Gestion des risques cyber liés aux fournisseurs

Pourquoi le risque d'un fournisseur retombe sur votre entreprise

Le risque retombe sur vous parce que la loi et vos clients considèrent les données confiées à vos fournisseurs comme les vôtres. Selon la LPRPDE, une organisation est responsable des renseignements personnels qu'elle a en sa possession ou sous sa garde, y compris ceux confiés à une tierce partie aux fins de traitement, et elle doit, par voie contractuelle ou autre, leur fournir un degré comparable de protection pendant ce traitement.¹ Selon le Commissariat à la protection de la vie privée, le contrat est le moyen principal de cette protection.²

Une petite entreprise compte souvent plus de fournisseurs ayant un accès que d'employés : prestataire TI avec prise de main à distance, cabinet comptable, développeur qui garde le mot de passe de l'hébergement, applications infonuagiques. Chacun ouvre une porte sur vos systèmes, et un mot de passe faible chez lui l'ouvre aussi sûrement qu'un des vôtres.

Risques liés aux tiers : ce que la loi demande à vos contrats

La maîtrise des risques liés aux tiers commence par le contrat, parce que c'est là que les lois fédérale et québécoise placent la protection. Pour une entreprise exploitée au Québec, l'article 18.3 de la loi sur le secteur privé exige que le mandat ou le contrat de service ou d'entreprise soit confié par écrit et indique les mesures que le prestataire doit prendre pour protéger le caractère confidentiel des renseignements, pour qu'ils ne servent qu'à l'exécution du contrat et pour qu'il ne les conserve pas après son expiration.³

Le prestataire doit aussi aviser sans délai le responsable de la protection des renseignements personnels de toute violation ou tentative de violation de ces obligations, et le laisser effectuer toute vérification.³ Si le prestataire conserve les renseignements à l'extérieur du Québec, l'article 17 ajoute une évaluation des facteurs relatifs à la vie privée et une entente écrite qui en tient compte.³

La rédaction des clauses revient à votre avocat; nous fournissons le contenu de sécurité : ce que le fournisseur fait de vos données et les points à retrouver au contrat. Pour le volet vie privée de votre propre entreprise, voyez la page conformité Loi 25 et LPRPDE.

Évaluation des fournisseurs : un classement selon les données et les accès

L'évaluation des fournisseurs les classe selon deux questions : quels renseignements chacun détient et ce qu'il peut atteindre dans vos systèmes. Le Centre canadien pour la cybersécurité suit la même logique pour les fournisseurs de technologie : déterminer la sensibilité de ce qu'ils touchent sur une échelle faible, moyenne ou élevée, évaluer la fiabilité du fournisseur, puis décider si le risque restant est acceptable, s'il faut des mesures d'atténuation plus fortes ou un autre fournisseur.⁴

Le classement garde l'effort proportionné : un accès administrateur à tous les postes mérite un examen serré, une simple adresse, une ligne au registre. Le cadre du NIST exprime la même idée : des fournisseurs connus et classés selon leur criticité.⁶ Son guide SP 800-161 Rev. 1 traite le sujet en détail pour les grandes organisations.⁷

Questionnaire de sécurité fournisseur : les preuves qui comptent

Un questionnaire de sécurité fournisseur n'est utile que si les réponses s'appuient sur des preuves que le fournisseur peut montrer. Un rapport indépendant pèse plus qu'une simple déclaration : rapport SOC 2 produit par un cabinet de CPA, certificat ISO/IEC 27001 délivré par un organisme de certification accrédité, certification CyberSécuritaire Canada. Pour l'infonuagique, les contrôles de base du Centre canadien pour la cybersécurité vont plus loin et demandent d'exiger de tous les fournisseurs de services infonuagiques un rapport SSAE 18 SOC 3 de l'AICPA attestant leur conformité aux principes des services Trust.⁵

Nous envoyons aux fournisseurs de niveau élevé ou moyen quelques questions adaptées à votre situation, puis comparons les réponses avec ce que nous voyons chez vous.

• Rapports indépendants : SOC 2, certificat ISO/IEC 27001, CyberSécuritaire Canada
• Qui, chez le fournisseur, accède à vos données ou systèmes, et comment il s'authentifie
• Où les données sont conservées, y compris hors du Québec ou du Canada
• Les sous-traitants qui reçoivent aussi vos données
• Le délai d'avis en cas d'incident, et la personne avisée
• La remise ou la destruction des données à la fin du contrat

Les accès des fournisseurs chez vous : le volet le plus souvent oublié

Les gains les plus rapides se font dans vos propres systèmes, où les accès des fournisseurs sont faciles à voir et à corriger : comptes d'anciens prestataires encore actifs, mot de passe d'hébergement chez un développeur, outil de soutien à distance resté installé.

Nous listons les comptes, outils d'accès à distance et mots de passe partagés de chaque fournisseur, vérifions l'authentification multifacteur et les droits, et retirons ce qui ne sert plus, avec votre accord. Si votre courriel et vos fichiers sont dans Microsoft 365 ou Google Workspace, les accès d'invités et de partenaires font partie de l'examen; la vérification complète de l'environnement a sa propre page.

Quand un fournisseur clé échoue à l'examen

Un fournisseur clé qui échoue à l'examen reçoit un plan daté; le remplacement vient en dernier. La méthode du Centre canadien pour la cybersécurité se termine sur trois issues : le risque est acceptable, il faut des mesures d'atténuation plus fortes, ou il faut choisir une autre technologie ou un autre fournisseur.⁴

Nous consignons l'écart, demandons une date pour le combler et ajoutons des mesures de votre côté en attendant. Le cadre du NIST cite deux résultats voisins : inclure les fournisseurs pertinents dans la planification, l'intervention et la reprise après incident, et prévoir ce qui se passe à la fin d'une entente de service.⁶ Ces deux points rejoignent vos contacts de réponse aux incidents et les clauses de sortie que rédige votre avocat.

Notre service de gestion des risques liés aux fournisseurs

Le travail commence par un appel de 30 minutes et une lettre de mandat qui nomme les fournisseurs, les systèmes et les dates. Nous évaluons les fournisseurs à partir de ce qu'ils acceptent de communiquer et de vos propres systèmes; une vérification dans les locaux d'un fournisseur exige son consentement et sa propre lettre de mandat.

Ce que vous avez en main ensuite

Vos documents répondent aux questions des clients, des assureurs et des organismes de réglementation sur vos fournisseurs. Le rapport vous appartient.

• Un registre des fournisseurs avec niveau de risque, données détenues et accès accordés
• Un dossier de preuves par fournisseur clé, avec écarts et dates
• Le relevé des accès de fournisseurs modifiés dans vos systèmes
• Les exigences contractuelles par fournisseur clé, prêtes pour votre avocat
• Un calendrier de révision : quels fournisseurs revoir, et quand