Risque fournisseur : évaluation et contrôle tiers

Le risque fournisseur désigne l'ensemble des menaces cybersécurité introduites dans le système d'information d'une organisation via ses prestataires, éditeurs logiciels ou sous-traitants. L'évaluation et le contrôle tiers constituent le coeur de la gestion de ce vecteur d'attaque. Un fournisseur compromis peut servir de pivot pour atteindre ses clients : c'est le principe des attaques de type supply chain. Le mécanisme technique est direct : un composant logiciel légitime, un accès VPN prestataire ou une mise à jour signée devient un vecteur d'intrusion. La compromission de l'environnement de build d'un éditeur permet d'injecter du code malveillant dans un livrable signé, contournant les contrôles de confiance habituels. Ce risque est amplifié par la multiplication des interconnexions API, des accès distants permanents accordés aux prestataires de maintenance, et des dépendances logicielles transitives non maîtrisées (bibliothèques open source, modules npm, packages PyPI). La surface d'attaque réelle dépasse donc le périmètre direct de l'organisation. Toute stratégie de sécurité qui ignore les tiers sous-estime structurellement son exposition réelle.

La détection des compromissions liées au risque fournisseur repose sur la surveillance des accès tiers et des comportements anormaux post-connexion. Côté Blue Team, les événements Windows à surveiller incluent les ID 4624 et 4625 (authentification réussie ou échouée) associés à des comptes de service prestataires, ainsi que l'ID 4648 (utilisation explicite de credentials). Les connexions VPN prestataires doivent être corrélées avec les plages horaires contractuelles et les adresses IP déclarées. Un accès depuis une géolocalisation inhabituelle ou hors des heures convenues doit déclencher une alerte. Les outils SIEM (Splunk, Microsoft Sentinel, Elastic SIEM) permettent de créer des règles de corrélation spécifiques aux comptes tiers. La surveillance des flux DNS et des connexions sortantes initiées depuis des postes liés à des outils de télémaintenance (TeamViewer, AnyDesk, ScreenConnect) est indispensable. Les indicateurs de compromission incluent des transferts de données inhabituels, des créations de comptes locaux par des processus enfants d'un outil tiers, ou des modifications de tâches planifiées. Un inventaire précis des accès actifs est un prérequis opérationnel à toute détection efficace.

Côté Red Team, le risque fournisseur est exploité via plusieurs techniques documentées dans MITRE ATT&CK (T1195 Supply Chain Compromise, T1199 Trusted Relationship). L'objectif est d'abuser de la confiance implicite accordée à un tiers pour contourner les contrôles périmètriques. Les vecteurs concrets incluent la compromission d'un outil de déploiement (SolarWinds Orion en est l'exemple de référence), l'injection dans un package open source publié sur un registre public, ou l'exploitation d'un accès VPN prestataire avec des credentials volés. Les tests d'intrusion orientés tiers (TPRM Red Team) consistent à cartographier les accès prestataires actifs, tester la segmentation réseau entre zones prestataires et coeur de métier, et vérifier l'application du principe de moindre privilège sur ces comptes. Côté contre-mesures, le durcissement passe par : révocation systématique des accès en fin de mission, MFA obligatoire sur tous les accès tiers, segmentation réseau stricte (VLAN dédié, zero trust), et audits contractuels incluant des clauses de notification d'incident sous 72 heures. Un programme TPRM structuré (questionnaires ISO 27001, NIST CSF, évaluations continues via SecurityScorecard ou BitSight) complète le dispositif technique.