du risque. Les lignes directrices précisent que cet objectif peut être atteint par le biais d'un appel d'offres ou d'une mise en œuvre contractuelle, mais que les mesures correctives requises constituent également une mise en œuvre post-contractuelle importante. Vous trouverez ci-dessous une sélection de mesures d'atténuation tirées des lignes directrices.

Inclure dans l'appel d'offres un libellé identifiant les risques de sécurité et les mesures d'atténuation que le fournisseur doit prendre pour y faire face.

Prevalent centralise et automatise la distribution, la comparaison et la gestion des demandes de propositions (RFP) et des demandes d'informations (RFI) dans le cadre des décisions de sélection des fournisseurs. Le système garantit que les fournisseurs sont sélectionnés sur la base de mesures de sécurité essentielles ( cyber ).

Inclure dans le contrat des dispositions documentant l'engagement du fournisseur à mettre en œuvre des contrôles de sécurité spécifiques, prévoir la possibilité pour l'organisation d'examiner les progrès réalisés par le fournisseur et définir des méthodes de communication future sur ces questions.

Prevalent vous permet de centraliser la distribution, la discussion, la conservation et la révision des contrats fournisseurs. La gestion des contrats fournisseurs de cette manière garantit que les clauses de sécurité et les mesures d'exécution appropriées sont intégrées dans le contrat.

Définir des mesures correctives spécifiques.

La plateforme Prevalent vous permet de recommander des mesures correctives aux fournisseurs sur la base des résultats de l'évaluation des risques, afin de garantir que les fournisseurs traitent les risques en temps voulu et de manière satisfaisante. Elle vous permet également de suivre les mesures correctives jusqu'à leur conclusion avec des responsables définis - au sein de votre organisation et de l'organisation de votre fournisseur.

Chapitre 4 : Achats et installations

Le chapitre 4 des lignes directrices exige que des mesures d'atténuation des risques de sécurité de la chaîne d'approvisionnement cyber soient envisagées tout au long du cycle de vie d'un produit ou d'un service afin de réduire le niveau de risque qui a été initialement évalué comme étant élevé.

Grâce à la plateforme Prevalent , vous pouvez procéder à une évaluation de base des risques liés à la passation de marchés au début du processus de passation de marchés, suivie d'une évaluation de base des risques liés à la passation de marchés :

• Profilage, hiérarchisation et notation du risque inhérent de tous les fournisseurs afin de vous permettre de vous concentrer sur les fournisseurs critiques.

• Évaluer et contrôler en permanence les fournisseurs sur la base des résultats de l'évaluation des risques inhérents de base.

• Mesurer le respect des indicateurs clés de performance (KPI) et des indicateurs clés de risque (KRI) contractuels.

• Analyser les risques, prendre des mesures correctives et établir des rapports conformément aux meilleures pratiques du secteur.

Chapitre 5 : Mise à jour du plan de gestion des risques

Le chapitre 5 des lignes directrices suggère que le plan de gestion des risques de sécurité de la chaîne d'approvisionnement cyber soit mis à jour au moins une fois par an. Il s'agira d'identifier les nouveaux risques, de réévaluer les fournisseurs et de revoir les mesures d'atténuation en conséquence - les tâches décrites aux chapitres 1 à 3 étant répétées si nécessaire.

Prevalent vous permet d'optimiser votre programme afin de prendre en compte l'ensemble du cycle de vie du risque fournisseur en facilitant sa mise à jour continue :

• Réglementer les politiques, les normes, les systèmes et les processus pour protéger les systèmes

• Rôles et responsabilités de l'organisation (par exemple, RACI)

• Inventaires et criticité des fournisseurs

• Règles et seuils d'évaluation des risques basés sur la tolérance au risque de votre organisation

• Méthodes d'évaluation et de suivi basées sur la criticité des fournisseurs

• Cartographie de la quatrième et de la troisième partie pour comprendre l'écosystème étendu des fournisseurs

• Sources de données de surveillance continue de la sécurité cyber

• Indicateurs clés de performance (KPI) et indicateurs clés de risque (KRI)

• Conformité et exigences de rapports contractuels par rapport aux niveaux de service

• Exigences en matière de réponse aux incidents

• Rapports sur les risques et les parties prenantes internes

• Stratégies d'atténuation des risques et de remédiation