Posez la question à votre comité de direction : combien de vos fournisseurs pourraient arrêter votre activité demain ? La réponse spontanée tourne presque toujours autour de trois ou quatre noms : l'hébergeur, le logiciel de gestion, peut-être le prestataire TI. Elle est presque toujours fausse, et pas parce qu'il en manque quelques-uns. Elle est fausse parce que le fournisseur qui peut vous arrêter n'est souvent pas sur la liste de ceux que vous payez.
Cet automne l'a montré à plusieurs reprises. Les organisations qui ont dû prévenir leurs clients, suspendre leurs activités ou attendre la reprise d'un autre n'avaient, pour la plupart, pas été attaquées elles-mêmes. Elles dépendaient d'un maillon qu'elles ne voyaient pas, ou qu'elles partageaient avec tout le monde.
Le fournisseur que vous partagez avec tout votre secteur
Le 20 septembre, un rançongiciel a frappé Data Hub, le centre de données qui héberge les serveurs de 72 des 90 maisons de courtage inscrites à la Bourse du Népal. Les transactions ont été suspendues une journée entière, le 21 septembre, et ont repris le 22. Statut : rapporté par la presse népalaise. Nous l'avions analysé dans notre article sur trois incidents passés par un prestataire : aucun courtier n'a été visé individuellement. Ils avaient tous choisi, un par un et pour de bonnes raisons de coût, le même prestataire.
C'est la définition même du risque de concentration. La ligne directrice B-10 du Bureau du surintendant des institutions financières (BSIF) en distingue deux formes. La première est propre à une organisation : le risque de perte ou de préjudice qui découle d'une dépendance excessive à un seul tiers. La seconde est systémique : la concentration de la prestation de services d'un tiers, ou d'une zone géographique, entre plusieurs institutions. B-10 vise les institutions financières fédérales, mais la logique vaut pour n'importe quelle organisation : la question n'est pas seulement « ce fournisseur est-il fiable ? », mais « qui d'autre en dépend, et que se passe-t-il si tout le monde le perd le même jour ? ».
Ce que ça change : un fournisseur peut être solide, bien noté et bien géré, et rester votre plus gros risque, simplement parce que vous ne pouvez pas vous en passer et que vos concurrents, vos clients ou vos autres fournisseurs non plus.
Le fournisseur de votre fournisseur
La deuxième forme est plus discrète. En septembre, Master of Malt a dû prévenir ses clients que leurs coordonnées étaient entre les mains d'attaquants. Master of Malt n'avait pas été piraté : sa boutique tourne sur BigCommerce, et deux applications installées sur la plateforme détenaient une clé d'API qui a servi aux attaquants. BigCommerce a confirmé la compromission. La même semaine, Cooksongold a demandé à ses clients de faire remplacer leur carte bancaire, après un accès non autorisé chez le prestataire qui gère l'authentification de ses paiements. Statut : confirmé par les entreprises.
Dans les deux cas, la chaîne compte au moins un maillon de plus que ce que le registre des tiers connaissait. Une application ajoutée depuis la place de marché d'un logiciel en mode SaaS n'apparaît presque jamais comme un fournisseur. Le prestataire de paiement d'un prestataire de commerce électronique non plus. B-10 en tient compte : elle définit le sous-traitant comme une entité de la chaîne d'approvisionnement du tiers, et demande d'évaluer la concentration selon plusieurs dimensions, dont la géographie, le fournisseur et le sous-traitant.
Le cas du FBI, début octobre, ajoute une nuance. Le Bureau a confirmé qu'une intrusion sur une plateforme gérée par un tiers résultait d'un correctif publié mais jamais appliqué par le prestataire, et a retiré ce dernier. Statut : confirmé par le FBI ; le nom du prestataire est seulement rapporté par Reuters. Nous en parlions dans notre article sur les outils de sécurité : on peut sous-traiter l'exploitation d'une plateforme, pas la responsabilité de ce qui s'y passe.
Les dépendances que vous n'avez pas choisies
La troisième forme ne figure même pas dans les contrats. Fin août, la Commission de la construction du Québec a fermé ses services en ligne et téléphoniques pendant quinze jours après une cyberattaque. Les employeurs et les travailleurs de toute une industrie dépendaient d'elle pour les cartes de compétence, les heures, l'assurance. Aucun d'eux ne l'avait choisie comme fournisseur. Nous en avons tiré cinq leçons de continuité, dont celle-ci : un registre des tiers qui ne contient que ceux à qui vous payez des factures rate les organismes, les plateformes sectorielles et les registres obligatoires qui, s'ils s'arrêtent, vous arrêtent.
Et les grands prestataires ne sont pas à l'abri. En juillet, un acteur malveillant a revendiqué le vol de code source et de jetons d'accès chez Accenture ; l'entreprise a confirmé un incident limité. Statut : vol revendiqué, incident confirmé. Le point n'est pas de mettre en doute un prestataire en particulier, mais de constater que plus un prestataire sert de clients, plus un incident chez lui touche de monde à la fois.
Le coût suit. Selon le rapport 2026 d'IBM sur le coût d'une brèche, la compromission de la chaîne d'approvisionnement est le facteur qui alourdit le plus la facture au Canada, d'environ 367 900 $ par incident, pour un coût moyen de 7,11 millions de dollars. Statut : rapporté.
La méthode : cartographier vos dépendances critiques en quatre étapes
Le NIST Cybersecurity Framework 2.0, publié en février 2024, a fait de la chaîne d'approvisionnement une catégorie à part entière de sa fonction Gouverner. L'une de ses exigences tient en une ligne : les fournisseurs sont connus et priorisés selon leur criticité (GV.SC-04). C'est simple à écrire et difficile à faire. Voici une méthode qui tient en une demi-journée.
1. Partir des processus, pas de la liste des fournisseurs. Reprenez les processus qui arrêteraient l'entreprise, ceux que vous avez nommés en écrivant vos dix premiers scénarios de risque : encaisser, produire, livrer, payer, servir les clients. Pour chacun, une seule question : de quels tiers ce processus a-t-il besoin pour tourner demain matin ?
2. Compter aussi ceux que vous ne payez pas. Ajoutez les applications installées dans vos logiciels SaaS, les intégrations qui détiennent une clé d'API ou un accès délégué, les organismes et plateformes sectorielles obligatoires, le prestataire de paiement, le fournisseur d'identité. Pour chacun, notez ce qu'il peut lire ou modifier chez vous.
3. Descendre d'un niveau, une seule fois. Pour les cinq à dix tiers les plus critiques, demandez de quoi ils dépendent eux-mêmes : où sont-ils hébergés, qui traite leurs paiements, qui exploite leur centre de données ? Vous ne cherchez pas l'exhaustivité, vous cherchez les points communs : le même hébergeur derrière trois de vos fournisseurs, le même centre de données que la moitié de votre secteur. Ce sont vos concentrations.
4. Pour chaque concentration, écrire trois choses. Le mode dégradé : comment l'entreprise fonctionne une journée, puis une semaine, sans ce tiers. Le plan de sortie : B-10 demande des plans de sortie en situation normale et en situation de crise pour les ententes critiques, et le NIST CSF prévoit ce qui se passe à la fin d'une relation (GV.SC-10). Et la clause de notification : en combien d'heures ce tiers vous prévient-il d'un incident, y compris chez ses propres sous-traitants ?
Ce que ça change : la liste qui sort de cet exercice est courte. C'est voulu. Elle ne remplace pas votre registre des tiers, elle dit lesquels méritent un suivi continu plutôt qu'un questionnaire annuel, et le NIST CSF le demande explicitement : les risques d'un fournisseur sont compris, priorisés et surveillés tout au long de la relation (GV.SC-07), pas seulement à la signature.
Le test de la semaine : trente minutes, une question
Réunissez la personne des finances, celle des opérations et celle de la TI. Posez la question du début : combien de nos fournisseurs pourraient arrêter notre activité demain ?
- Chacun écrit sa liste, seul, en cinq minutes.
- Comparez les trois listes. Notez les noms qui n'apparaissent que sur une seule.
- Pour chaque nom retenu, répondez : qui d'autre dans notre secteur en dépend ? Et de quoi dépend-il lui-même ?
- Comptez les tiers pour lesquels vous avez un mode dégradé écrit.
Trois résultats doivent vous alerter. Trois listes très différentes : personne n'a la même vision des dépendances, donc personne ne les gère. Aucun nom que vous ne payez pas : vous ratez les applications, les organismes et les plateformes qui peuvent vous arrêter sans contrat. Zéro mode dégradé écrit : le jour où ce tiers tombe, vous improviserez.
Ce que vous devriez avoir dans deux semaines
Une page. La liste de vos dépendances critiques, de cinq à quinze lignes, avec pour chacune le processus qu'elle porte, ce qu'elle détient chez vous, ses propres dépendances principales, et une colonne « mode dégradé » dont les trous sont bien visibles. En marge, les concentrations : les tiers que vous partagez avec votre secteur, et les sous-traitants qui reviennent derrière plusieurs de vos fournisseurs.
Où FortaRisks intervient
Pour commencer sans outil, notre questionnaire de sécurité fournisseur gratuit génère un questionnaire adapté à chaque tiers, sous-traitants, localisation des données et notification d'incident compris, exportable en CSV. Pour situer votre programme, le diagnostic fournisseurs vous donne une lecture de votre maturité en quelques minutes.
Pour suivre en continu les tiers qui peuvent vous arrêter, y compris ceux que vous n'avez pas choisis, Forta Fournisseurs croise en continu le questionnaire de chaque fournisseur avec le balayage externe de sa vraie surface d'attaque : l'écart entre ce qu'il déclare et ce qu'on observe devient un signal explicite, avec une première alerte sous 48 heures, plutôt qu'au rythme d'une campagne annuelle. Le vocabulaire est dans notre fiche sur la gestion du risque tiers.
Sources : BSIF, ligne directrice B-10 sur la gestion du risque lié aux tiers · NIST, Cybersecurity Framework 2.0 (CSWP 29, 26 février 2024) · Nepal News, la Bourse du Népal et Data Hub · BleepingComputer, BigCommerce et les applications Ribon · Cooksongold, avis d'atteinte aux données · The Hacker News, le FBI et le prestataire · CCQ, remise en ligne du site · Benefits and Pensions Monitor, rapport IBM 2026 au Canada