Principales stratégies d'utilisation des questionnaires sur les risques liés aux fournisseurs pour renforcer la cybersécurité
Note de l'éditeur : cet article, rédigé par Alastair Parr, Senior Vice President, Global Products & Services, a été publié à l'origine dans Cybersecurity Insiders.
Pour les entreprises, la gestion des différents risques liés aux relations avec les tiers est devenue une fonction essentielle de l'organisation et une question de conformité à la loi. Cependant, les organisations sont encore en train de déterminer les aspects les plus essentiels d'un programme efficace de gestion des risques liés aux tiers (TPRM).
L'un des piliers de tout programme réussi est le questionnaire d'évaluation du risque fournisseur, un document créé pour évaluer les risques associés aux fournisseurs et aux partenaires commerciaux - et aux partenaires avec lesquels ils font des affaires.
Pour évaluer les risques liés aux tiers, les organisations doivent en apprendre le plus possible sur leurs partenaires et fournisseurs. Le questionnaire est un moyen de trouver des faiblesses potentielles dans leurs pratiques en matière de sécurité, de protection de la vie privée et de conformité en évaluant les politiques, les contrôles et les preuves à l'appui de ces contrôles.
L'évaluation et l'atténuation des risques commencent par la collecte d'informations. Le questionnaire est la clé qui permet d'obtenir une vue interne et basée sur la confiance de la posture de sécurité d'un fournisseur. Il aide l'organisation à répondre à des questions essentielles, telles que :
- Ce fournisseur dispose-t-il de contrôles de risques acceptables ?
- Ce fournisseur présente-t-il des risques nécessitant des mesures correctives ?
- Existe-t-il des contrôles compensatoires pour les risques identifiés ?
Les questionnaires ne sont peut-être qu'une pièce du puzzle de la gestion des risques liés aux tiers, mais ils constituent un mécanisme extrêmement utile pour obtenir une perspective interne détaillée des risques liés aux tiers.
Choisir le bon questionnaire
La création de questionnaires d'évaluation du TPRM à partir de zéro est une tâche que seules certaines organisations ont le temps, les ressources ou l'expertise nécessaires pour accomplir. C'est pourquoi beaucoup choisissent un modèle standard de l'industrie, par exemple le questionnaire Standard Information Gathering (SIG) ou le questionnaire H-ISAC (s'il s'agit d'une organisation de soins de santé). Ces modèles offrent un bon point de départ, basé sur des cadres établis, et abordent des domaines critiques tels que la sécurité des données, la résilience opérationnelle et la conformité à la loi.
Bien que ces questionnaires varient, nombre d'entre eux comprennent les éléments de base suivants :
- Politiques des fournisseurs en matière de protection des données.
- Respect des normes, des lois et des règlements.
- Gestion de l'accès, confidentialité des informations, réponse aux incidents et autres contrôles de sécurité.
- Mesures de sécurité relatives à l'infrastructure numérique et physique.
Un autre avantage des questionnaires standardisés est que les vendeurs - ceux qui répondront aux questions - sont probablement déjà familiarisés avec ces questions et seront prêts à donner des réponses détaillées. Au lieu de se contenter d'une approche à l'emporte-pièce, souvent associée à l'utilisation de modèles, les organisations devraient adapter ces modèles aux besoins spécifiques de leur entreprise, en les ajustant si nécessaire en fonction de la tolérance au risque, du secteur d'activité et des exigences réglementaires. Cela permet de s'assurer que le questionnaire recueillera des informations pertinentes, précises et opportunes.
Cependant, comme la plupart des choses importantes dans le monde des affaires, les questionnaires qui aident une organisation à évaluer les risques s'accompagnent de leur propre lot de difficultés.
Les questionnaires et leurs défis
Les organisations doivent surmonter une série de difficultés pour que les questionnaires d'évaluation des risques atteignent leur plein potentiel. Les questionnaires, par exemple, peuvent être :
Travail intensif : Remplir un questionnaire peut prendre beaucoup de temps, surtout si l'organisation a de nombreux fournisseurs. La création, la distribution et l'analyse des questionnaires d'évaluation des risques nécessitent des ressources et une expertise spécifiques.
Un instantané, pas un film : Les questionnaires de sécurité offrent un aperçu limité du profil de sécurité d'un fournisseur à un moment donné. Cependant, la nature du risque évolue constamment et de nouvelles vulnérabilités peuvent apparaître après qu'un questionnaire a été rempli et archivé.
Complexité de la chaîne d'approvisionnement : en raison de l'interconnexion des chaînes d'approvisionnement, les entreprises doivent évaluer les risques associés aux fournisseurs tiers et quatrième partie. Le processus de gestion des risques s'en trouve d'autant plus complexe.
Fatigue des vendeurs : Les vendeurs peuvent retarder le moment de remplir ces questionnaires ou ne pas en tenir compte, car ils peuvent être fatigués d'en avoir rempli autant. Cela peut ralentir l'évaluation des risques.
Pour lutter contre cette lassitude, les organisations peuvent rationaliser les questionnaires à l'aide de programmes d'IA qui remplissent automatiquement un nouveau questionnaire en s'inspirant d'un ancien ou en extrayant des détails de sources telles que les rapports SOC2 ou les déclarations d'applicabilité ISO. Adapter les questionnaires au rôle spécifique du vendeur peut également alléger le fardeau et stimuler l'engagement. L'utilisation d'un flux de travail automatisé pour les suivis peut également alléger la charge de travail.
Comment tirer le meilleur parti des questionnaires
Une fois qu'une organisation a relevé les défis et créé un questionnaire solide pour la gestion des risques, il est temps de l'utiliser. Vous trouverez ci-dessous des conseils sur la manière d'en tirer le meilleur parti :
Ne vous contentez pas d'un questionnaire fixe et rigide. Ne tombez pas dans la "paralysie de l'analyse" en essayant de créer un questionnaire parfait. L'approche unique ne suffit pas lorsqu'il s'agit de la nature dynamique du risque. Les informations commencent à être périmées dès qu'un questionnaire est rempli. Il faut donc être conscient que le maintien d'une connaissance et d'une conscience du risque en temps réel nécessite une évaluation continue.
Être prêt à personnaliser. Une organisation doit être en mesure d'importer ou de créer des éléments à examiner au fur et à mesure de l'avancement du processus d'évaluation, ainsi que des options de personnalisation permettant d'ajouter des questions au fur et à mesure de l'identification de besoins plus spécifiques.
Réévaluer régulièrement les tiers. L'évaluation des risques doit être répétée régulièrement, en particulier si certains fournisseurs présentent des risques supplémentaires. La fréquence des réévaluations dépend de l'importance du fournisseur pour vos activités et de la sensibilité des données qu'il traite. Les entreprises peuvent être amenées à réévaluer leurs fournisseurs une fois par an, voire plus souvent dans les secteurs très réglementés, en fonction des exigences de conformité.
Le risque évolue rapidement dans notre monde numérique et connecté, de sorte que la posture de sécurité d'un fournisseur peut facilement changer en fonction des nouvelles vulnérabilités, des incidents ou des changements dans les processus d'entreprise. C'est pourquoi l'automatisation et la surveillance continue sont essentielles pour garder une longueur d'avance sur ces changements.
Prochaines étapes du processus
Un programme solide de gestion des risques liés aux tiers commence par un questionnaire d'évaluation des risques. Ces documents peuvent être associés à une surveillance de la sécurité en temps réel, à des produits automatisés de gestion des risques et à une surveillance continue des fournisseurs afin de gérer et d'atténuer le plus efficacement possible les risques liés aux tiers.
Des outils et des stratégies bien combinés aideront toute organisation à atténuer les risques liés à un vaste écosystème de fournisseurs, garantissant ainsi la sécurité de l'entreprise.
Les meilleures pratiques en matière de TPRM devraient toujours inclure l'utilisation de la surveillance en temps réel pour évaluer en permanence les performances des fournisseurs et valider l'efficacité des contrôles "dans la nature", la réévaluation régulière des fournisseurs pour s'assurer que leurs mesures de sécurité sont toujours efficaces et la personnalisation de votre questionnaire pour refléter les risques uniques que chaque fournisseur apporte.
Cependant, tout programme de TPRM réussi commence par quelque chose de plus simple : le questionnaire d'évaluation des risques.