La résilience de la chaîne d'approvisionnement, c'est la capacité à maintenir vos activités critiques en cas de défaillance, de dégradation ou d'indisponibilité d'un fournisseur. Il s'agit d'une question de continuité plutôt que d'approvisionnement. L'enjeu n'est pas d'évaluer la sécurité d'un fournisseur, mais de savoir ce qui s'arrête en cas de défaillance, combien de temps vous pourriez absorber cette interruption et si vous pourriez raisonnablement vous réorienter.
- Classés selon les conséquences de la perte, et non selon la valeur du contrat ou les dépenses.
- Soucieux autant de la disponibilité et de la substituabilité que de la sécurité.
- Cela s'étend au-delà de vos fournisseurs directs, jusqu'à ceux dont ils dépendent.
- La concentration est le risque le plus insidieux et le plus douloureux.
- Une voie de sortie que vous n'avez jamais testée est une supposition, pas une option.
Qu’est-ce que la résilience de la chaîne d’approvisionnement ?
La plupart des organisations procèdent à une évaluation de leurs fournisseurs. Celle-ci vise généralement à déterminer si un fournisseur prend la sécurité au sérieux, possède les certifications requises et signera les clauses nécessaires. Cette démarche est pertinente et répond à une question différente de celle posée par la résilience.
La résilience s'intéresse aux conséquences. Si ce fournisseur est indisponible pendant une semaine, quelles activités sont impactées, à quelle vitesse, et comment gérez-vous la situation pendant ce temps ? Un fournisseur peut être parfaitement compétent et certifié, et pourtant constituer un point de défaillance unique, car la résilience dépend de votre structure de dépendances et non de son environnement de contrôle.
Ce changement de perspective modifie ce que vous mesurez. Au lieu d'un score de questionnaire, vous cherchez à savoir quelles activités sont sous-jacentes à chaque fournisseur, quel est le délai de reprise pour ces activités et si la solution alternative permet réellement d'y parvenir. Cette vision au niveau des activités découle de votre analyse d'impact sur l'activité , ce qui explique pourquoi le travail effectué avec les fournisseurs indépendamment du travail de continuité d'activité tend à préserver les mauvaises relations.
En quoi cela diffère-t-il de la gestion des risques liés aux tiers ?
Ces deux approches se recoupent et sont toutes deux nécessaires, mais elles soulèvent des questions différentes et produisent des résultats distincts. La gestion des risques liés aux tiers vise principalement à garantir que le fournisseur dispose de contrôles adéquats et que nous pouvons le démontrer. La résilience de la chaîne d'approvisionnement, quant à elle, concerne la continuité : identifier les défaillances, leur rapidité et les mesures de remplacement mises en place.
En pratique, un programme de gestion des risques liés aux tiers bien établi peut coexister avec une chaîne d'approvisionnement fragile. Si tous vos fournisseurs ont été évalués, mais que quatre de vos activités critiques transitent par la même région cloud, votre niveau de sécurité est satisfaisant, mais votre résilience est compromise. À l'inverse, un fournisseur dont le niveau de sécurité est modeste peut présenter un risque de résilience très faible s'il est facilement remplaçable et si aucune activité critique ne dépend de lui.
Si votre besoin immédiat concerne les outils d'assurance, ceux-ci sont traités séparément dans les sections relatives aux logiciels de gestion des risques tiers et aux logiciels de gestion des risques fournisseurs . Si votre périmètre est défini par la réglementation, les obligations des fournisseurs, telles que définies par la norme NIS 2, sont présentées dans la section « Sécurité de la chaîne d'approvisionnement NIS 2 » , ainsi que les clauses qui en découlent, dans la section « Clauses contractuelles attendues » . Cette page traite du mécanisme de résilience qui sous-tend l'ensemble de ces éléments.
Quels sont les fournisseurs qui comptent vraiment ?
La tarification par niveau de service est la méthode par défaut, mais elle est quasiment inadaptée. Les fournisseurs susceptibles de paralyser votre activité sont souvent bon marché : un petit intégrateur, un spécialiste isolé, un fournisseur de données de niche. Privilégiez plutôt une tarification basée sur les conséquences d'une perte, et laissez le système définir le niveau de service selon vos besoins.
| Niveau | Ce dont vous avez besoin | Des preuves qui le démontrent |
|---|---|---|
| Critical Une perte interrompt une activité critique pendant son délai de rétablissement. |
Obligations de continuité et de reprise contractuelles, voie de sortie testée, contacts désignés, exercices conjoints, visibilité de leurs dépendances clés. | Leurs résultats de test de continuité, un compte rendu d'exercice conjoint et votre propre compte rendu de sortie documenté. |
| Important Une perte dégrade une activité, mais une solution de contournement tient bon pendant un certain temps. |
Engagements de continuité, obligations de notification des incidents, et identification d'une solution de rechange même non testée. | Leur champ d’application de certification, les conditions de notification des incidents et votre dispositif alternatif documenté. |
| Standard La perte est gênante et absorbable. |
Des conditions de sécurité de base et un remplaçant pouvant être trouvé normalement. | Évaluation standard enregistrée, mise à jour selon un cycle défini. |
| Embarqué Non pas une relation fournisseur, mais un composant de votre produit. |
Inventaire des composants, surveillance des vulnérabilités, processus de mise à jour maintenu. | Un inventaire à jour des composants et un registre de la manière dont les vulnérabilités sont triées. |
La quatrième ligne est celle que la plupart des registres omettent complètement. Les bibliothèques open source et les composants embarqués ne font l'objet d'aucun contrat ni d'aucun gestionnaire de compte ; ils ne figurent donc jamais dans un registre d'approvisionnement et restent intégrés aux produits sur lesquels reposent vos activités critiques.
Il y a un enjeu plus important derrière tout cela.
Cette page aborde un aspect de la résilience des entreprises. Real Resilience — le cadre d'IO qui relie la sécurité, la confidentialité et la gouvernance de l'IA — offre une vision d'ensemble.
Où se cache le risque de concentration ?
La concentration est un mode de défaillance qu'une évaluation fournisseur par fournisseur ne permet pas de déceler. Chaque relation semble gérée de manière adéquate. Le problème n'apparaît que lorsqu'on les considère dans leur ensemble, et il se manifeste généralement sous l'une des quatre formes suivantes.
| Forme | Comment cela reste caché | Que faire à ce sujet |
|---|---|---|
| Un seul fournisseur, de nombreuses activités | La relation est bien gérée, si bien que personne ne se soucie du nombre d'activités critiques qui en dépendent. | Associez les activités aux fournisseurs plutôt que les fournisseurs aux propriétaires, et comptez les dépendances dans l'autre sens. |
| Sous-processeur partagé | Deux ou trois fournisseurs d'apparence indépendante se trouvent en réalité chez le même prestataire. | Demandez à chaque fournisseur essentiel de qui il dépend et recherchez le nom qui revient le plus souvent dans les réponses. |
| région ou installation unique | La redondance existe sur le papier, mais chaque copie est exposée au même domaine de défaillance. | Confirmez l'emplacement physique des données et du traitement, y compris les sauvegardes et la cible de basculement. |
| Une seule personne ou compétence | Il s'agit d'une question d'approvisionnement, donc elle n'est jamais inscrite au registre des fournisseurs. | Considérez un spécialiste unique comme une dépendance critique et prévoyez explicitement son absence. |
La seconde situation est celle qui cible les organisations compétentes. Faire appel délibérément à deux prestataires pour la redondance n'apporte rien si les deux systèmes reposent sur la même plateforme, et vous ne le constaterez pas dans l'évaluation de l'un ou l'autre fournisseur, car aucun ne se trompe sur ses propres modalités.
Comment renforcer la résilience de la chaîne d'approvisionnement ?
L'ordre des opérations importe plus que l'outillage. La plupart des programmes débutent par une phase d'évaluation, ce qui signifie qu'ils évaluent une liste qui ne reflète jamais les besoins réels de l'entreprise.
Deux de ces points méritent une attention particulière. L'obligation de continuité contractuelle est le seul levier réel dont vous disposez, et elle s'avère bien moins coûteuse lors du renouvellement que pendant un incident. La procédure de sortie est une étape que presque tout le monde documente, mais que personne ne teste. Un plan de sortie non testé part souvent du principe que les données seront restituées dans un format exploitable, que quelqu'un conservera les compétences nécessaires à la réimplémentation et que le délai se mesure en semaines plutôt qu'en trimestres.
Le suivi ne consiste pas à actualiser un questionnaire. Les changements entre les évaluations sont généralement d'ordre structurel : votre fournisseur acquiert un nouveau sous-traitant, consolide un centre de données ou transfère un service sur une plateforme que vous utilisez déjà. Ce sont ces changements qui créent des concentrations de données et qui ne sont pas détectés par un questionnaire de sécurité.
Qu’en est-il des tiers et des composants logiciels ?
Vos fournisseurs ont eux-mêmes des sous-traitants. Pour une dépendance critique, vous devez au moins connaître leurs noms, car une défaillance à deux niveaux de l'échelle vous affectera tout autant qu'une défaillance directe, et vous n'aurez aucun lien contractuel avec eux. Il n'est pas nécessaire de demander un audit complet des sous-traitants, mais plutôt la divulgation des dépendances susceptibles d'interrompre le service dont vous dépendez, ainsi qu'une notification en cas de changement.
Les composants logiciels posent le même problème sous une forme différente. Les applications modernes sont assemblées en grande partie à partir de bibliothèques tierces, et une vulnérabilité ou un projet abandonné dans l'une d'elles constitue un incident de la chaîne d'approvisionnement sans fournisseur impliqué. Une nomenclature logicielle, un inventaire lisible par machine des éléments constitutifs d'un produit, permet de rendre ces éléments visibles. De plus en plus demandée par les clients lors des achats, elle est indispensable pour répondre à la seule question essentielle en cas de vulnérabilité d'un composant : sommes-nous affectés, et si oui, où ?
Pour les organisations qui fournissent des services technologiques à des tiers, cela a un double impact, car elles constituent également une dépendance essentielle pour d'autres. Cette perspective est abordée dans le cadre de la résilience des fournisseurs de services informatiques gérés.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Comment la résilience de la chaîne d'approvisionnement est-elle liée à la résilience de l'entreprise ?
Les fournisseurs constituent la limite entre votre environnement de contrôle et votre exposition. C'est pourquoi la chaîne d'approvisionnement illustre parfaitement pourquoi la résilience doit être gérée comme un système intégré et non constituée d'évaluations distinctes.
Le système Resilience Loop intègre la sécurité de l'information ( ISO 27001) , la protection des données ( ISO 27701) et la gouvernance de l'IA (ISO 42001) au sein d'un système unique et interconnecté. C'est au niveau des fournisseurs que les économies sont les plus évidentes. Un même fournisseur peut être à la fois un acteur de la sécurité, un sous-traitant de données personnelles et, de plus en plus souvent, un fournisseur de composants d'IA, ce qui soulève ses propres questions de responsabilité. Trois évaluations réalisées par trois équipes différentes aboutissent à trois résultats divergents. En revanche, une seule évaluation, basée sur un ensemble de contrôles unique, fournit une réponse qui convient à tous, conformément à l'argumentation développée dans le cadre de résilience des entreprises.
La norme ISO 27001 définit les contrôles des fournisseurs dans son annexe A, couvrant la sécurité des relations fournisseurs, les points que les accords doivent aborder, la chaîne d'approvisionnement TIC en particulier, et le suivi de l'évolution des services des fournisseurs. La norme ISO 22301 ajoute la dimension de continuité, exigeant que les dépendances, y compris les fournisseurs, soient prises en compte dans les plans de reprise d'activité. Ensemble, ces normes couvrent l'assurance et la disponibilité, sujet de cette page. Pour les organisations soumises à des exigences réglementaires de dépendance, le modèle opérationnel est décrit dans la section relative à la résilience opérationnelle.
Comment prouver la résilience des fournisseurs ?
Un registre de questionnaires remplis témoigne de diligence, non de résilience. La réponse à la question plus complexe est plus ciblée et précise : il s’agit d’établir la correspondance entre les activités critiques et les fournisseurs qui les sous-tendent, le niveau attribué à chacun et sa justification, les obligations de continuité effectivement garanties contractuellement, les preuves fournies par chaque fournisseur critique concernant ses propres dispositions, un compte rendu de tout exercice conjoint et la procédure de sortie, avec la date de sa dernière vérification.
L'écart le plus fréquent se situe entre le registre et la réalité : un fournisseur classé comme critique il y a deux ans voit désormais ses services intégrés à une plateforme dont vous dépendez déjà, sans que personne n'ait fait le lien entre ces deux faits. La mise à jour de cette cartographie est essentielle et permet, de manière indirecte, de fournir les éléments de preuve. La démarche générale est décrite dans le document « Comment prouver la résilience » , et le score de résilience sert de référence. Lorsqu'une défaillance de fournisseur interrompt une activité critique, la réponse doit être intégrée à votre plan de continuité d'activité et non consignée dans le dossier fournisseur.
Pourquoi choisir ISMS.online pour la résilience de votre chaîne d'approvisionnement ?
La difficulté ne réside jamais dans l'évaluation d'un seul fournisseur, mais dans la capacité à conserver une vision d'ensemble précise et évolutive. ISMS.online est conçu pour cela.
- Activités associées aux fournisseurs: identifier les activités critiques qui sous-tendent chaque relation et recenser les dépendances dans les deux sens afin de rendre la concentration visible.
- La hiérarchisation qui motive le travail: attribuez un niveau en fonction des conséquences d'une perte et laissez-le définir vos exigences et la fréquence à laquelle vous le réexaminez.
- Une seule évaluation, chaque cadre: évaluer un fournisseur une seule fois par rapport à un ensemble de contrôles cartographiés et le réutiliser dans les normes ISO 22301, ISO 27001, ISO 27701 et ISO 42001.
- suivi des obligations contractuelles: les conditions de continuité, les obligations de notification et les dates de révision sont conservées dans le dossier fournisseur plutôt que dans un dossier contractuel.
- Preuves provenant des fournisseurs conservées dans le contexteLeurs certifications et résultats de tests côtoient les activités qui en dépendent.
- Prêt à changer et à sortir: examiner les déclencheurs, les modalités de sortie et la date de leur dernier examen, afin que le registre reflète la situation actuelle.
- Conçu pour le marché britannique et les marchés réglementés.: conçu pour les organisations qui doivent faire preuve de résilience pour remporter et conserver des contrats.
Découvrez comment tout cela s'articule sur la plateforme de résilience d'entreprise , ou réservez une démonstration.
FAQ
Quelle est la différence entre la résilience et la sécurité de la chaîne d'approvisionnement ?
La sécurité de la chaîne d'approvisionnement concerne la protection adéquate des informations et des systèmes par un fournisseur. La résilience de la chaîne d'approvisionnement, quant à elle, vise à garantir la continuité des activités critiques en cas d'indisponibilité de ce fournisseur. Un fournisseur peut être sécurisé tout en constituant un point de défaillance unique. Ces deux aspects sont importants et impliquent des démarches différentes : la sécurité fournit des preuves de conformité, tandis que la résilience permet d'établir une cartographie des dépendances et de mettre en place des solutions alternatives.
Comment identifier un fournisseur critique ?
Commencez par vos activités critiques plutôt que par votre liste de fournisseurs. Pour chaque activité, identifiez ses dépendances et le délai de rétablissement nécessaire. Un fournisseur est critique si son indisponibilité empêche la réalisation d'une activité dans les délais impartis. Cette approche conduit souvent à classer des fournisseurs à faible valeur ajoutée comme critiques, et d'autres à forte valeur ajoutée comme simplement importants, ce qui explique pourquoi une classification basée sur les dépenses est trompeuse.
Qu’est-ce que le risque de concentration dans une chaîne d’approvisionnement ?
Il s'agit d'une vulnérabilité créée par de multiples dépendances reposant sur un même point de défaillance sous-jacent. Cela peut être un fournisseur unique gérant plusieurs de vos activités critiques, plusieurs fournisseurs utilisant le même sous-processeur ou la même région cloud, ou encore l'ensemble de votre redondance hébergée dans un seul centre de données. Cette vulnérabilité est invisible lors d'une évaluation fournisseur par fournisseur, car aucune relation prise individuellement ne semble problématique. Elle n'est perceptible qu'en considérant l'ensemble des dépendances.
Avons-nous besoin d'une nomenclature logicielle ?
Si vous développez ou distribuez des logiciels, il devient difficile de fonctionner sans un système de suivi des vulnérabilités, car les clients l'exigent lors des achats et parce qu'il vous permet de déterminer si une vulnérabilité récemment divulguée vous affecte. Si vous êtes simplement utilisateur de logiciels, la question équivalente est de savoir si vos fournisseurs peuvent vous renseigner, ce qui est une exigence raisonnable envers un fournisseur critique.
À quelle fréquence faut-il évaluer la résilience des fournisseurs ?
Les fournisseurs critiques doivent faire l'objet d'un examen annuel au minimum, et plus fréquemment en cas de changement structurel : arrivée d'un nouveau sous-traitant, acquisition, consolidation de services, renouvellement de contrat ou perturbation majeure. Les changements structurels sont plus importants que le calendrier, car ils engendrent de nouvelles concentrations. Les fournisseurs de niveau inférieur peuvent bénéficier d'un cycle d'évaluation plus long, à condition que la hiérarchisation elle-même soit réexaminée lorsque vos activités critiques évoluent.
