Cyber Risk et TPRM : pourquoi l’évaluation ponctuelle des tiers ne suffit plus ?

Le risk cyber des fournisseurs est maintenant à l’agenda des RSSI mais également des Directions des Achats. Une dualité qui nécessite une orchestration à travers une solution unique des évaluations qui doivent se faire en transparence permettant un pilotage en temps réel.

Est-ce que les certifications ISO des fournisseurs sont suffisantes ?

Les évaluations Cyber Risk s’adossent sur les 3 niveaux d’évaluations du TPRM

• l’analyse documentaire et à travers des questionnaires.
• La lecture de la presse informative où souvent les annonces sont faites
• les scores d’expositions aux cyber risque
• l’analyse humaine de la collecte documentaire
• l’audit sur site

Cyber Risk et TPRM : pourquoi l’évaluation ponctuelle des tiers ne suffit plus ?

Le risque cyber lié aux fournisseurs n’est plus uniquement un sujet de RSSI. Il s’impose désormais à l’agenda des Directions des Achats, tant la dépendance aux tiers est devenue un facteur déterminant dans la continuité des activités.

Prestataires IT, fournisseurs stratégiques, sous-traitants ou partenaires disposant d’un accès au système d’information : chaque tiers peut constituer un point d’exposition. Et le risque ne s’arrête pas aux fournisseurs de rang 1. Une attaque touchant un acteur situé plus loin dans la chaîne peut, par effet de cascade, provoquer une interruption de service, une compromission de données ou un arrêt d’activité.

Face à un risque aussi évolutif, une question devient centrale : peut-on encore se contenter d’évaluer le risque cyber d’un fournisseur une fois par an ?

Le risque cyber ne suit pas le calendrier des évaluations

Une évaluation cyber fournit une photographie du niveau de risque d’un tiers à un instant donné. Mais cette photographie peut rapidement devenir obsolète.

Entre deux évaluations, un fournisseur peut connaître une attaque, découvrir une vulnérabilité critique, modifier son infrastructure, changer de prestataire technologique ou voir son niveau d’exposition se dégrader.

Le problème n’est donc plus seulement de savoir si un fournisseur était suffisamment sécurisé au moment de son onboarding. Il faut pouvoir déterminer si son niveau de risque reste acceptable pendant toute la durée de la relation.

Cette évolution fait passer les entreprises d’une logique d’évaluation ponctuelle à une logique de surveillance continue du risque cyber.

Les certifications ISO sont-elles suffisantes ?

Les certifications, notamment ISO 27001, constituent des éléments importants dans l’évaluation d’un fournisseur. Elles apportent des garanties sur l’existence de processus, de dispositifs de gouvernance et de pratiques structurées en matière de sécurité.

Mais une certification ne peut, à elle seule, représenter l’intégralité du niveau de risque cyber d’un tiers.

Elle constitue une preuve documentaire à intégrer dans une analyse plus large. Une organisation certifiée peut elle aussi être confrontée à une vulnérabilité, une attaque ou un incident de sécurité.

L’enjeu consiste donc à croiser plusieurs sources d’information, plutôt qu’à faire reposer une décision sur un indicateur unique.

RSSI et Achats : pourquoi le Cyber Risk devient un sujet commun ?

Cette évolution modifie également la gouvernance du risque fournisseur.

Les Directions des Achats connaissent les fournisseurs, les contrats, leur criticité et leur rôle dans la chaîne de valeur. Les RSSI disposent, quant à eux, de l’expertise nécessaire pour définir les exigences de cybersécurité et interpréter les signaux techniques.

Ces deux approches sont complémentaires.

Mais leur rapprochement suppose une orchestration commune. Lorsque les informations sont réparties entre questionnaires, fichiers issus de tableurs, outils cyber, bases fournisseurs et échanges par e-mail, obtenir une vision consolidée du risque devient complexe.

Le TPRM permet justement de créer ce référentiel commun : une plateforme unique pour centraliser les évaluations, partager l’information et piloter le niveau de risque des tiers en toute transparence.

Du questionnaire au monitoring : multiplier les signaux de risque

L’évaluation du Cyber Risk dans une démarche TPRM ne repose pas sur une seule méthode. Elle combine différents niveaux d’analyse, en fonction de la criticité du tiers et du niveau de risque identifié.

Le premier niveau repose sur l’analyse documentaire et les questionnaires d’évaluation. Politiques de sécurité, certifications, procédures, dispositifs de continuité ou réponses aux questionnaires permettent d’établir un premier niveau de connaissance du fournisseur. L’analyse humaine de ces éléments reste essentielle pour interpréter les preuves fournies et identifier les éventuelles incohérences.

Cette approche déclarative et documentaire doit être complétée par des sources externes et des signaux actualisés. La surveillance de la presse et des sources d’information permet notamment d’identifier des incidents, attaques ou événements susceptibles de modifier rapidement l’exposition d’un fournisseur.

Les scores d’exposition au risque cyber apportent une dimension supplémentaire. Ils permettent d’observer des indicateurs externes et leurs évolutions afin d’identifier plus rapidement une dégradation du profil de risque.

Enfin, pour les fournisseurs les plus critiques ou lorsqu’un niveau de risque élevé est détecté, l’audit sur site permet d’approfondir l’évaluation et de confronter les informations collectées à la réalité opérationnelle.

L’objectif n’est donc pas de choisir entre questionnaire, certification, scoring ou audit, mais de combiner ces différentes méthodes selon le niveau de criticité du tiers.

Evaluer en continu pour agir avant l’incident

C’est précisément ici que l’approche TPRM d’Aprovall prend toute sa valeur.

Centraliser les informations ne suffit pas. Elles doivent pouvoir être actualisées, croisées et transformées en décisions opérationnelles.

Une évolution d’un score cyber, l’apparition d’une information dans la presse ou l’identification d’une nouvelle vulnérabilité doit pouvoir déclencher une alerte, une réévaluation ou un plan d’action adapté.

Cette logique permet de passer d’une gestion périodique du risque à un pilotage dynamique et continu de l’exposition des tiers.

Pour les RSSI comme pour les Directions des Achats, l’enjeu est le même : disposer d’une vision commune, actualisée et exploitable du risque fournisseur.

Car face au Cyber Risk, la véritable question n’est plus seulement : « Ce fournisseur était-il conforme lors de sa dernière évaluation ? »

Elle devient : « Quel risque représente-t-il aujourd’hui pour mon organisation ? »