Surveillance continue : combler les lacunes de sécurité dans la gestion des risques des fournisseurs

Les chaînes d’approvisionnement sont le lien qui unit l’économie mondiale. Elles constituent également une source importante de risques commerciaux liés à la cybersécurité. Les attaques contre les fournisseurs ont augmenté de 431 % entre 2021 et 2024, et elles devraient continuer à augmenter. C’est une mauvaise nouvelle pour les entreprises avec lesquelles elles font des affaires. IBM estime que la compromission des fournisseurs tiers est liée à l’un des coûts les plus élevés de violation de données de tout type d’incident : 4,9 millions de dollars par violation.

Le défi pour les dirigeants des risques et de la cybersécurité est que les mécanismes de gestion des risques existants sont imparfaits. Ils peuvent être lents, gourmands en ressources et pleins de points aveugles. Une véritable gestion des risques des fournisseurs provient d’une surveillance et d’un contrôle continus.

La croissance incontrôlée des chaînes d’approvisionnement

Les chaînes d’approvisionnement complexes et fragmentées sont le prix que nous payons pour le commerce mondial. Au cours de la dernière décennie ou plus, elles ont grandi pour soutenir les demandes des consommateurs en matière de choix et de coûts inférieurs, alimentées par une explosion des achats en ligne. Dans le même temps, les chaînes d’approvisionnement numériques ont également connu une croissance considérable, grâce à la prolifération des logiciels en tant que service (SaaS), des fournisseurs de services gérés (MSP) et des demandes des entreprises en matière d’innovation, d’efficacité et de travail.

Le résultat ? De l’opacité là où il devrait y avoir des informations, et des niveaux de risques commerciaux croissants qui pourraient mettre en péril les bénéfices et la loyauté des clients. Selon une estimation, même la moyenne des PME a 800 fournisseurs. Lorsque les fournisseurs de fournisseurs sont comptés, les chiffres atteignent rapidement des milliers d’entreprises.

Un business risqué

C’est une mauvaise nouvelle pour les DSI et leurs équipes, qui doivent trouver un moyen de gérer les risques de cybersécurité inévitables qui découlent des chaînes d’approvisionnement étendues. La compromission des fournisseurs et des chaînes d’approvisionnement a représenté 15 % des violations de données l’an dernier, selon IBM. Verizon affirme que le chiffre a en fait doublé au cours de la dernière année pour atteindre 30 %. Quel que soit le décompte réel, il est clair à partir d’incidents réels du type de dommages qu’ils peuvent causer.

Les tiers, tels que les sous-traitants et les sociétés de services professionnels, peuvent stocker des informations d’identification d’accès très sensibles et d’autres données appartenant à leurs organisations clientes. Il pourrait s’agir d’informations personnelles hautement réglementées (PII) sur les clients et les employés. Ou de la propriété intellectuelle, de secrets commerciaux ou de données financières non publiques. Tout cela constitue un attrait majeur pour les extorqueurs numériques, qui pourraient voler et/ou crypter ces informations pour forcer le paiement. Les violations de la part de tiers ont représenté plus de deux cinquièmes (41 %) des attaques de ransomware en 2024, selon une étude.

À mesure que les fournisseurs se multiplient, le risque de fraude commerciale, telle que la compromission de l’e-mail commercial (BEC), augmente également. Les acteurs menaçants pourraient envoyer un e-mail de phishing à un membre de l’équipe financière, ou même à un dirigeant, demandant le paiement d’une facture non existante. Ils rendent leurs attaques plus certaines de succès en piratant les comptes e-mail des clients/fournisseurs, afin de surveiller les communications et de comprendre à quoi ressemblent les factures. Les pertes dues à la BEC signalées au FBI ont atteint près de 2,8 milliards de dollars l’an dernier, ce qui en fait le deuxième type de cybercrime le plus rentable.

Ensuite, il y a les fournisseurs de fournisseurs. Un rapport de 2023 affirme que la moitié des organisations étudiées avaient des relations indirectes avec au moins 200 quatrièmes parties qui avaient subi des violations au cours des deux dernières années. Plus le fournisseur est petit, plus il peut avoir peu de ressources à consacrer à la cybersécurité de meilleure pratique.

Le AI est un cadeau pour les hackers

La technologie d’intelligence artificielle (AI) est de plus en plus utilisée par les cybercriminels pour améliorer leurs taux de réussite. En fait, des experts du gouvernement britannique ont averti cette année que la technologie « devrait probablement continuer à rendre certains éléments des opérations d’intrusion cybernétique plus efficaces et efficientes ».

Nous pouvons le voir dans la façon dont l’AI générative permet la création de campagnes de phishing dans des langues locales naturelles et impeccables. Dans la façon dont il peut aider les acteurs menaçants à sonder les faiblesses des systèmes et à sélectionner leurs cibles. Et dans la façon dont il pourrait même aider à la création de logiciels malveillants et d’exploits. C’est pourquoi l’AI entraînera « une augmentation de la fréquence et de l’intensité des menaces cybernétiques » au cours des deux prochaines années, avertit le rapport.

En fonction du type et de l’ampleur de l’incident de sécurité, l’impact pour les clients d’un fournisseur violé va de la perte financière et de la réputation au risque réglementaire et à la perturbation opérationnelle. Plus longtemps un incident reste non détecté, plus les acteurs menaçants ont de temps à l’intérieur du réseau et, en fin de compte, plus il en coûtera pour nettoyer et se remettre de l’incident. Malheureusement, les compromissions de la chaîne d’approvisionnement prennent le plus de temps à résoudre, selon IBM.

Un cas de figure est la récente divulgation d’une violation de ransomware majeure chez Conduent, un fournisseur de services de traitement de données à revenu multimillionnaire. Plus de 11 millions d’Américains pourraient avoir vu leurs numéros de sécurité sociale, leurs détails d’assurance maladie et leurs informations médicales exposés, selon des rapports. Et bien qu’ils n’aient été notifyés qu’en novembre 2025, l’environnement de l’entreprise est censé avoir été compromis dès octobre 2024.

Pourquoi la surveillance continue est importante

Heureusement, l’AI peut également aider les « gentils » à surmonter les défis courants de la gestion des risques cybernétiques des fournisseurs. Trop d’organisations luttent contre des processus manuels lents et des questionnaires longs qui causent des retards et créent des points aveugles en matière de visibilité. La documentation des fournisseurs incohérente rend difficile la comparaison des scores de risque dans l’écosystème et la compréhension de ce qui est le plus important pour l’entreprise.

À la place, avec une approche centrée sur les données et l’AI, les organisations peuvent faire appel à l’automatisation pour faire le travail lourd, à la fois lors de l’intégration et au-delà. Ce dernier point est important car le risque ne s’arrête pas une fois qu’un fournisseur a été approuvé. Il continue d’évoluer, potentiellement à l’heure ou à la journée, avec chaque nouvelle vulnérabilité logicielle, violation de données ou compte mal configuré. Les fournisseurs pourraient investir dans de nouvelles infrastructures, augmentant ainsi leur surface d’attaque cybernétique. Ils pourraient ajouter de nouveaux fournisseurs, changeant ainsi leur exposition au risque. Et ils pourraient être visés par de nouvelles campagnes d’acteurs menaçants.

Tout cela exige une approche plus proactive de la gestion des risques des tiers, qui va au-delà de la collecte et du traitement des enquêtes et de la documentation des fournisseurs. Elle devrait se concentrer sur l’identification des risques en temps réel, afin que l’organisation puisse agir rapidement avant que tout dommage ne soit causé.

Commencer avec l’AI

Obtenir ce type d’informations à 360 degrés et en continu sur les risques cybernétiques des fournisseurs nécessitera beaucoup de données – et des algorithmes intelligents pour signaler les modèles suspects. Plus les données sont de haute qualité, meilleure est la visibilité. Cela pourrait inclure des flux d’intelligence sur les menaces qui fouillent les forums du dark web à la recherche de signes précurseurs d’une violation. Ou la surveillance des vulnérabilités qui met en évidence les mises à jour de sécurité manquantes dans les biens des fournisseurs. Cela pourrait également suivre les preuves de compromission d’e-mail parmi les départements financiers des fournisseurs, ce qui pourrait indiquer des attaques de BEC imminentes. Ou même des modèles de transactions suspects impliquant ces fournisseurs.

L’AI peut être utilisé pour identifier les risques critiques en temps réel, afin de prendre des mesures immédiates. Et pour attribuer automatiquement un score de risque mis à jour en continu pour chaque fournisseur, pondéré en fonction des politiques, de la posture et de la criticité de l’entreprise.

L’AI autonome pourrait également être un allié puissant, travaillant de manière autonome pour ingérer et analyser des documents de fournisseurs complexes, tels que les rapports SOC 2 et les politiques de sécurité internes, et mapper les contrôles aux cadres établis comme NIST CSF ou ISO 27001. Cela peut fournir une visibilité de la conformité en quelques minutes, plutôt qu’en heures, libérant ainsi du temps pour les équipes de sécurité et de risque pour travailler sur des tâches à plus forte valeur. Dans les organisations matures, les agents AI pourraient également travailler de manière indépendante pour résoudre et remédier aux problèmes de routine – ou au moins les acheminer vers le bon membre de l’équipe pour une attention rapide.

Rassembler tout

La clé est de s’assurer qu’un tel système de gestion des risques cybernétiques des fournisseurs est unifié, afin que les données de risque ne se retrouvent pas cloisonnées et inutilisables. Idéalement, la même plateforme permettrait d’autres types de gestion des risques des fournisseurs, dans des domaines tels que la conformité, la durabilité, la finance et les opérations. Cela devrait fournir le type d’informations sur lesquelles des décisions commerciales plus éclairées peuvent être prises.

Au-dessus de tout, rappelez-vous que le risque cybernétique est fondamentalement un risque commercial. Il ne peut jamais être éliminé. Mais il peut être géré de manière plus efficace.