Comment traiter le risque de la chaîne d'approvisionnement dans un programme cybersécurité ?
Traitez-le comme un risque système en identifiant les dépendances, en fixant des exigences aux fournisseurs et en surveillant l'exposition dans la durée.
Le risque de la chaîne d'approvisionnement devient critique dès qu'un système dépend de logiciels, services cloud, équipements ou prestataires. Une approche orientée NIST consiste à identifier où les tiers influencent la confidentialité, l'intégrité et la disponibilité, puis à définir des exigences alignées sur la tolérance au risque.
Les programmes efficaces conservent des preuves : attentes de sécurité, processus d'onboarding et de revue, canaux de communication en cas d'incident, et réévaluations périodiques à mesure que les dépendances évoluent.
Related Information
- Cartographier les dépendances fournisseurs liées aux services critiques.
- Définir des exigences de sécurité et des clauses contractuelles.
- Évaluer les contrôles et exceptions selon le risque.
- Prévoir la communication incident avec les tiers.
- Réévaluer régulièrement selon l'évolution des systèmes et menaces.
Expert Insight
Cartographier les fournisseurs ne suffit pas : il faut des exigences mesurables et une cadence de revue liée aux dépendances critiques.
Topics
Related Answers
Comment gérer les risques d'une transformation numérique pendant la mise en œuvre ?
Gérez les risques en identifiant, analysant, traitant et suivant les risques tout au long de l'exécution, avec gouvernance, ressources et gestion du changement alignées.
byPhani SRIPADA
Quelle est la différence entre l’ISO/IEC 27005 et des méthodes comme EBIOS ou NIST ?
L’ISO/IEC 27005 définit un cadre de gestion des risques, tandis qu’EBIOS ou NIST proposent des méthodes d’analyse détaillées. ISO 27005 permet d’intégrer plusieurs méthodes dans un cycle de gestion standardisé.
byHenri HAENNI
Qu'est-ce que la certification ISO 31000 et comment l'obtenir ?
L'ISO 31000 ne certifie pas les organisations — elle certifie les professionnels. La certification obtenue est PECB Certified ISO 31000 Lead Risk Manager, délivrée après une formation de 4 jours et un examen PECB. Elle atteste de votre capacité à concevoir, piloter et améliorer un cadre de management des risques conforme à l'ISO 31000.
byHenri HAENNI