Votre fournisseur TI a probablement plus de pouvoir sur votre entreprise que n'importe lequel de vos employés. Il détient des comptes d'administration sur vos serveurs, votre Microsoft 365 et votre pare-feu. Son logiciel de télégestion est installé sur chaque poste. S'il est compromis, vous l'êtes aussi.
Ce n'est pas théorique. En juillet 2021, le Centre canadien pour la cybersécurité a publié une alerte sur un rançongiciel déployé par l'intermédiaire de Kaseya VSA, une plateforme de télégestion utilisée par de nombreux fournisseurs de services gérés. Les attaquants ont pu atteindre les clients de ces fournisseurs en injectant du code malveillant et en tirant parti des fonctions normales de l'outil.
Pourtant, peu de PME évaluent vraiment la sécurité de leur fournisseur. On le choisit pour sa réactivité et son prix, puis on lui fait confiance. Voici les questions à poser, et à quoi ressemble une bonne réponse.
En bref
- Votre fournisseur TI est votre plus grand risque de chaîne d'approvisionnement : il a les accès les plus puissants.
- Posez-lui 12 questions sur ses accès, son MFA, sa journalisation, ses sauvegardes et sa gestion des incidents.
- Une bonne réponse est précise, vérifiable et documentée ; « inquiétez-vous pas » n'en est pas une.
- Si le fournisseur accède à des renseignements personnels, la Loi 25 exige un contrat écrit qui précise les mesures de protection.
Pourquoi évaluer son fournisseur, même si tout va bien
Le Centre canadien rappelle, dans ses lignes directrices pour les clients de services gérés (ITSM.50.030), que votre organisation demeure propriétaire de ses données et responsable de leur sécurité, même quand elle confie leur gestion à un tiers. Elle reste aussi responsable de la réponse aux incidents.
La Loi 25 va dans le même sens. Une entreprise qui confie un mandat impliquant des renseignements personnels doit le faire par écrit et préciser les mesures de protection exigées (article 18.3). Le fournisseur, lui, doit aviser sans délai votre responsable de la protection des renseignements personnels de toute violation ou tentative de violation, et lui permettre d'effectuer toute vérification relative à la confidentialité.
Enfin, en mai 2022, les agences de cybersécurité du Canada, des États-Unis, du Royaume-Uni, de l'Australie et de la Nouvelle-Zélande ont publié un avis conjoint sur les menaces visant les fournisseurs de services gérés et leurs clients. Il recommande notamment aux clients d'exiger contractuellement le MFA sur tous les comptes du fournisseur qui accèdent à leur environnement.
Les 12 questions à poser à votre fournisseur TI
Ces questions s'inspirent des lignes directrices du Centre canadien (ITSM.50.030 et ITSAP.00.070) et de l'avis conjoint de 2022.
| # | Question | Une bonne réponse ressemble à… | Signal d'alarme |
|---|---|---|---|
| 1 | Quels comptes utilisez-vous pour accéder à notre environnement ? | Des comptes nominatifs par technicien, avec la liste fournie sur demande | Un compte « admin » partagé par toute l'équipe |
| 2 | Le MFA est-il obligatoire sur tous vos accès à nos systèmes et à vos outils ? | Oui, partout, idéalement résistant à l'hameçonnage pour les comptes d'administration | « Sur la plupart » ou « on y travaille » |
| 3 | Comment est sécurisé votre outil de télégestion (RMM) ? | MFA, accès restreint, mises à jour suivies, journalisation des actions | Aucune réponse précise |
| 4 | Vos comptes ont-ils seulement les droits nécessaires ? | Moindre privilège ; droits élevés accordés au besoin, puis retirés | Administrateur global permanent pour tous |
| 5 | Journalisez-vous vos actions chez nous, et pouvons-nous voir ces journaux ? | Oui, journaux conservés et accessibles sur demande | « On ne garde rien » |
| 6 | Si vous subissez un incident, en combien de temps serons-nous avisés ? | Un délai écrit au contrat et un contact nommé | « On vous le dirait, c'est sûr » |
| 7 | Comment sont faites et testées nos sauvegardes ? | Copie isolée ou immuable, tests de restauration documentés | « Ça roule tout seul » |
| 8 | Où nos données sont-elles stockées, et par qui sont-elles accessibles ? | Emplacement précis (pays, fournisseur infonuagique), liste des sous-traitants | Emplacement inconnu |
| 9 | Faites-vous appel à des sous-traitants ? | Oui ou non, avec les mêmes exigences contractuelles | Sous-traitance non divulguée |
| 10 | Avez-vous un rapport d'audit indépendant (SOC 2, ISO 27001) ou une évaluation externe ? | Oui, avec la portée, ou une explication claire de vos contrôles à défaut | Refus de toute vérification |
| 11 | Formez-vous votre personnel à la sécurité ? | Formation régulière, vérification des antécédents des techniciens | Aucune formation |
| 12 | Qu'arrive-t-il à nos accès et à nos données à la fin du contrat ? | Procédure de sortie écrite : remise des accès, des données et de la documentation, puis destruction | « On verra rendu là » |
Notez les réponses par écrit. Un bon fournisseur ne s'offusque pas de ces questions ; il a souvent déjà un document qui y répond.
Les clauses à prévoir au contrat
Les réponses verbales ne valent pas grand-chose le jour d'un incident. Faites inscrire au contrat, avec l'aide de votre conseiller juridique :
- les mesures de protection des renseignements personnels exigées par l'article 18.3 de la Loi 25 ;
- l'obligation d'aviser votre responsable RP sans délai de toute violation ou tentative de violation ;
- le MFA obligatoire sur tous les comptes du fournisseur ;
- le droit de consulter les journaux d'activité du fournisseur dans votre environnement ;
- un délai d'avis en cas d'incident chez le fournisseur ;
- la liste des sous-traitants et l'obligation de vous aviser de tout changement ;
- la propriété de vos données, des mots de passe et de la documentation ;
- une procédure de sortie : remise des accès, transfert des données, destruction des copies.
Les angles morts du côté du client
L'évaluation du fournisseur ne vous dispense pas de faire votre part. L'avis conjoint de 2022 recommande aux clients de vérifier, au moyen d'audits, que les comptes du fournisseur servent à des fins appropriées, et de désactiver ceux qui ne servent plus.
- Gardez un compte d'administration d'urgence dont vous seul avez les identifiants, rangé en lieu sûr.
- Soyez propriétaire de vos abonnements : Microsoft 365, nom de domaine, pare-feu, logiciel de sauvegarde.
- Revoyez les comptes du fournisseur au moins une fois par année.
Prenons un cabinet d'ingénieurs de Sherbrooke de 35 employés. En changeant de fournisseur, il découvre que l'ancien détient encore trois comptes d'administration globale dans son Microsoft 365, et que le nom de domaine est enregistré au nom du fournisseur. Rien de malveillant, mais une dépendance totale, invisible jusqu'au jour du départ.
Fournisseur TI, fournisseur de sécurité ou les deux ?
Un fournisseur de services gérés (MSP) entretient vos TI ; ce n'est pas forcément un spécialiste de la sécurité. Certaines PME combinent un MSP pour l'exploitation et un regard indépendant pour la sécurité, afin que celui qui configure ne soit pas le seul à vérifier. Notre comparatif MSP, MSSP, vCISO ou ressource interne aide à choisir le bon modèle. Les certifications évoquées plus haut sont expliquées dans notre article ISO 27001 ou SOC 2 pour une PME.
Si vous voulez qu'un tiers indépendant pose ces questions pour vous et vérifie les réponses dans votre environnement, c'est précisément ce que nous faisons dans le cadre de notre accompagnement continu en sécurité. Et pour comprendre comment une compromission de fournisseur peut dégénérer, relisez l'anatomie d'une attaque par rançongiciel.
Questions fréquentes
Pourquoi les fournisseurs de services gérés sont-ils ciblés par les pirates ?+
Parce qu'un seul fournisseur donne accès à des dizaines de clients. Le Centre canadien pour la cybersécurité souligne que les fournisseurs de services gérés sont des cibles attrayantes en raison de leur accès à de nombreux systèmes clients. En juillet 2021, l'attaque menée par le biais de la plateforme Kaseya VSA a montré qu'un rançongiciel pouvait se propager d'un fournisseur à ses clients.
Un rapport SOC 2 ou une certification ISO 27001 suffisent-ils ?+
Ils sont un bon signe, mais pas une garantie. Vérifiez la portée : le rapport couvre-t-il les services qu'on vous rend et les outils d'accès à distance ? Un SOC 2 de type 2 évalue l'efficacité des contrôles sur une période, alors qu'un type 1 ne les évalue qu'à un moment précis. Beaucoup de petits fournisseurs n'en ont pas ; leurs réponses aux questions de cet article deviennent alors encore plus importantes.
Que doit contenir le contrat avec mon fournisseur TI selon la Loi 25 ?+
Si le fournisseur a accès à des renseignements personnels, le mandat doit être confié par écrit et préciser les mesures qu'il doit prendre pour en protéger la confidentialité, n'utiliser les renseignements que pour son mandat et ne pas les conserver après la fin du contrat. Le fournisseur doit aussi aviser sans délai votre responsable de la protection des renseignements personnels de toute violation ou tentative de violation. Faites valider le contrat par votre conseiller juridique.
À quelle fréquence faut-il réévaluer son fournisseur TI ?+
Au moins une fois par année, et lors de tout changement important : renouvellement du contrat, nouveau service, acquisition du fournisseur ou incident. Le Centre canadien recommande de réévaluer régulièrement les fournisseurs et de faire appel à une évaluation par un tiers pour les fournisseurs critiques.
Sources
- 1.Centre canadien pour la cybersécurité : Facteurs à considérer par les clients de services gérés en matière de cybersécurité (ITSM.50.030)
- 2.Centre canadien pour la cybersécurité : Cybersécurité de la chaîne d'approvisionnement pour les petites et moyennes organisations (ITSAP.00.070)
- 3.Centre canadien pour la cybersécurité : Cyberincident causé par un rançongiciel lié à la chaîne d'approvisionnement visant plusieurs fournisseurs de services gérés (juillet 2021)
- 4.CISA et partenaires (dont le Centre canadien) : Protecting Against Cyber Threats to Managed Service Providers and their Customers (AA22-131A, mai 2022)
- 5.LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1)