Due diligence fournisseurs : un processus pour plusieurs référentiels

Chaque grand référentiel vous demande de gérer le risque fournisseur, comme le montre notre comparaison des exigences relatives aux fournisseurs et à la chaîne d'approvisionnement. Les exigences se recoupent à ce point qu'un processus unique, conçu une fois, peut les satisfaire toutes. Voici une structure qui le permet.

Étape 1 : un inventaire unique

Listez chaque fournisseur ayant accès à vos systèmes, à vos données ou à vos installations, et pour chacun : ce qu'il fait, les données qu'il traite et les référentiels que cela met en jeu (données de titulaires de cartes pour PCI DSS, ePHI pour HIPAA, données personnelles pour le RGPD (GDPR), services qui soutiennent un service soumis à NIS2). PCI DSS (12.8.1), ISO 27001 (A.5.19) et les CIS Controls (15.1) commencent tous ici.

Étape 2 : hiérarchiser

• Niveau 1 : accès à des données sensibles ou à des systèmes de production, ou criticité pour votre service.
• Niveau 2 : accès limité ou criticité modérée.
• Niveau 3 : aucun accès à des données sensibles ; faible impact en cas de défaillance.

La hiérarchisation permet de garder le processus proportionné. Le CIS l'appelle classification des prestataires de services (15.3).

Étape 3 : évaluer selon le niveau

• Niveau 1 : un rapport d'assurance indépendant couvrant le service utilisé (rapport SOC 2 de type II ou certificat ISO 27001 avec un périmètre pertinent), complété par un court questionnaire sur ce que le rapport ne couvre pas. Lisez le rapport : périmètre, période, exceptions, exclusions et contrôles que vous êtes censé mettre en œuvre.
• Niveau 2 : un questionnaire standard, ou le rapport s'il en dispose.
• Niveau 3 : une vérification de base à l'intégration.

Étape 4 : contractualiser une fois, en couvrant tout

Rédigez des clauses de sécurité qui couvrent simultanément tous les référentiels :

• Obligations de sécurité proportionnées au service.
• Notification de violation de données, avec un délai suffisamment court pour vos propres obligations (24 heures pour NIS2, 72 heures pour le RGPD (GDPR)).
• Clauses de l'article 28 du RGPD lorsqu'ils traitent des données personnelles pour votre compte ; accord de partenariat commercial lorsque HIPAA s'applique.
• Droits d'audit ou d'évaluation, et restitution ou suppression des données à la fin du contrat.
• Pour PCI DSS, reconnaissance de leurs responsabilités pour les données de titulaires de cartes (12.8.2) et répartition documentée des responsabilités (12.8.5).

Étape 5 : surveiller et clôturer

Réévaluez les fournisseurs de niveau 1 chaque année (PCI DSS exige un suivi annuel de la conformité des prestataires de services, 12.8.4), ceux de niveau 2 tous les ans ou tous les deux ans, et réagissez aux incidents et aux changements. À la fin de la relation, révoquez les accès, récupérez ou supprimez les données, et consignez-le (CIS 15.7).

Un court questionnaire efficace

Pour les fournisseurs sans rapport d'assurance indépendant, un court questionnaire est préférable à un long, car les personnes répondent correctement aux questionnaires courts. Dix questions couvrent l'essentiel de ce que demande chaque référentiel :

1. Quelles de nos données accéderez-vous, stockerez-vous ou traiterez-vous, et où ?
2. Disposez-vous d'un rapport SOC 2 ou d'un certificat ISO 27001 à jour couvrant ce service ?
3. L'authentification multifacteur est-elle imposée pour tout accès aux systèmes contenant nos données ?
4. Avec quelle rapidité les vulnérabilités critiques sont-elles corrigées ?
5. Nos données sont-elles chiffrées au repos et en transit ?
6. Les sauvegardes sont-elles réalisées, protégées et testées ?
7. Comment et dans quel délai nous informerez-vous d'un incident affectant nos données ?
8. Quels sous-traitants traitent nos données ?
9. Comment nos données sont-elles restituées ou supprimées à la fin du contrat ?
10. Qui est votre contact sécurité ?

Associez chaque réponse à vos exigences une seule fois, puis réutilisez cette correspondance pour chaque fournisseur. L'analyse d'écarts et le sujet sur le risque lié à la chaîne d'approvisionnement montrent comment chaque référentiel formule ces exigences.

Points clés

• Un inventaire fournisseurs unique, hiérarchisé par risque, sert tous les référentiels.
• Acceptez les rapports indépendants lorsque leur périmètre convient, et lisez-les.
• Rédigez les clauses contractuelles une seule fois pour couvrir toutes les obligations.

Un dossier par fournisseur

Conservez tout (niveau, évaluations, rapports lus, clauses contractuelles, revues) dans un seul endroit par fournisseur. Les auditeurs de chaque référentiel peuvent alors trouver leurs preuves dans le même dossier.

La page Vendor Risk recense chaque exigence avec sa source, et notre article sur pourquoi « être certifié SOC 2 » est la mauvaise question explique comment lire les rapports des fournisseurs.

Questions

Puis-je accepter le rapport SOC 2 d'un prestataire au lieu d'un questionnaire ?

Souvent oui, si le rapport est de type II, récent, couvre le service que vous utilisez, et si vous lisez les exceptions et les contrôles complémentaires à la charge de l'entité utilisatrice. Un rapport qui ne couvre pas votre service vous apprend peu de choses.

Quels référentiels exigent que les contrats fournisseurs incluent des clauses de sécurité ?

ISO 27001 (A.5.20), PCI DSS (12.8.2), le RGPD (GDPR) pour les sous-traitants (article 28), les accords de partenariat commercial HIPAA (business associate agreements) et les mesures de chaîne d'approvisionnement de NIS2 exigent toutes des clauses de sécurité dans les contrats fournisseurs.

À quelle fréquence faut-il réévaluer les fournisseurs ?

Les fournisseurs critiques au moins une fois par an (PCI DSS exige un suivi annuel de la conformité des prestataires de services), les autres tous les ans ou tous les deux ans, et tout fournisseur après un incident majeur ou un changement significatif du service.