Comment les entreprises peuvent-elles renforcer leur résilience et gérer les risques lorsqu'une seule faiblesse chez un fournisseur peut entraîner une perturbation opérationnelle généralisée ?
En janvier, le géant américain des télécommunications Verizon a subi une panne massive touchant des millions d'utilisateurs. Décrite La société de surveillance Internet Cisco ThousandEyes la considère comme l'une des plus importantes interruptions de connectivité importantes Récemment, cet incident a été répandu, grave et persistant, laissant certains téléphones portables en mode SOS.
Verizon a rapidement confirmé que la panne n'était pas due à une cyberattaque, attribuant plutôt l'incident à un «problème logicielCela devrait devenir un problème croissant à mesure que les réseaux de télécommunications deviennent de plus en plus interconnectés et virtualisés.
Dans le cas de Verizon, l'impact a été considérable, affectant sa réputation et entraînant une baisse de ses ventes. prix de l'actionL’opérateur mobile a rapidement tenté d’atténuer le choc en promettant un remboursement de 20 dollars aux utilisateurs.
Cela survient à un moment où les pannes ont un impact en cascade sur toute la chaîne d'approvisionnement. Panne de CrowdStrike L'incident de 2024 n'est qu'un exemple. D'autres incidents plus récents sont liés à des problèmes chez des fournisseurs d'infrastructures tels que… Amazon Web Services et Cloudflare.
Face à la faiblesse d'un seul fournisseur susceptible de provoquer des perturbations opérationnelles généralisées, les entreprises doivent désormais réexaminer leur approche de la résilience et de la gestion des risques.
Risque évolutif
Des technologies comme la 5G changent la donne pour les entreprises de télécommunications. virtualisation du réseau jouant un rôle clé. Mais cela signifie que les entreprises dépendent de plus en plus de vastes écosystèmes de fournisseurs, de services cloud, d'éditeurs de logiciels et de partenaires d'infrastructure gérée.
Les réseaux de télécommunications sont devenus « nettement plus complexes » au cours de la dernière décennie, ce qui fait des pannes « un risque bien réel », explique Mike Hellers, responsable du développement produit chez London Internet Exchange. « Chaque dépendance supplémentaire crée un nouveau point de défaillance potentiel, ce qui signifie que les pannes sont de plus en plus souvent dues à des problèmes qui échappent au contrôle direct de l’opérateur télécom », précise-t-il.
Au-delà de simples défaillances techniques, les pannes deviennent désormais le reflet de défaillances de la gouvernance de l'écosystème. Or, en fin de compte, l'impact sur le client rejaillit sur le fournisseur.
« Si une dépendance critique tombe en panne, configure mal un service, déploie une mise à jour défectueuse ou ne peut pas se rétablir rapidement, le client le vit comme une panne de télécommunications, quel que soit le logo figurant sur le rapport de cause racine », déclare Mayur Upadhyaya, PDG d'APIContext.
Menaces de tiers
La panne de Verizon et d'autres similaires montrent à quel point la résilience des télécommunications modernes dépend du maillon le plus faible de la chaîne.
Les services cloud eux-mêmes dépendent d'infrastructures physiques, de centres de données, de routes réseau et de systèmes d'alimentation électrique. Et si l'IA et l'automatisation aident les opérateurs à gérer des réseaux logiciels plus vastes et plus dynamiques, elles soulèvent également de nouveaux défis.
L’accélération du rythme est à la fois un avantage et un inconvénient. « Les systèmes automatisés peuvent prendre des décisions ou mettre en œuvre des changements à une vitesse qui laisse peu de temps à l’intervention humaine, ce qui signifie que les erreurs de configuration ou les pannes peuvent se propager beaucoup plus rapidement qu’auparavant dans des environnements interconnectés », explique Hellers.
L'IA et l'automatisation peuvent aggraver la situation car elles « raccourcissent le délai entre la cause et la conséquence », confirme Upadhyaya d'APIContext. Il souligne que l'automatisation peut améliorer la résilience, mais aussi « accélérer la propagation des défaillances » en cas de faiblesse de la gouvernance, de l'observabilité et de la responsabilité. « La question n'est pas simplement de savoir si les systèmes d'un fournisseur sont résilients, mais s'il est capable de visualiser, de tester et de gérer la résilience de l'ensemble de la chaîne de services nécessaire à la connectivité. »
Visibilité
Ce qui complique encore la situation, c'est le fait que les fournisseurs d'infrastructure manquent souvent de visibilité complète sur les environnements interconnectés des différents fournisseurs.
« La plupart des organisations manquent encore de visibilité en temps réel et d'une responsabilisation claire concernant leurs dépendances, et elles s'appuient sur des modèles de gouvernance qui n'ont pas été conçus pour ce niveau de complexité », déclare Dana Simberkoff, responsable des risques, de la confidentialité et de la sécurité de l'information chez AvePoint.
Dans ce contexte, Upadhyaya d'APIContext estime que les évaluations annuelles des fournisseurs sont « en train de devenir dangereusement obsolètes ».
Le principal problème, selon lui, est qu'ils ont été conçus pour un monde où le risque lié aux tiers évoluait lentement.
C’est un problème majeur à l’ère moderne, car l’infrastructure des télécommunications évolue sans cesse : « Les décisions de routage, les dépendances au cloud, les intégrations d’API, la remédiation automatisée, les opérations assistées par l’IA et les plateformes de contrôle hébergées par les fournisseurs peuvent toutes faire évoluer les risques en temps réel », souligne Upadhyaya. « Un fournisseur qui semblait acceptable lors d’un audit annuel peut devenir une dépendance opérationnelle essentielle quelques semaines plus tard. »
Orientation réglementaire
Dans le même temps, le secteur constate une attention réglementaire croissante portée à la résilience opérationnelle et à la responsabilité de la chaîne d'approvisionnement, ce qui reflète le fait que l'infrastructure numérique est devenue une infrastructure nationale essentielle, soutenant tout, des services financiers aux soins de santé.
Simberkoff d'AvePoint souligne que Directive 2 sur les réseaux et les systèmes d'information (NIS2) et le Loi de l'UE sur la résilience numérique et opérationnelle (DORA), les deux textes soulignent clairement que les organisations sont responsables de la résilience de leurs dépendances envers les tiers. « Et tous deux exigent une surveillance continue, une responsabilisation accrue des fournisseurs et une réponse intégrée aux incidents », précise-t-elle.
Des réglementations comme celles-ci imposent également de passer d'une pensée axée sur le périmètre à une pensée axée sur la résilience de l'ensemble de l'écosystème.
Dans cette optique, Giles Adams, PDG de VQ Communications, estime que la résilience est « davantage une question de contrôle structurel ».
La communication est « essentielle à la mission » et les décisions relatives aux infrastructures « sont plus importantes que jamais », explique-t-il. IO.
Réduire la complexité
Pour renforcer leur résilience, les organisations peuvent notamment réduire la complexité inutile autant que possible. Selon Hellers, de London Internet Exchange, une interconnexion plus directe entre les réseaux, les fournisseurs de cloud et les services numériques diminue le nombre d'intermédiaires susceptibles de provoquer des pannes et offre aux opérateurs un meilleur contrôle de la connectivité de bout en bout. « Elle permet également une communication plus rapide entre les organisations directement concernées en cas de problème, ce qui contribue à identifier et à résoudre les incidents plus rapidement. »
Adams décrit comment les clients de l'entreprise adoptent de plus en plus des approches alternatives telles que les déploiements multisites pour éviter les points de défaillance uniques ; la distribution géographique de l'infrastructure de conférence ; les nœuds de conférence redondants pour la capacité de basculement ; et les modèles hybrides, combinant cloud et infrastructure privée.
Outre la résilience technique, Hellers estime que la transparence demeure « fondamentale ». Des cadres de gouvernance solides, tels que… ISO 27001« L’assurance continue des fournisseurs et une communication ouverte jouent toutes deux un rôle important dans l’instauration de la confiance au sein d’écosystèmes de plus en plus interconnectés », affirme-t-il.
Avec la complexification croissante des réseaux de télécommunications et la multiplication des technologies impliquées, le risque de pannes dues à la dépendance envers des tiers ne cesse d'augmenter. Face à de telles interdépendances critiques, les experts soulignent l'importance d'une collaboration étroite au sein de l'écosystème pour gérer et résoudre rapidement les problèmes.
En définitive, la résilience ne se mesure plus uniquement à la robustesse d'un réseau, affirme Hellers. « Il s'agit désormais de la capacité des organisations à collaborer efficacement au sein de l'écosystème numérique élargi pour anticiper les perturbations, y résister et s'en remettre. »
Élargissez vos connaissances
Blog: La gestion des cyber-risques est fragmentée : voici comment y remédier
Blog: Tout ce que vous devez savoir sur la loi sur la cyber-résilience
