Comment fonctionne la notation de sécurité des fournisseurs dans Acuna GRC ?

Un questionnaire vous dit ce qu’un fournisseur affirme de lui-même, le jour où il répond. Une note externe regarde ce que chacun peut observer depuis Internet sur le domaine public du fournisseur, et peut être renouvelée chaque jour sans rien lui demander.

Les référentiels demandent les deux regards. L’article 21, paragraphe 3, de NIS2 demande aux entités de tenir compte des vulnérabilités propres à chaque fournisseur direct et de la qualité globale des produits et des pratiques de cybersécurité de leurs fournisseurs. Le point 5.22 de l’annexe A d’ISO/IEC 27001:2022 demande de surveiller, revoir et évaluer les évolutions des pratiques de sécurité de l’information et de la prestation de services des fournisseurs. Un signal externe quotidien ne remplace pas une évaluation, mais il vous signale, entre deux évaluations, que quelque chose a pu changer.

Le module TPRM d’Acuna GRC analyse chaque jour le domaine public de chaque fournisseur et en tire une note de A à F. Les analyses couvrent :

• L’hygiène DNS et de la messagerie.
• La configuration TLS.
• L’exposition web.
• L’historique des fuites de données, selon l’abonnement.
• Les sanctions, selon l’abonnement.

Le fournisseur n’intervient pas et n’a rien à installer ni à remplir. La note figure sur chaque ligne du registre des fournisseurs et dans le rapport fournisseur, qui présente la dernière analyse OSINT avec l’identité du fournisseur, sa posture de risque, sa dernière évaluation et ses constats. Voir les contrôles de fuites et OSINT.

Acuna GRC distingue quatre signaux, car chacun répond à une question différente :

• La note OSINT, de A à F : ce que montre aujourd’hui le domaine public du fournisseur.
• La note actuelle, de un à trois boucliers : le résultat de la dernière évaluation terminée, fixé par votre évaluateur.
• La bande d’exposition : le poids du fournisseur pour vous, par défaut selon la dépendance et la pénétration, ou selon vos propres facteurs.
• Le niveau de risque : votre conclusion d’ensemble, High Risk, Moderate Risk, Tolerable ou Not Identified.

Avec le connecteur BitSight, la note propre de BitSight s’affiche à côté de la note OSINT pour les fournisseurs présents dans votre portefeuille BitSight. Dans un groupe, une maison mère peut partager des fournisseurs avec ses filiales, et sur une copie partagée le score OSINT suit celui de la maison mère. Aiko répond aux questions sur les notes OSINT, les notes d’évaluation et l’avancement des évaluations. Voir le module TPRM.

Prenez une baisse de la note comme un signal, pas comme un verdict. Interrogez le fournisseur sur le changement, avancez la prochaine évaluation ou rattachez au fournisseur un constat avec une gravité et une recommandation.

Gardez ses limites en tête :

• Elle ne voit que le domaine public, pas les contrôles internes du fournisseur, les pratiques de son personnel ni la façon dont il traite vos données.
• Une bonne note n’est pas une assurance. Un fournisseur noté A peut répondre Non aux questions qui comptent le plus pour vous.
• Une mauvaise note chez un fournisseur peu exposé peut peser moins qu’une note moyenne chez un fournisseur critique. Lisez la note avec la bande d’exposition.
• L’historique des fuites et les sanctions dépendent de votre abonnement : vérifiez ce qu’une note inclut avant de comparer des fournisseurs.