Sécurité de la chaîne d’approvisionnement
La solidité de votre posture de sécurité dépend du maillon le plus faible parmi les fournisseurs, bibliothèques ou sous-traitants dont vous dépendez — et la plupart des organisations ont une liste de dépendances bien plus longue qu’elles ne le pensent. La sécurité de la chaîne d’approvisionnement consiste précisément à recenser cette liste et à déterminer ce que vous êtes prêt à accepter.
Cela recouvre deux problèmes distincts qui sont souvent confondus. Le premier concerne la chaîne d’approvisionnement logicielle : les paquets open source, les outils de compilation et les pipelines CI/CD qui se retrouvent dans ce que vous livrez, dont chacun peut être entièrement compromis en amont de votre intervention. L’autre concerne la chaîne d’approvisionnement des fournisseurs et des tiers : les fournisseurs de SaaS, les sociétés de services gérés et les sous-traitants qui disposent d’un accès quelconque à vos données ou à votre réseau, ainsi que leurs propres sous-traitants sur lesquels vous n’avez probablement aucune visibilité.
Mon approche
Je commence par établir concrètement la cartographie — non pas un simple tableau Excel rempli une fois pour toutes, mais une vue d’ensemble actualisée des interdépendances, ainsi que des droits d’accès réels de chaque élément par rapport à ceux qu’il est censé posséder. À partir de là, il s’agit d’établir des niveaux de priorité : tous les fournisseurs ne nécessitent pas le même niveau de contrôle, et traiter un prestataire de paie de la même manière qu’un widget d’analyse gratuit revient à gaspiller des efforts là où ils ne sont pas nécessaires.
En ce qui concerne les dépendances logicielles, cela implique de savoir ce que contient réellement votre version — une véritable nomenclature logicielle, et non une simple supposition — et de disposer d’un processus à mettre en œuvre lorsqu’une de ces dépendances s’avère compromise. Pour les fournisseurs, cela implique des clauses contractuelles qui ont un sens, des questionnaires de sécurité qui sont réellement lus, et un processus de renouvellement qui réévalue réellement les risques au lieu de se contenter de renouveler la signature.
Rien de tout cela n’est jamais définitif. De nouveaux fournisseurs apparaissent, de nouveaux progiciels sont intégrés, et la carte devient obsolète dès le lendemain de sa création, à moins que quelque chose ne la maintienne à jour.
Si vous n’êtes pas certain de ce que contient réellement votre chaîne d’approvisionnement à l’heure actuelle, c’est un bon point de départ. Contactez-nous et nous déterminerons ensemble où se situent les véritables risques.