Accès prestataires : pourquoi le RSSI doit piloter la sécurité des tiers

Accès prestataires et cyber-risque ne peuvent plus être traités comme une formalité contractuelle. La multiplication des intervenants externes, ainsi que les chaînes de sous-traitance, étendent la surface d’attaque et rendent l’attribution d’un incident plus complexe.

Pour un RSSI, l’enjeu est de transformer un sujet dispersé entre IT, Achats, Juridique et métiers en une démarche structurée, auditable et proportionnée. Cela commence dès la qualification d’un nouveau fournisseur et se poursuit pendant toute la durée de la relation.

Accès prestataires : pourquoi c’est un risque critique pour le SI

Un prestataire n’apporte pas seulement une prestation. Un prestataire apporte des identifiants, des outils d’administration, des connexions distantes et, parfois, des droits privilégiés. Dans ce contexte, une gouvernance des tiers doit répondre à trois besoins.

Le premier besoin est la visibilité. Sans inventaire clair des prestataires connectés et des systèmes accessibles, aucun contrôle ne tient dans la durée. Le second besoin est la réduction de privilèges. Plus les droits sont larges et permanents, plus la fenêtre d’exploitation est grande. Le troisième besoin est la traçabilité. Sans journaux d’accès et preuves de révocation, une organisation ne peut ni enquêter rapidement, ni démontrer sa diligence.

Accès prestataires : cadrage réglementaire (selon contexte)

Le cadre européen responsabilise l’entreprise cliente, y compris lorsque des traitements ou opérations sont confiés à des sous-traitants.

Pour les données personnelles, le RGPD impose une sécurité adaptée au risque et une capacité à démontrer les mesures mises en œuvre. NIS2 renforce, selon les entités concernées, les attentes sur la gestion du risque de chaîne d’approvisionnement et des accès distants. Dans la finance, DORA structure des exigences de résilience opérationnelle incluant les prestataires TIC.

L’objectif d’un article opérationnel n’est pas de sur-interpréter ces textes, mais d’aligner les contrôles concrets avec des preuves vérifiables et réutilisables.

Accès prestataires : qualifier un nouveau fournisseur dès le départ

La qualification cybersécurité d’un fournisseur doit être intégrée au processus de référencement. Cette qualification clarifie le niveau d’exposition, le type d’accès prévu et les preuves minimales attendues.

Une approche proportionnée commence par déterminer si le prestataire aura accès à des données sensibles, à un environnement de production, à des comptes techniques, ou à des privilèges d’administration. Le RSSI peut alors définir un niveau de contrôle adapté, sans imposer le même dispositif à un prestataire à faible exposition qu’à un prestataire critique.

Accès prestataires : mettre en place des contrôles techniques qui tiennent en audit

Gestion des accès privilégiés (PAM) pour les tiers

Un dispositif PAM permet de contrôler, limiter et révoquer les accès privilégiés des intervenants externes. Dans une configuration robuste, l’intervenant s’authentifie nominativement, accède uniquement aux ressources autorisées et ne connaît pas les secrets des comptes cibles. Cette approche réduit le risque de réutilisation d’identifiants et améliore l’auditabilité.

Moindre privilège et accès juste-à-temps

Le moindre privilège limite les droits au strict nécessaire, pour un périmètre et une durée définis. L’accès juste-à-temps renforce cette logique en créant des droits temporaires, validés via un workflow, puis automatiquement révoqués. Cette temporalité réduit la surface d’attaque et facilite la justification des droits accordés.

Traçabilité des sessions et preuves exploitables

La traçabilité des sessions vise à pouvoir répondre rapidement à deux questions: qui s’est connecté, et qu’est-ce qui a été fait. La journalisation des actions d’administration et la conservation des preuves permettent une reconstitution fiable en cas d’incident et renforcent la crédibilité de la gouvernance en audit.

Accès prestataires : gouvernance et hygiène de cycle de vie

La sécurité des tiers se dégrade souvent sur un point simple: les comptes et droits restent actifs après la fin des missions. Une revue régulière des accès, associée à un déprovisionnement systématique à l’échéance, réduit mécaniquement les comptes orphelins et les droits excessifs.

Pour que cette discipline tienne, le RSSI doit pouvoir s’appuyer sur un référentiel unique, partagé avec Achats et Juridique, qui documente le fournisseur, le contrat, le niveau de risque, les accès autorisés et les preuves associées.