Le programme de TPRM d’une entreprise industrielle menait des évaluations approfondies lors de l’intégration des fournisseurs : questionnaires de sécurité complets, examen des preuves et notation des risques aboutissant à une désignation de confiance formelle pour chaque fournisseur. Les fournisseurs qui obtenaient un score d’intégration satisfaisant étaient classés comme « fournisseurs de confiance », avec des autorisations d’accès calibrées selon cette désignation. La fréquence de réévaluation des fournisseurs de confiance était annuelle : une mise à jour du questionnaire et une actualisation du score de risque fondée sur les nouvelles réponses. En pratique, la réévaluation annuelle était un questionnaire qui posait pour l’essentiel les mêmes questions que l’évaluation d’intégration et confirmait principalement que rien n’avait changé. Sur une période de trois ans, l’un des fournisseurs critiques d’intégration ERP de l’entreprise a connu les changements suivants : il a été racheté par un fonds de capital-investissement qui a remplacé ses responsables de la sécurité, a regroupé ses opérations de sécurité avec celles d’une autre société du portefeuille, a migré son environnement de développement d’un fournisseur cloud géré vers un environnement Kubernetes auto-hébergé, a recruté quarante-sept nouveaux développeurs dont l’intégration en matière de sécurité a été réalisée de façon inégale pendant une période de croissance rapide, et a subi un incident de sécurité important qu’il a corrigé mais n’a pas déclaré à ses clients, faute d’avoir atteint le seuil de notification contractuel. Aucun de ces changements n’avait déclenché d’évaluation intermédiaire. Le questionnaire annuel avait confirmé chaque année que le fournisseur restait un « fournisseur de confiance », parce que ses réponses n’avaient pas changé de manière significative : elles décrivaient l’état prévu de son programme de sécurité, resté constant alors même que l’état mis en œuvre s’en écartait.
Que sont réellement les hypothèses de confiance en matière d’identité ?
Les hypothèses de confiance en matière d’identité sont les convictions implicites sur la posture de sécurité et la fiabilité des systèmes d’identité et des pratiques d’accès des fournisseurs, qui sous-tendent les octrois d’accès, les contrôles d’accès et les configurations de surveillance appliqués aux relations avec les fournisseurs. Ces hypothèses sont généralement établies lors de l’intégration du fournisseur, au moyen de questionnaires de sécurité, de l’examen de preuves et d’une évaluation des risques, et sont maintenues par des processus de réévaluation périodique qui ne sont pas toujours conçus pour détecter les changements de la posture de sécurité réelle du fournisseur.
Le problème de la confiance ponctuelle est la limite structurelle. Les évaluations de sécurité établissent la confiance sur la base de preuves de la posture de sécurité du fournisseur au moment de l’évaluation. La posture de sécurité réelle du fournisseur évolue en permanence, au gré des changements de personnel, des changements technologiques, des changements organisationnels et des incidents de sécurité. Une confiance correctement établie lors de l’intégration peut ne plus refléter fidèlement la posture actuelle du fournisseur si des changements importants sont survenus depuis l’évaluation. Les réévaluations annuelles par questionnaire, qui confirment principalement l’absence de changement, servent mieux à maintenir des désignations de confiance ponctuelles qu’à détecter les changements qui justifieraient de les réviser.
L’écart entre l’état déclaré et l’état réel est le mécanisme précis par lequel les hypothèses de confiance perdurent malgré une réalité qui change. Les questionnaires de sécurité des fournisseurs portent sur l’état prévu et conçu des programmes de sécurité, c’est-à-dire les contrôles qui existent en tant que politique et conception, et pas nécessairement les contrôles tels qu’ils sont mis en œuvre et actuellement opérationnels. Un fournisseur dont la conception du programme de sécurité est restée constante, mais dont la qualité de mise en œuvre s’est dégradée sous l’effet d’une croissance rapide, d’un changement de direction ou de la pression opérationnelle, produira des réponses au questionnaire qui décrivent fidèlement la conception inchangée de son programme sans refléter fidèlement la qualité dégradée de sa mise en œuvre. Le questionnaire annuel réaffirme la conception du programme. La dérive de la mise en œuvre lui reste invisible.
- Confiance établie lors de l’intégration et présumée en continu : aucun mécanisme de détection des changements de posture de sécurité entre les évaluations
- Questionnaire annuel confirmant l’état prévu : la réévaluation fondée sur les questionnaires ne détecte pas la dérive de la mise en œuvre
- Événements déclencheurs non reliés à la réévaluation : acquisition, changement à la direction et incidents importants ne déclenchent pas d’évaluation intermédiaire
- Signaux de confiance continus non surveillés : signaux externes de posture de sécurité non intégrés à l’évaluation de la confiance entre les évaluations
- Désignation de confiance non calibrée selon l’ancienneté de la relation : les relations plus anciennes, aux hypothèses de confiance plus nombreuses, ne font pas l’objet d’un examen renforcé
Pourquoi c’est important
Les hypothèses de confiance en matière d’identité sont importantes pour la TPRM parce que les contrôles d’accès, les configurations de surveillance et les mesures d’atténuation des risques appliqués aux accès d’identité des fournisseurs sont calibrés selon le niveau de confiance évalué du fournisseur. Lorsque la posture de sécurité réelle du fournisseur est tombée sous ce niveau de confiance évalué, à la suite de l’un des changements que la réévaluation périodique par questionnaire peut ne pas détecter, les contrôles d’accès sont mal calibrés. L’accès d’identité du fournisseur à l’environnement client repose sur les hypothèses de confiance de l’évaluation d’intégration, alors que la posture de sécurité réelle des systèmes d’identité du fournisseur a changé.
La dimension des incidents non déclarés est le changement le plus lourd de conséquences que les hypothèses de confiance risquent de ne pas saisir. Les fournisseurs qui subissent des incidents de sécurité sous le seuil de notification contractuel (violations qui ne remplissaient pas les critères d’importance définis, incidents maîtrisés avant d’atteindre les exigences de déclaration, ou incidents dont l’évaluation de l’impact par le fournisseur n’a pas déclenché l’obligation de notification) peuvent ne pas les déclarer à leurs clients. L’hypothèse de confiance du client, calibrée pour un fournisseur qui n’avait pas subi d’incident de sécurité important, perdure alors que la posture réelle est celle d’un fournisseur qui en a subi un.
Là où la plupart des équipes se trompent
L’échec le plus constant consiste à considérer la désignation de confiance comme le reflet de la posture actuelle plutôt que comme une étiquette issue d’une évaluation passée. Les désignations de confiance établissent un niveau de confiance approprié au moment de l’évaluation. Elles décrivent la posture du fournisseur à ce moment-là. Ce sont des hypothèses sur la posture actuelle qui doivent être validées en continu plutôt que présumées en continu.
- Considérer la désignation de confiance comme le reflet de la posture actuelle plutôt que de la posture passée
- Aucune réévaluation déclenchée par des événements : les changements importants chez les fournisseurs ne déclenchent pas d’évaluation intermédiaire
- Signaux de confiance continus non intégrés : renseignements externes sur la posture non utilisés entre les évaluations
- Questionnaire confirmant l’état prévu sans tester la mise en œuvre
- Aucun modèle d’érosion de la confiance : la confiance ne diminue pas avec le temps en l’absence de validation
À quoi ressemblent les bonnes pratiques
Les programmes matures de gestion de la confiance complètent la réévaluation périodique par questionnaire par une surveillance continue des signaux de confiance, des évaluations intermédiaires déclenchées par les changements importants chez les fournisseurs et un modèle d’érosion de la confiance qui renforce l’examen des relations dont les évaluations vieillissent.
- Surveillance externe continue de la posture de sécurité : BitSight, SecurityScorecard ou solution similaire fournissant des signaux de confiance continus entre les évaluations
- Réévaluation déclenchée par des événements : acquisition, changement important à la direction, migration vers le cloud et incidents déclarés déclenchant une évaluation intermédiaire
- Modèle d’érosion de la confiance : niveau de confiance évalué qui diminue avec le temps en l’absence de validation, déclenchant un examen renforcé pour les évaluations vieillissantes
- Tests de mise en œuvre : validation technique des contrôles mis en œuvre, en complément de la documentation du programme fondée sur les questionnaires
- Détection des incidents non déclarés : surveillance des signaux externes d’incidents de sécurité qui n’auraient pas été signalés
Outils
Notations de sécurité continues : BitSight, SecurityScorecard, RiskRecon
Les plateformes de notation de la sécurité fournissent une évaluation externe continue de la posture de sécurité des fournisseurs, en surveillant les signaux de santé de la sécurité observables publiquement, notamment les vulnérabilités ouvertes, les services exposés, l’hygiène des certificats et les renseignements sur les violations. Ces plateformes fournissent, entre les cycles d’évaluation formels, des signaux de confiance capables de détecter une dégradation de la posture que les réponses aux questionnaires ne reflètent pas. Pour les praticiens de la TPRM, intégrer des notations de sécurité continues en complément de la réévaluation périodique par questionnaire apporte la validation continue de la confiance que les évaluations ponctuelles ne peuvent pas offrir.
Renseignement sur les risques fournisseurs : Interos, ProcessUnity
Les plateformes de renseignement sur les risques fournisseurs surveillent les changements organisationnels des fournisseurs (acquisitions, changements à la direction, signaux de santé financière et mesures réglementaires) qui peuvent indiquer des changements importants de la posture de sécurité justifiant une évaluation intermédiaire. Pour les praticiens de la TPRM, demander si la surveillance continue des renseignements sur les fournisseurs déclenche des évaluations intermédiaires constitue une question précise sur la capacité de réévaluation déclenchée par des événements.
Enjeux de gouvernance
Le défi de gouvernance des hypothèses de confiance en matière d’identité est le problème d’échelle. Une surveillance continue complète et une réévaluation déclenchée par des événements pour chaque relation fournisseur exigeraient des ressources qu’aucun programme de TPRM ne peut soutenir à grande échelle. La solution de gouvernance est une gestion de la confiance différenciée selon le risque : appliquer la surveillance continue la plus rigoureuse et les déclencheurs de réévaluation aux seuils les plus bas aux relations les plus à risque, tout en gérant les relations à moindre risque selon la fréquence d’évaluation périodique standard.
- Mettre en place une surveillance continue des notations de sécurité pour les relations fournisseurs les plus à risque
- Définir des critères de réévaluation déclenchée par des événements : acquisition, changement à la direction, incident déclaré
- Appliquer un modèle d’érosion de la confiance : renforcer l’examen lors des réévaluations pour les relations dont les évaluations vieillissent
- Tester la mise en œuvre, et pas seulement la documentation du programme : validation technique en complément du questionnaire
- Surveiller les signaux d’incidents non déclarés : renseignements externes de sécurité sur les indices de violation chez les fournisseurs
Si vous êtes une petite équipe
Choisissez vos cinq relations fournisseurs les plus à risque et effectuez trois vérifications qu’une réévaluation déclenchée par des événements aurait permis de faire. Premièrement : l’un de ces fournisseurs a-t-il été racheté ou a-t-il connu des changements importants à sa direction au cours des deux dernières années ? Deuxièmement : l’un d’eux présente-t-il des notations de sécurité en dégradation dans les outils de surveillance continue ? Troisièmement : existe-t-il, pour l’un de ces fournisseurs, des indices externes de violation (articles de presse, mentions sur le dark web, publications de chercheurs en sécurité) au cours des douze derniers mois ? Pour tout fournisseur pour lequel la réponse à l’une de ces questions est oui, lancez une évaluation intermédiaire. Le questionnaire annuel ne les aura pas détectés.
- Vérifier les acquisitions et les changements à la direction des deux dernières années pour les fournisseurs les plus à risque
- Vérifier les notations de sécurité pour repérer une dégradation de la posture depuis la dernière évaluation
- Rechercher des indices externes de violation pour les fournisseurs les plus à risque
- Définir des critères de réévaluation déclenchée par des événements et mettre en place une surveillance
Ce qu’il faut exiger
Demandez directement :
« Y a-t-il eu au cours des douze derniers mois des changements organisationnels importants (acquisition, changements à la direction des fonctions sécurité ou technologie, migrations d’infrastructure importantes) qui justifieraient une réévaluation de votre posture de sécurité au-delà de votre réponse standard au questionnaire annuel ? »
« Avez-vous subi des incidents de sécurité au cours des douze derniers mois, y compris des incidents qui n’atteignaient pas le seuil de notification prévu dans notre contrat, et si oui, quelle était la nature de l’incident et quelles mesures correctives ont été prises ? »
Preuves attendues
- Déclaration des changements organisationnels : acquisitions, changements à la direction, migrations d’infrastructure
- Déclaration des incidents de sécurité, y compris ceux situés sous le seuil
- Données de surveillance continue de la posture de sécurité
- Preuves de mise en œuvre au-delà de la documentation du programme
Il convient de demander précisément à un fournisseur qui confirme que sa désignation de confiance est à jour sur la base du dernier questionnaire annuel ce qui a changé dans son organisation depuis la dernière évaluation sans apparaître dans la réponse au questionnaire. Le questionnaire confirme le programme. Les changements décrivent la posture. Les deux doivent être déclarés.
Comment le prouver
- Registres de surveillance continue de la sécurité pour les fournisseurs les plus à risque
- Registres des réévaluations déclenchées par des événements
- Registres de surveillance des changements organisationnels et des réponses apportées
- Documentation du modèle d’érosion de la confiance
À retenir
La confiance établie lors de l’intégration est une confiance à un instant donné. La confiance présumée en continu correspond à l’absence de preuve que la posture a changé, et non à la preuve qu’elle n’a pas changé. Le fournisseur jugé digne de confiance lors de l’intégration, et considéré comme tel depuis grâce à la confirmation par questionnaire annuel, peut avoir été racheté, avoir perdu ses responsables de la sécurité, avoir migré son infrastructure, avoir agrandi son équipe de développement sans investissement équivalent dans la sécurité et avoir subi un incident sous le seuil de notification, sans qu’aucune réévaluation ne soit déclenchée. La désignation de confiance est à jour. La posture ne l’est pas. Les architectures d’identité zéro confiance exigent une vérification continue plutôt qu’une confiance présumée. La TPRM exige que le même principe s’applique à la confiance envers les fournisseurs : une confiance validée en continu plutôt que présumée périodiquement. La confiance a été gagnée une fois. Elle doit être entretenue en continu pour rester valable.