Supervision des Fournisseurs Third-Party Risk
conformiteDéfinition
La supervision des fournisseurs (Third-Party Risk Management, TPRM) est le cadre de gouvernance permettant aux organisations d'identifier, d'évaluer, de surveiller et de contrôler les risques liés à leurs relations avec des fournisseurs, prestataires, partenaires et autres tiers. À mesure que les organisations externalisent davantage de fonctions et dépendent de chaînes d'approvisionnement numériques complexes, le risque tiers est devenu l'un des principaux vecteurs d'attaque et de défaillance de conformité. Les principales sources de risque tiers en cybersécurité incluent : les prestataires ayant accès aux systèmes ou données de l'organisation (risque d'accès non autorisé ou de violation de données via un compte compromis chez le prestataire), les fournisseurs de logiciels et les éditeurs (risque de compromission de la chaîne d'approvisionnement logicielle — Supply Chain Attack comme SolarWinds ou XZ Utils), les fournisseurs de services cloud et d'infrastructure (risque de défaillance ou de compromission impactant la disponibilité), et les sous-traitants des sous-traitants (risque de 4e rang). Le cycle de vie du TPRM comprend : l'identification et la classification des tiers (inventaire des prestataires, classification par criticité), la due diligence pré-contractuelle (évaluation des risques avant engagement, questionnaires de sécurité, revue des certifications), la contractualisation (clauses de sécurité, droits d'audit, obligations de notification), la surveillance continue (monitoring de la posture de sécurité externe, revue annuelle des risques), la gestion des incidents tiers (processus de notification et de réponse quand un prestataire subit un incident), et la sortie (gestion de la fin de contrat, récupération des données, révocation des accès). NIS2 (article 21 — gestion des risques de la chaîne d'approvisionnement) et DORA (articles 28-44 — cadre complet de gestion des risques ICT tiers) ont significativement renforcé les exigences en matière de supervision des fournisseurs. Les organisations doivent désormais démontrer qu'elles gèrent activement leurs risques tiers, pas seulement signer des contrats. Des outils TPRM dédiés (OneTrust Vendor Risk, Prevalent, ProcessUnity, Archer) facilitent la gestion du programme à grande échelle. Des outils de scoring de sécurité externe (BitSight, SecurityScorecard, UpGuard) permettent une surveillance continue automatisée de la posture de sécurité des fournisseurs.
Cycle de vie du TPRM : du référencement à la sortie
Le TPRM couvre le cycle de vie complet des relations tiers. (1) Identification et classification — inventaire des prestataires avec évaluation de leur criticité (accès aux systèmes critiques, traitement de données sensibles, impact sur la continuité) définissant le niveau de diligence requise. (2) Due diligence pré-contractuelle — questionnaires de sécurité (CAIQ, SIG), revue des certifications (ISO 27001, SOC 2 Type II), analyse de la surface d'attaque externe, évaluation de la stabilité financière et opérationnelle. (3) Contractualisation — clauses de sécurité, DPA RGPD, droits d'audit, obligations de notification. (4) Surveillance continue — monitoring de la posture externe, revues annuelles, veille sur les incidents affectant les prestataires.
La phase de sortie (exit/offboarding) est souvent négligée : fin de contrat → révocation immédiate de tous les accès du prestataire (comptes, VPN, accès API), récupération ou destruction sécurisée des données confiées, confirmation écrite de la destruction des données, et revue des systèmes pour identifier les accès résiduels non révoqués. Des accès non révoqués lors de départs de prestataires sont une source d'incidents fréquente.
Supply Chain Attack : menace croissante
Les attaques par la chaîne d'approvisionnement logicielle (Supply Chain Attacks) ciblent les fournisseurs de logiciels ou de services pour compromettre leurs clients en aval. Les exemples récents les plus marquants : SolarWinds (2020, mise à jour compromise, affectant des milliers d'organisations dont des agences gouvernementales américaines), Kaseya VSA (2021, ransomware via un outil de gestion IT), et XZ Utils (2024, backdoor dans une bibliothèque Linux largement distribuée).
La défense contre les Supply Chain Attacks requiert : vérification des sources de logiciels (SBOM — Software Bill of Materials, signatures numériques des éditeurs), surveillance des comportements anormaux des logiciels tiers en production (EDR, réseau), processus de validation des mises à jour critiques avant déploiement massif, et réduction du nombre de logiciels avec des privilèges élevés dans les environnements sensibles.
NIS2, DORA et exigences de supervision tiers
NIS2 art. 21 §2d impose la gestion des risques de la chaîne d'approvisionnement (sécurité entre entités). NIS2 art. 24 impose de prendre en compte la qualité globale des produits et des pratiques de cybersécurité des fournisseurs dans les décisions d'achat. DORA art. 28-44 établit un cadre complet pour les risques ICT tiers, avec le Register of Information, les clauses contractuelles minimales et la supervision directe des CTPP (Critical Third-Party Providers).
Les organisations soumises à NIS2 ou DORA doivent formaliser leur programme TPRM avec documentation : registre des prestataires, résultats des due diligences, contrats avec clauses de sécurité, résultats des évaluations annuelles, et plans d'action pour les risques identifiés. Ces éléments constituent le dossier de conformité en cas d'inspection par l'ANSSI ou l'ACPR/AMF.
Ce terme vous interpelle ?
Nos experts interviennent sur toutes les thématiques de ce glossaire — pentest, conformité NIS 2 / ISO 27001, forensics, sécurité IA. Réponse sous 24h, devis gratuit et sans engagement.