Contrôles contractuels et contrôles réels

Une banque de détail avait conclu un contrat complet avec son partenaire de traitement des paiements, un contrat élaboré par l’équipe juridique avec une contribution importante de la sécurité. Le contrat comportait des exigences de sécurité précises : MFA pour tout accès aux environnements de données de paiement, tests d’intrusion annuels, chiffrement des données en transit et au repos, et notification des incidents sous vingt-quatre heures. Il comportait aussi une clause de droit d’audit permettant à la banque de vérifier le respect de ces exigences. En trois ans de relation, le droit d’audit n’avait jamais été exercé. Le questionnaire de sécurité envoyé chaque année demandait au fournisseur de confirmer le respect des exigences contractuelles, et le fournisseur le confirmait chaque année. Lors d’une enquête sur incident à la suite d’une fraude aux paiements, l’analyse forensique a établi que les ingénieurs du support du fournisseur accédaient à l’environnement de paiement par un ancien chemin VPN qui n’imposait pas l’MFA : l’exigence d’MFA s’appliquait au chemin d’accès principal, et une exception documentée existait pour l’ancien VPN en attendant sa migration. Le contrat exigeait l’MFA. L’exception existait. L’exception était connue de l’équipe de sécurité du fournisseur. Elle avait été confirmée chaque année comme « MFA appliquée » dans le questionnaire, parce que le chemin principal disposait de l’MFA. L’exigence contractuelle n’était pas respectée pour tous les accès. La confirmation du questionnaire était exacte pour le chemin principal. Le droit d’audit n’avait jamais été utilisé pour vérifier la situation complète.

Qu’est-ce que le problème des contrôles contractuels et des contrôles réels, réellement ?

Les exigences de sécurité contractuelles définissent la posture de sécurité qu’un fournisseur doit maintenir comme condition de la relation commerciale. Elles établissent des obligations, définissent des normes et ouvrent des recours juridiques si les normes ne sont pas respectées. Elles ne garantissent pas que les contrôles exigés sont mis en œuvre, fonctionnent efficacement ou sont appliqués de manière cohérente à tous les systèmes et chemins d’accès concernés. L’écart entre l’exigence contractuelle et la mise en œuvre réelle des contrôles correspond à l’espace entre ce que l’organisation a exigé et ce que le fournisseur a livré, un écart invisible sans vérification.

La lacune de vérification est le mécanisme opérationnel qui permet aux écarts par rapport aux exigences contractuelles de perdurer. La plupart des contrats fournisseurs comportent des clauses de droit d’audit qui permettent au client de vérifier le respect des exigences de sécurité contractuelles. La plupart des clients exercent rarement ces droits, voire jamais : d’une part parce que les audits exigent une coordination et des ressources importantes, d’autre part parce que la relation commerciale incite à ne pas paraître hostile, et enfin parce que les confirmations annuelles par questionnaire donnent l’apparence d’une vérification sans l’exiger. Un droit d’audit jamais exercé est une capacité de vérification jamais utilisée.

Le problème de la confirmation par questionnaire est le mécanisme précis par lequel les écarts contractuels restent invisibles. Les questionnaires annuels qui demandent aux fournisseurs de confirmer le respect des exigences contractuelles obtiennent des réponses qui décrivent la compréhension que le fournisseur a de sa propre conformité. Ces réponses peuvent être exactes, inexactes, ou techniquement exactes mais trompeuses : elles confirment le respect de l’exigence énoncée telle qu’elle s’applique au chemin principal, sans divulguer les exceptions, les lacunes des systèmes hérités ou les interprétations restrictives du libellé de l’exigence. Le questionnaire produit une confirmation. Il ne produit pas de vérification.

Droit d’audit jamais exercé : un droit de vérification contractuel disponible mais jamais utilisé
Questionnaire annuel accepté comme vérification : l’auto-confirmation du fournisseur est acceptée comme preuve de conformité
Exceptions non divulguées : les exceptions connues aux exigences contractuelles ne sont pas signalées dans les confirmations annuelles
Écarts d’interprétation des exigences techniques : le fournisseur interprète les exigences de manière restrictive pour couvrir les chemins principaux tout en maintenant des exceptions sur les chemins secondaires
Aucune méthode de vérification des exigences contractuelles : des contrats comportant des exigences, mais aucun processus pour confirmer leur respect opérationnel

Pourquoi c’est important

L’écart entre contrôles contractuels et contrôles réels compte pour la TPRM, car les cadres réglementaires attendent de plus en plus des organisations non seulement qu’elles inscrivent des exigences de sécurité dans les contrats fournisseurs, mais aussi qu’elles puissent démontrer que ces exigences sont respectées. Les lignes directrices de l’OCC sur le risque lié aux tiers précisent que la surveillance continue doit inclure la vérification du respect de leurs obligations contractuelles par les tiers, et pas seulement la confirmation que les contrats contiennent les exigences appropriées. Un programme doté d’exigences contractuelles solides mais dépourvu de mécanisme de vérification a des exigences sans assurance.

La dimension de l’enquête sur incident est tout aussi directe. Lorsqu’une violation survient en raison d’une lacune dans un contrôle qui devait contractuellement être en place, l’enquête cherchera à savoir pourquoi l’exigence contractuelle n’a pas été vérifiée. La clause de droit d’audit du contrat fournit le mécanisme de vérification. Ne pas l’exercer constitue une lacune de gouvernance que les autorités de réglementation de l’organisation comme son propre conseil d’administration relèveront. Le contrat exigeait le contrôle. Le contrôle n’était pas en place. La vérification qui aurait permis de détecter la lacune n’a pas été effectuée.

Là où la plupart des équipes se trompent

La défaillance la plus constante consiste à traiter les exigences contractuelles comme un substitut à la vérification des contrôles. Les exigences précisent ce qui doit être fait. La vérification confirme que cela a été fait. Les deux sont nécessaires. Aucune ne remplace l’autre.

Traiter les exigences contractuelles comme une vérification des contrôles
Droit d’audit jamais exercé pour les exigences contractuelles critiques
Questionnaire annuel considéré comme une vérification plutôt que comme une auto-confirmation
Aucun programme de vérification pour les exigences contractuelles les plus à risque
Divulgation des exceptions non exigée dans les confirmations annuelles

À quoi ressemblent les bonnes pratiques

Les programmes matures de vérification des contrôles contractuels exercent le droit d’audit pour les exigences contractuelles critiques selon un calendrier défini, exigent des fournisseurs qu’ils divulguent les exceptions aux exigences contractuelles et conçoivent les questionnaires annuels pour faire apparaître les écarts plutôt que pour recueillir des confirmations.

Exercer le droit d’audit pour les exigences critiques selon un calendrier défini : non pas comme un simple droit, mais comme un programme
Exiger la divulgation des exceptions : la confirmation annuelle doit inclure la divulgation de toute exception connue aux exigences contractuelles
Vérification technique des exigences les plus à risque : tester les configurations réelles plutôt qu’accepter les réponses aux questionnaires
Clauses contractuelles précisant les obligations de divulgation : non seulement les exigences de conformité, mais aussi la divulgation des exceptions
Programme d’audit des fournisseurs aligné sur le contrat : une méthode de vérification conçue à partir des exigences contractuelles

Outils

Programmes d’audit des fournisseurs : cadres d’audit de l’ISACA, missions SSAE 18 SOC

Les programmes structurés d’audit des fournisseurs fournissent la méthode permettant d’exercer efficacement les clauses de droit d’audit : ils définissent les preuves demandées, les contrôles testés et la manière dont les constats sont évalués. Pour les professionnels TPRM, élaborer un programme d’audit allégé pour les exigences contractuelles critiques apporte la structure de vérification dont les exercices du droit d’audit ont besoin.

Vérification technique : tests d’intrusion, évaluation des configurations, tests des contrôles d’accès

La vérification technique d’exigences contractuelles précises (tests de l’application de l’MFA, vérification de la configuration du chiffrement, tests de la portée des contrôles d’accès) fournit des preuves indépendantes des déclarations du fournisseur. Pour les professionnels TPRM, inclure des tests techniques des exigences contractuelles les plus à risque dans l’exercice du droit d’audit apporte une vérification que les réponses aux questionnaires ne peuvent pas fournir.

Enjeux de gouvernance

En matière de vérification des contrôles contractuels, l’enjeu de gouvernance tient à la tension entre ressources et relation. Exercer le droit d’audit mobilise beaucoup de ressources et peut créer des frictions dans la relation. La réponse en matière de gouvernance consiste à planifier les audits selon le niveau de risque : des exercices complets du droit d’audit pour les fournisseurs de niveau 1 selon un cycle défini, une vérification ciblée de certaines exigences à haut risque pour le niveau 2, et un questionnaire assorti d’une divulgation des exceptions pour les niveaux inférieurs.

Exercer le droit d’audit pour les fournisseurs de niveau 1 selon un cycle défini
Exiger la divulgation des exceptions dans les confirmations annuelles : les écarts connus par rapport aux exigences contractuelles doivent être divulgués
Cibler la vérification sur les exigences contractuelles les plus à risque : MFA, chiffrement, contrôles d’accès
Inclure des tests techniques dans les exercices du droit d’audit pour les exigences critiques
Suivre l’historique des vérifications : quelles exigences ont été vérifiées techniquement, et quand

Si vous êtes une petite équipe

Choisissez les trois exigences de sécurité contractuelles que vous jugez les plus critiques pour votre fournisseur le plus à risque, c’est-à-dire celles dont le non-respect affecterait le plus directement votre exposition au risque. Puis demandez au fournisseur, pour chacune de ces trois exigences : pouvez-vous fournir les preuves techniques confirmant que l’exigence est respectée ? Non pas une confirmation que l’exigence figure dans votre politique, mais les preuves de configuration ou de journalisation montrant qu’elle est techniquement appliquée. Cette demande de preuves est un exercice allégé du droit d’audit qui ne nécessite pas de programme d’audit formel.

Identifier les trois exigences de sécurité contractuelles les plus critiques
Demander des preuves techniques de conformité, et non une confirmation par questionnaire
Exiger la divulgation des exceptions dans le cadre du processus de confirmation annuelle
Planifier un exercice du droit d’audit pour le fournisseur le plus à risque au cours des douze prochains mois

Ce qu’il faut exiger

Demandez directement :

« Pour l’exigence contractuelle selon laquelle [exigence précise, par exemple l’MFA pour tout accès à notre environnement de données], pouvez-vous fournir les preuves de configuration technique confirmant que cette exigence est appliquée, et existe-t-il des exceptions connues ou des chemins hérités où cette exigence n’est pas appliquée actuellement ? »

Preuves attendues

Preuves de configuration technique pour des exigences contractuelles précises
Divulgation des exceptions : écarts connus par rapport aux exigences contractuelles
Évaluation des chemins hérités au regard des exigences contractuelles
Plan de correction pour toute exception divulguée

Un fournisseur qui confirme chaque année respecter les exigences contractuelles doit être invité à fournir des preuves techniques pour les trois exigences les plus critiques et à indiquer s’il existe des exceptions. La confirmation décrit ce que le fournisseur croit. La preuve décrit ce que la configuration impose.

Comment le prouver

Dossiers d’exercice du droit d’audit pour les exigences contractuelles critiques
Preuves techniques recueillies pour les exigences les plus à risque
Dossiers de divulgation des exceptions
Documentation du programme de vérification

À retenir

Le contrat exigeait l’MFA. L’exigence était confirmée chaque année. L’ancien chemin VPN sans MFA a existé pendant deux ans, était connu de l’équipe de sécurité du fournisseur, était documenté comme une exception en attente de migration, et n’a jamais été divulgué dans une confirmation annuelle. La clause de droit d’audit a existé pendant deux ans et n’a jamais été exercée. L’exigence contractuelle précisait la norme. La lacune de vérification a permis que la norme ne soit que partiellement respectée tout en étant confirmée chaque année comme pleinement respectée. Les exigences contractuelles sont des exigences. La vérification est la gouvernance qui confirme qu’elles sont respectées. Exercez le droit d’audit. Exigez la divulgation des exceptions. Testez techniquement ce qui compte le plus. Le contrat est la spécification. La vérification est la confirmation.