Votre rendez-vous du dimanche · Série risques
Votre registre a maintenant ses colonnes essentielles. Vous avez nommé les scénarios qui arrêteraient l'entreprise, donné à chacun ses quatre propriétaires, regardé ce que les attaquants voient de vous en premier, et dimanche dernier, remplacé « les pirates » par une source qui dit qui, pourquoi et comment. Il reste une question que presque tous les registres esquivent : où sont vos fournisseurs ?
Dans la plupart des organisations, ils sont ailleurs. Dans un autre fichier, tenu par les achats ou la conformité, avec une note, un questionnaire annuel et une date de renouvellement. Notre position : votre liste de fournisseurs n'est pas un registre de risques. Un tiers qui peut arrêter l'entreprise a sa place dans le même registre que vos autres risques, avec ses propres scénarios, ses propriétaires et sa probabilité.
Deux fichiers qui ne se parlent pas
Le registre des tiers répond à une question utile : ce fournisseur est-il bien géré ? Le registre de risques en pose une autre : qu'est-ce qui pourrait arrêter l'entreprise, et qui en décide ? Tant que les deux vivent séparément, trois choses deviennent impossibles.
- Comparer. Le comité de direction voit dix scénarios internes et aucun scénario fournisseur. Il arbitre donc son budget comme si les tiers n'existaient pas, alors qu'ils portent souvent les dépendances les plus lourdes.
- Décider. Une note de fournisseur qui baisse ne dit pas quel processus est menacé ni ce que coûterait sa perte. Personne n'a l'autorité de dire « on accepte » ou « on change de fournisseur », parce que le risque n'appartient à personne dans la direction.
- Réagir. Le jour où un fournisseur annonce un incident, la première question est « qu'est-ce que ça touche chez nous ? ». Si la réponse n'est écrite nulle part, on la cherche pendant l'incident.
Ce que ça change : la question n'est pas de fusionner deux fichiers, mais de faire monter dans le registre de risques les tiers dont la perte, la compromission ou l'accès pourrait arrêter un processus essentiel.
Ce que disent les cadres et les chiffres
Le NIST Cybersecurity Framework 2.0, publié en février 2024, est explicite. La gestion des risques de la chaîne d'approvisionnement doit être intégrée à la gestion des risques cyber et des risques d'entreprise (GV.SC-03), et les risques posés par un fournisseur, ses produits et services et les autres tiers sont compris, consignés, priorisés, évalués, traités et surveillés pendant toute la relation (GV.SC-07). Consignés : pas dans un fichier à part, dans le processus de gestion des risques.
La ligne directrice B-10 du BSIF, qui s'applique aux institutions financières fédérales, ajoute deux nuances utiles à toute organisation. Elle définit la criticité d'une relation par l'impact d'un incident, indépendamment de sa probabilité. Et elle précise que l'absence de contrat écrit n'implique pas l'absence de relation de tiers, ni de risque tiers. Statut : texte publié par l'autorité de réglementation.
Les chiffres vont dans le même sens. Selon le Data Breach Investigations Report 2026 de Verizon, publié le 19 mai, les brèches impliquant un tiers représentent désormais 48 % de l'ensemble des brèches, une hausse de 60 % sur un an. Statut : rapporté par Verizon, d'après ses propres données. L'Évaluation des cybermenaces nationales 2025-2026 du Centre canadien pour la cybersécurité fait de la concentration des fournisseurs l'une de ses tendances : un incident qui touche un seul fournisseur dominant peut toucher un secteur entier. Elle rappelle aussi qu'avec MOVEit seulement, le groupe CL0P a touché environ 2 750 entreprises et 94 millions de personnes en exploitant un logiciel de transfert de fichiers. Statut : évaluation officielle du gouvernement du Canada.
Trois façons dont un tiers entre dans un scénario
Reprenez la phrase en quatre parties du premier épisode : une source, un événement, ce qui est touché, la conséquence d'affaires. Un tiers peut occuper trois places dans cette phrase, et chacune donne un scénario différent. Les exemples qui suivent sont fictifs.
1. Le tiers est la porte d'entrée. Il a un accès chez vous : un prestataire TI qui administre vos serveurs à distance, une intégration qui détient une clé d'API, un frigoriste qui entretient des contrôleurs reliés à Internet. Exemple : « Un groupe de rançongiciel compromet l'outil d'accès à distance de notre prestataire TI et s'en sert pour chiffrer nos serveurs ; la production s'arrête cinq jours. » La source est un attaquant, mais le chemin passe par le tiers.
2. Le tiers détient ce qui est touché. Vos données sont chez lui : la paie, le dossier client, la plateforme de commerce en ligne. Exemple : « Le fournisseur de notre logiciel de paie subit un vol de données ; les renseignements personnels de nos 400 employés sont publiés ; un incident de confidentialité est à déclarer au sens de la Loi 25. » Vous n'avez pas été attaqué, mais la conséquence est la vôtre.
3. Le tiers est la dépendance. Il s'arrête, vous vous arrêtez. Exemple : « Notre transporteur unique perd ses systèmes de répartition pendant deux semaines ; nous ne pouvons plus livrer nos trois plus gros clients. » Ici, il n'y a rien à « sécuriser » chez vous. Le traitement est un mode dégradé, un second fournisseur ou un plan de sortie, ce que notre article sur le risque de concentration détaille.
Ce que ça change : un même fournisseur peut porter deux ou trois scénarios. Votre prestataire TI est à la fois une porte d'entrée et une dépendance. Les écrire séparément, c'est choisir des traitements différents pour chacun.
Les colonnes de la série s'appliquent aussi aux tiers
Un scénario fournisseur n'a pas de régime spécial. Il passe par les mêmes colonnes que les autres.
- Les propriétaires. Celui qui accepte est le dirigeant dont le processus s'arrêterait, pas l'acheteur qui a signé le contrat. Celui qui traite est souvent le gestionnaire du contrat, avec la TI. Celui qui surveille suit les signaux du fournisseur. Celui qui rend compte présente le scénario au comité, comme les autres.
- L'exposition. Ce que le fournisseur expose sur Internet compte autant que ce qu'il déclare dans son questionnaire. Un prestataire qui se dit à jour et dont la passerelle VPN ne l'est pas est un signal.
- La source. Certains groupes visent précisément les prestataires qui donnent accès à beaucoup de clients d'un coup. L'évaluation du Centre canadien le dit : les attaques par rançongiciel contre la chaîne d'approvisionnement numérique vont presque certainement se poursuivre au cours des deux prochaines années.
Les quatre pièges
La note prise pour le risque. Une note de fournisseur mesure sa posture, pas votre conséquence. Un fournisseur bien noté dont vous ne pouvez pas vous passer peut rester votre plus gros risque.
Le questionnaire annuel pris pour une surveillance. Il dit ce que le fournisseur déclarait un jour de l'année. Le NIST CSF demande une surveillance pendant toute la relation, pas à la signature.
Le contrat pris pour la liste. Les applications installées en un clic, les plateformes sectorielles obligatoires, l'organisme dont vous dépendez sans facture : B-10 le rappelle, pas de contrat ne veut pas dire pas de tiers.
Le tiers sans propriétaire interne. « Le fournisseur s'en occupe » n'est pas un propriétaire. On peut sous-traiter l'exploitation, jamais la responsabilité du risque.
Le test de la semaine : trente minutes, cinq fournisseurs
Réunissez la personne qui tient le registre de risques et celle qui tient la liste des fournisseurs.
- Prenez vos cinq tiers les plus critiques : ceux dont la perte arrêterait un processus essentiel dans la semaine.
- Pour chacun, cherchez dans le registre de risques les scénarios qui le nomment.
- Pour ceux qui n'y sont pas, écrivez un scénario en quatre parties, en choisissant sa place : porte d'entrée, détenteur de vos données ou dépendance.
- Nommez le dirigeant qui accepterait ce risque.
Trois résultats doivent vous alerter. Un fournisseur critique absent du registre : son risque n'est arbitré par personne. Un scénario interne qui ignore un tiers évident, comme un rançongiciel sur l'ERP sans mention de l'hébergeur ou de l'intégrateur : la moitié du chemin manque. Un acheteur comme seul propriétaire : la personne qui négocie le prix n'est pas celle qui porte la perte.
Ce que vous devriez avoir dimanche prochain
Le même registre, avec cinq à dix scénarios de plus, chacun rattaché à un tiers nommé et à sa place dans la phrase. À côté de chaque ligne, le dirigeant qui l'accepte, et la date du prochain signal à vérifier chez le fournisseur. Votre liste de fournisseurs reste utile : elle alimente désormais le registre au lieu de vivre à côté.
Où FortaRisks intervient
Pour commencer, notre questionnaire de sécurité fournisseur gratuit génère un questionnaire adapté à chaque tiers, et le diagnostic fournisseurs situe la maturité de votre programme en quelques minutes.
Pour suivre ces tiers en continu, Forta Fournisseurs croise le questionnaire de chaque fournisseur avec le balayage externe de sa vraie surface d'attaque, avec une première alerte sous 48 heures. Ces signaux remontent dans Forta Cockpit, la vue des décideurs, là où se trouve le registre : un fournisseur qui se dégrade fait bouger les scénarios qui le nomment, pas seulement sa fiche. Le vocabulaire est dans notre fiche sur la gestion du risque tiers.
Dimanche prochain : la concentration dans le registre. Quand plusieurs scénarios tiennent au même fournisseur, ce ne sont plus plusieurs petits risques. C'est un seul gros, qu'il faut voir comme tel.
Sources : NIST, Cybersecurity Framework 2.0 (CSWP 29, 26 février 2024) · BSIF, ligne directrice B-10 sur la gestion du risque lié aux tiers · Verizon, Data Breach Investigations Report 2026 (19 mai 2026) · Centre canadien pour la cybersécurité, Évaluation des cybermenaces nationales 2025-2026