Sécurité offensive
Gouvernance & conformité
Protection des données
Stratégie & gouvernancePilotage fournisseurs (TPRM)
Gouvernance & conformité
Pilotage fournisseurs (TPRM)
Quand vos prestataires manipulent vos données ou accèdent à votre réseau, leur niveau de cybersécurité devient le vôtre. Digitemis met en place une démarche d’évaluation et de suivi continu pour que chaque tiers reste au diapason de vos exigences – sans transformer les achats en casse-tête.
Pourquoi un pilotage fournisseur dédié ?
Un fournisseur infogérant, un SaaS critique ou un hébergeur externalisé mal protégés peuvent ouvrir la voie à un ransomware, une fuite RGPD ou un arrêt de production. Notre accompagnement établit un cadre :
- clair : critères homogènes, grille de criticité, indicateurs partagés ;
- pragmatique : questionnaires ciblés, scans surface externe, veille incidents publics ;
- évolutif : tableau de bord vivant et plan de progrès par tiers.
Évaluation du niveau de maturité des fournisseurs en matière de cybersécurité et de conformité
Étant donné la prégnance de l’interconnexion des systèmes informatiques des entreprises avec celui de leurs multiples fournisseurs, l’entreprise d’aujourd’hui doit être en mesure de vérifier régulièrement la sécurité chez les tiers avec lesquels elle collabore. Elle doit pouvoir évaluer si les bonnes pratiques en matière de conformité et de cybersécurité sont correctement appliquées pour éviter tout risque majeur.
Il est important de mettre en place un pilotage des risques fournisseurs en cybersécurité adéquat avec chaque fournisseur et de prendre en compte en priorité les fournisseurs stratégiques, ainsi que ceux qui pourraient avoir un impact critique sur votre SI en cas de problème. Il faut pouvoir disposer d’éléments de comparaison dans le temps pour les fournisseurs, et pouvoir les comparer entre eux.
Au travers de leurs services, les fournisseurs peuvent avoir un impact non négligeable sur les activités économiques d’une entreprise en cas d’intrusion sur leur système d’information, qui est connecté à celui de leur client (exemple de types d’attaques observées : ransomware, intrusion physique, fuite de données stratégiques, défaut de mise en conformité au RGPD ou de diverses normes…).
Une démarche en quatre temps
Pour les entités soumises à NIS 2, l’objectif 3 de la version de travail du ReCyF prévoit de connaître ses fournisseurs et prestataires informatiques, d’encadrer leur sécurité par contrat et de vérifier leurs prestations. DORA impose la même logique aux entités financières pour leurs prestataires de services TIC (articles 28 à 30).
Cartographier
Liste des fournisseurs et prestataires, interconnexions, criticité de chacun pour vos activités.
Contractualiser
Clauses de sécurité et plan d’assurance sécurité pour les fournisseurs critiques.
Évaluer
Questionnaires ciblés, revue documentaire, surveillance de la surface exposée, audits chez les fournisseurs critiques.
Suivre
Tableau de bord, plan de progrès par fournisseur, remontée des incidents, revue annuelle.
Le plan d’assurance sécurité formalise les engagements de chaque fournisseur. Pour les audits techniques chez les fournisseurs critiques, Digitemis est qualifié PASSI LPM par l’ANSSI.
Ils nous font confiance
informations
Contactez-nous
Besoin d’instaurer un programme « tiers de confiance » ou de passer un fournisseur au crible ? Remplissez le formulaire, nous reviendrons vers vous rapidement pour un premier échange.
Expertises liées
FAQ
Questions fréquentes
Si vous avez d’autres questions, n’hésitez pas à nous contacter directement !
Quels fournisseurs cibler en priorité ?
Nous concentrons d’abord l’évaluation sur les tiers critiques : infogérance, hébergeurs, SaaS clés, fournisseurs IT interconnectés ou traitant des données sensibles. La cartographie initiale détermine la profondeur d’analyse pour chacun.
Quelle méthodologie utilisez-vous ?
Nous combinons l’analyse de risques (EBIOS RM) et les bonnes pratiques de l’ISO 27036-3 sur la sécurité de la chaîne d’approvisionnement numérique, avec des questionnaires, une revue documentaire et une surveillance de la surface exposée des fournisseurs.
Combien de temps avant un premier tableau de bord ?
Pour un panel de vingt fournisseurs stratégiques, comptez quatre à six semaines entre le lancement et la restitution, incluant collecte documentaire, analyses et entretiens.
Le suivi continu est-il automatisé ?
En partie : les indicateurs de surface d’exposition et d’incidents publics sont mis à jour mensuellement ; nous réalisons une revue documentaire approfondie une fois par an ou après tout changement majeur de périmètre.
cas client
Découvrez notre approche
cas client
