Viktoria Austin Autres contributions de cet auteur L’économie numérique a multiplié le nombre de fournisseurs avec lesquels les entreprises collaborent et interagissent. Le recours à un fournisseur externe peut procurer plusieurs avantages, notamment (mais pas exclusivement) : Bien que le recours à des fournisseurs externes ait un impact bénéfique sur le bilan, leur multiplication peut constituer un véritable casse-tête pour les équipes de sécurité. En effet, les tiers modifient et augmentent inévitablement la surface d’attaque potentielle d’un individu ou d’une entreprise. Comment ? De nos jours, les relations entre une entreprise et un tiers sont mutuellement bénéfiques dans la mesure où l’entreprise accorde à ce dernier l’accès à ses systèmes numériques en échange de ses services. Mais selon le niveau d’intégration entre les deux parties, cet accès peut permettre au tiers de détenir certaines des données les plus sensibles de l’entreprise. Par leur nature même, les données sensibles des chaînes logistiques suscitent immanquablement la convoitise des cyberpirates. Une fois compromises, ces données peuvent être monétisées sur des forums cybercriminels, être utilisées à des fins frauduleuses ou offrir un avantage stratégique illicite en termes de propriété intellectuelle. Les attaques de la chaîne logistique semblent de plus en plus répandues. En fait, selon une étude réalisée en 2018 par le Ponemon Institute auprès d’entreprises américaines, 61 % des compromissions avaient été causées par un de leurs fournisseurs ou des tiers. Cela représente une augmentation de 5 % par rapport aux années précédentes. Pour les professionnels de la sécurité, le défi consiste à s’assurer que les systèmes et données des fournisseurs ne sont pas exposés aux risques. Un défi dont la difficulté augmente parallèlement au nombre de fournisseurs auxquels l’entreprise fait appel. Certains chiffres indiquent que le nombre de fournisseurs peut varier de plusieurs dizaines à plusieurs milliers, voire plusieurs centaines de milliers dans certains cas. Heureusement, les professionnels de la sécurité ne doivent pas nécessairement relever ce défi seuls. De nombreuses mesures sont en place pour réduire la probabilité qu’un tiers expose aux risques ces données sensibles ; citons notamment les évaluations de l’impact sur la confidentialité, les évaluations du contexte et l’affectation d’un score de risque aux fournisseurs. Toutefois, le score de risque rassurant d’un fournisseur à un moment donné peut vous donner un sentiment de sécurité illusoire : une surveillance efficace des risques liés aux tiers doit être continue. Inutile d’adopter la politique de l’autruche. Au contraire, vous devez partir du principe que vos fournisseurs vous exposent aux compromissions et prendre des mesures pour atténuer ce risque. L’année dernière, nous avons enregistré un webinaire avec le responsable de l’architecture de sécurité d’ADP, qui a présenté diverses bonnes pratiques, notamment le recours à des audits de sécurité, à des programmes de lutte contre les menaces internes et à la segmentation de l’accès réseau. Puisque les tiers exposent les entreprises aux compromissions, nous avons conçu le service Digital Shadows SearchLight™ pour vous aider à protéger vos données. 1. Détection instantanée des vulnérabilités des tiers grâce à SearchLight : Notre module de détection instantanée des données permet aux entreprises d’identifier les documents exposés par inadvertance par des tiers parmi un grand nombre de sources de données. La surveillance de l’exposition aux risques est absolument cruciale. Comme vous vous en souvenez peut-être, en mai 2019, l’équipe de recherche en sécurité Photon a publié un rapport, Too Much Information: The Sequel, qui identifiait plus de 212 000 fichiers exposés par un tiers au détriment d’une petite société de conseil en informatique du Royaume-Uni. En l’occurrence, les mots de passe étaient exposés en texte clair et, dans deux cas, les listes de mots de passe contenaient le code d’accès au téléphone portable d’un utilisateur. Ceci n’est qu’un exemple parmi d’autres. L’on déplore de nombreux autres cas où des sous-traitants et des tiers ont exposé des données sensibles via des appareils et des services de partage de fichiers mal configurés. Nos recherches nous ont permis de relever 700 000 cas d’exposition d’informations sur les salaires, 65 000 cas d’exposition de déclarations d’impôts, 700 cas d’exposition de tests d’intrusion et 5 800 cas d’exposition de documents sur des audits de sécurité, afin d’éviter toute compromission supplémentaire. Nous avons collecté plus de 14 milliards d’identifiants à ce jour, un nombre qui ne cesse de grimper. 3. Suivi des incidents affectant les fournisseurs : Accédez à une mine d’informations constamment mises à jour sur les incidents qui peuvent affecter vos fournisseurs, en consultant simplement notre bibliothèque de cyberveille. Vous utilisez Office 365, Intel ou WordPress ? Filtrez simplement les résultats à l’aide de ce mot-clé pour être alerté des incidents impliquant ces technologies. 4. Personnalisation de la surveillance grâce à Shadow Search : La fonction de Recherche enregistrée de Shadow Search vous permet de surveiller facilement les mentions de tiers dans notre bibliothèque de cyberveille publique (comme expliqué ci-dessus), mais aussi les mentions dans les articles de blog, les sources du Dark Web et d’autres encore. Vous voulez observer le fonctionnement de notre solution par vous-même ? Recherchez vos fournisseurs dans Test Drive. Inscrivez-vous pour bénéficier d’un essai gratuit de 7 jours de notre solution SearchLight. Ne présumez pas que vos données sont à l’abri parce qu’un fournisseur vous a fait remplir un questionnaire sur les risques ou possède un score de risque prometteur. Vos données pourraient se retrouver en ligne, et vous devez trouver le moyen d’en être informé lorsque cela se produit. Pour en savoir plus sur la détection des fuites de données, consultez nos ressources à l’adresse https://resources.digitalshadows.com/data-leakage-detection.
Renforcez votre sécurité grâce à la surveillance continue
Surveillance des risques liés aux tiers grâce à Digital Shadows
Protégez vos données contre les risques liés aux tiers
Risques liés aux tiers : quatre façons de gérer votre écosystème de sécurité
