Quel est le point commun entre Marks & Spencer et Jaguar Land Rover (JLR) ? Toutes deux ont subi d’importantes attaques de ransomware cette année, après que des cybercriminels ont ciblé des fournisseurs. Dans le cas de M&S, il semblerait que ce soit l’ordinateur portable d’un sous-traitant de Tata qui ait été compromis. Quant à JLR, c’est un voleur de données qui a ciblé un employé de LG Electronics ayant accès au réseau du constructeur automobile.
Ces deux études soulignent la menace croissante que représentent pour les organisations des dépendances souvent opaques et fragiles à l'égard des chaînes d'approvisionnement. Ce défi ne fera sans doute que s'intensifier à mesure qu'une nouvelle guerre commerciale mondiale forcera les entreprises à restructurer rapidement leurs chaînes d'approvisionnement, avec peu de temps pour sélectionner de nouveaux partenaires. Comme le révèlent de nouvelles études, il reste encore beaucoup à faire.
Un problème en deux parties
D’après le Forum économique mondial (WEF), plus de la moitié (54 %) des organisations internationales considèrent les difficultés liées à la chaîne d’approvisionnement comme leur principal obstacle à la cybersécurité. « La complexité croissante des chaînes d’approvisionnement, conjuguée à un manque de visibilité et de contrôle sur les niveaux de sécurité des fournisseurs, est devenue le principal risque en matière de cybersécurité pour les organisations », indique le rapport.
Le défi de la sécurité de la chaîne d’approvisionnement se présente en deux parties :
- Logiciels introduisant des logiciels malveillants ou des vulnérabilités dans des environnements sécurisés. Les composants open source sont particulièrement coupables, car ils sont souvent mal documentés, ce qui compromet la sécurité. des incidents comme Log4Shell. Mais ils ne constituent pas le seul risque. Les logiciels propriétaires comme DÉPLACER et GoAnywhere a également été la cible d'exploits zero-day dans le passé, pour des campagnes de vol de données et d'extorsion à grande échelle, impactant des millions de clients en aval.
- Un partenaire de la chaîne d'approvisionnement compromis – tel qu'un MSP, un fournisseur SaaS ou une société de services professionnels – pourrait engendrer des risques de sécurité importants. Les pirates pourraient accéder directement aux données d'une organisation, si elles sont stockées par le partenaire, ou obtenir des identifiants de connexion au réseau/aux comptes cloud de l'organisation via le fournisseur. Ils pourraient également cibler les fournisseurs avec des rançongiciels, ce qui pourrait avoir un impact dévastateur sur l'ensemble de la chaîne d'approvisionnement, selon le rapport. Attaque du NHS Synnovis.
Malheureusement, deux rapports récemment publiés mettent en lumière les difficultés persistantes liées à la gestion des risques dans la chaîne d'approvisionnement. Une étude de LevelBlue révèle que, parmi les organisations qui déclarent avoir une « très faible visibilité » sur leur chaîne d'approvisionnement logicielle, 80 % ont subi une faille de sécurité au cours des 12 derniers mois. Ce chiffre contraste avec les 6 % seulement qui affirment avoir une « très haute visibilité ».
Par ailleurs, Risk Ledger indique que près de la moitié (46 %) des entreprises britanniques ont subi au moins deux incidents de cybersécurité dans leur chaîne d'approvisionnement au cours de l'année écoulée. Son rapport révèle également que 90 % des répondants considèrent les cyberincidents liés à la chaîne d'approvisionnement comme une préoccupation majeure pour 2025, et que seulement deux cinquièmes (37 %) qualifient leur gestion des risques liés aux tiers de « très efficace ».
Les régulateurs veulent des mesures
Selon LevelBlue, les PDG sont généralement plus préoccupés par les risques liés à la chaîne d'approvisionnement que leurs homologues de la haute direction. 40 % d'entre eux les citent comme le principal risque de sécurité de l'organisation, contre un nombre bien inférieur de DSI (29 %) et de DTO (27 %). Cela entraînera vraisemblablement une pression accrue de la part des supérieurs hiérarchiques sur les RSSI et leurs équipes. Or, en réalité, ils sont déjà soumis à une pression extrême pour se conformer à une nouvelle série de réglementations ciblant les risques liés aux fournisseurs. Parmi celles-ci :
DORA : Entre autres, la loi DORA impose aux établissements financiers de gérer les risques liés aux fournisseurs informatiques tiers comme partie intégrante de leur gestion globale des risques informatiques, sous la supervision du conseil d’administration. Ils doivent également tenir un registre détaillé et à jour de tous les contrats conclus avec ces fournisseurs et mener une vérification préalable approfondie des nouveaux fournisseurs.
NIS 2 : Exige que toutes les organisations concernées mettent en place des politiques de gestion des risques liés à la chaîne d’approvisionnement et évaluent les vulnérabilités propres à chaque fournisseur direct et prestataire de services. Les directeurs et cadres supérieurs sont directement responsables de la supervision de ces politiques.
Projet de loi sur la cybersécurité et la résilience : La mise à jour britannique du NIS exigera notamment que les organismes réglementés évaluent et renforcent leurs relations avec leurs fournisseurs, mettent en œuvre une gestion robuste des risques liés aux tiers et inscrivent les exigences de sécurité dans les contrats.
Passer à l'action
Theresa Lanowitz, évangéliste en chef de LevelBlue, soutient que, lorsqu'il s'agit de la chaîne d'approvisionnement logicielle, la visibilité doit être prioritaire - « en particulier à mesure que les chaînes d'approvisionnement augmentent en taille et en complexité et que les organisations adoptent davantage de solutions basées sur l'IA ».
Elle explique à ISMS.online : « Les RSSI doivent se concentrer sur quatre actions clés : mobiliser la direction pour sécuriser les ressources, s'aligner en interne pour identifier les principales vulnérabilités, investir dans des mesures de sécurité proactives et évaluer régulièrement les pratiques de cybersécurité des fournisseurs. Cette approche équilibrée et proactive renforcera la visibilité, la préparation et la responsabilisation tout au long de la chaîne d'approvisionnement. »
Justin Kuruvilla, stratège en chef de la cybersécurité chez Risk Ledger, explique à ISMS.online que les organisations doivent adopter une mentalité de « présomption de violation » et concevoir leur infrastructure de sécurité de manière à contenir et limiter toute activité malveillante.
Il est donc essentiel d'obtenir une visibilité sur les relations avec les tiers, les quatrièmes et même les nièmes parties. Cette vision plus large permet aux responsables de la sécurité de mieux comprendre leur exposition et de prioriser les mesures d'atténuation là où elles sont les plus importantes.
Kuruvilla soutient que les chaînes d’approvisionnement en logiciels nécessitent un examen particulier, étant donné l’impact potentiel des vulnérabilités dans le code largement utilisé.
« Les organisations doivent s'attendre à ce que leurs fournisseurs adoptent des pratiques de développement sécurisées conformes aux référentiels reconnus par le secteur », ajoute-t-il. « Le degré de diligence raisonnable peut varier en fonction de la criticité du fournisseur et de l'appétence au risque de l'organisation. Cependant, il doit inclure des éléments de développement logiciel sécurisé, tels que les pratiques CI/CD, la gestion des vulnérabilités et la fourniture d'une nomenclature logicielle (SBoM). »
Comment ISO 27001 peut vous aider
Lanowitz de LevelBlue soutient que les normes de bonnes pratiques comme ISO 27001 peuvent fournir une base utile sur laquelle construire une meilleure sécurité de la chaîne d'approvisionnement.
« Alors que les organisations sont confrontées à une visibilité fragmentée des risques et à des pratiques incohérentes, la norme ISO 27001 peut contribuer à unifier et à simplifier les efforts de conformité entre les régions et les secteurs. Grâce à cette norme, les RSSI peuvent adopter une approche structurée de la gestion des risques et de l'amélioration continue », ajoute-t-elle.
« Étant donné que de nombreuses réglementations partagent les mêmes bonnes pratiques fondamentales – notamment l’évaluation des risques, le contrôle d’accès, la vérification des fournisseurs et la planification des interventions en cas d’incident – la mise en œuvre de la norme ISO 27001 peut également réduire la redondance de conformité. »
Kuruvilla de Risk Ledger est d'accord, même s'il met en garde contre la conformité par « cases à cocher ».
Au lieu de cela, les organisations qui privilégient une approche robuste et basée sur les risques pour gérer les cyber-risques parviennent généralement à se conformer comme un résultat naturel, conclut-il.
