Qu’est-ce que le module TPRM d’Acuna GRC ?

La plupart des référentiels de sécurité considèrent désormais les fournisseurs comme une part de votre propre risque :

• ISO/IEC 27001:2022 regroupe les mesures relatives aux fournisseurs aux points 5.19 à 5.23 de l’annexe A : la sécurité dans les relations avec les fournisseurs, la sécurité dans les accords conclus avec eux, la chaîne d’approvisionnement TIC, la surveillance et la revue des services des fournisseurs, et l’utilisation des services cloud.
• NIS2 range la sécurité de la chaîne d’approvisionnement parmi les mesures de l’article 21, paragraphe 2, point d). L’article 21, paragraphe 3, ajoute que les entités tiennent compte des vulnérabilités propres à chaque fournisseur direct et de la qualité globale des produits et des pratiques de cybersécurité de leurs fournisseurs.
• L’article 28 de DORA intègre le risque lié aux prestataires tiers de services TIC dans la gestion du risque TIC des entités financières, et son paragraphe 3 impose un registre d’informations sur tous les accords contractuels portant sur des services TIC. Voir le registre d’informations DORA.

Concrètement, il s’agit de savoir qui sont vos fournisseurs, quel poids chacun a pour vous, ce que vous leur avez demandé, ce qu’ils ont répondu et ce que vous en avez conclu, et de pouvoir le démontrer.

Une évaluation part du registre des fournisseurs. L’assistant demande le fournisseur, le questionnaire, la langue (anglais, allemand, français ou espagnol), qui répond (le contact du fournisseur, ou votre équipe en autoévaluation), l’évaluateur, une échéance et l’e-mail d’invitation. L’évaluateur est un membre de votre équipe ou l’Expert Team d’Acuna GRC, un service d’évaluation professionnel.

L’évaluation passe ensuite par les états Draft, On Supplier, In Evaluation et Completed :

• Le contact du fournisseur reçoit un lien unique vers un portail à votre logo, sans compte Acuna GRC. Il répond à chaque question, dépose ses preuves, échange avec vous question par question et soumet. Il ne voit jamais votre évaluation.
• L’évaluateur qualifie chaque réponse en Compliant, Partially Compliant, Not Compliant ou Not Evaluated, puis attribue de un à trois boucliers. Cette note devient la note actuelle du fournisseur.
• Attach findings transforme les questions en défaut en constats sur le fournisseur, chacun avec une gravité et une recommandation.

Pour de nombreux fournisseurs, une campagne envoie le même questionnaire à tous, immédiatement ou à une date prévue, avec un tableau de suivi. Repeat lance le cycle suivant prérempli à partir des réponses enregistrées, et une preuve expirée n’est jamais rattachée à nouveau.

Acuna GRC garde plusieurs signaux distincts, pour qu’aucun ne masque les autres :

• L’exposition : par défaut, la dépendance (Dependency) et la pénétration (Penetration), notées chacune de 1 à 3, donnent une bande d’exposition. Dans Settings, vous pouvez définir vos propres facteurs, fixer les bandes en pourcentages et recalculer les fournisseurs existants.
• Le niveau de risque : la conclusion d’ensemble, High Risk, Moderate Risk, Tolerable ou Not Identified.
• La note actuelle : le résultat de un à trois boucliers de la dernière évaluation terminée.
• La note OSINT : une note de A à F issue d’analyses quotidiennes du domaine public du fournisseur. Une note BitSight peut s’afficher à côté via le connecteur BitSight. Voir comment fonctionne la notation de sécurité des fournisseurs.

La fiche du tiers porte aussi les déclarations Contains PII, Contains IP et Uses AI, et l’onglet Supply Chain consigne à qui le fournisseur délègue du travail, avec un rôle de délégation et un statut de DPA, niveau par niveau.

Tout membre de votre organisation peut demander l’ajout d’un fournisseur par un court formulaire du portail collaborateurs. Ses réponses suggèrent des niveaux d’exposition, un niveau (tier) et un questionnaire. Un réviseur approuve alors le fournisseur comme Tolerable, lance une évaluation préremplie à partir de la demande, ou refuse. Le demandeur voit le statut et la réponse du réviseur, jamais le niveau de risque, la note ou le questionnaire du fournisseur.

Quand une personne extérieure à votre équipe connaît mieux le fournisseur, Ask project owner lui envoie un lien à usage unique, valable 14 jours, pour revoir le type, le site web, les déclarations PII et IP et les facteurs d’exposition du fournisseur, écrits directement sur la fiche.

Fournisseurs et tiers forment un seul registre sous deux vues, partagé avec Implement. L’analyse d’impact sur l’activité d’un processus liste les fournisseurs dont il dépend, avec une criticité suggérée à partir de l’exposition et du niveau du fournisseur, et les constats rattachés vivent dans Issues. Le rapport fournisseur couvre l’identité, la posture de risque, la dernière évaluation, la dernière analyse OSINT et les constats, et se télécharge en PDF ou s’envoie par e-mail. Voir le module TPRM.