Le programme de TPRM d’une grande compagnie d’assurance attribuait les fréquences de réévaluation selon le niveau de risque des fournisseurs : les fournisseurs de niveau 1 (critiques, volume de données élevé) étaient évalués chaque année, ceux de niveau 2 (importants, volume de données modéré) tous les deux ans, et ceux de niveau 3 tous les trois ans. Les fréquences avaient été calibrées sur les caractéristiques des fournisseurs au moment du classement. Un fournisseur d’analyse de données avait été classé au niveau 2 lors de son intégration trois ans plus tôt : il traitait des données d’analyse clients pour la compagnie d’assurance, comptait une équipe de quarante personnes et opérait dans deux régions cloud. Son évaluation était prévue six mois plus tard selon le calendrier biennal. Au cours des dix-huit mois écoulés depuis la dernière évaluation, ce fournisseur avait connu une forte croissance : trois cents millions d’enregistrements clients supplémentaires traités, une extension à trois régions cloud, dont une région de l’UE aux implications réglementaires différentes, une équipe de développement passée de quarante à cent employés, et la déclaration d’un incident de sécurité touchant un autre client. L’exposition de la compagnie d’assurance avait sensiblement augmenté. La fréquence de réévaluation reposait sur le classement au niveau 2 fixé dix-huit mois plus tôt. Le niveau et la fréquence correspondante n’avaient pas été réexaminés à mesure que le profil de risque de la relation augmentait.
Le problème de la fréquence de réévaluation des fournisseurs : de quoi s’agit-il vraiment ?
La fréquence de réévaluation d’un fournisseur est le rythme auquel une relation avec un fournisseur fait l’objet d’une évaluation de sécurité formelle, c’est-à-dire l’examen approfondi périodique qui confirme la posture de sécurité du fournisseur, identifie les changements de contrôles et met à jour la notation des risques de la relation. Les fréquences de réévaluation sont généralement fixées en fonction du niveau de risque du fournisseur, les fournisseurs plus risqués étant évalués plus souvent. Le problème de calibrage de la fréquence survient lorsque le profil de risque du fournisseur change sensiblement entre deux évaluations sans déclencher de revue de la fréquence.
Les niveaux de risque sont généralement fixés lors de l’intégration, en fonction des caractéristiques du fournisseur à ce moment-là : volume de données, sensibilité des données, profondeur de l’intégration des systèmes et taille du fournisseur. Ces caractéristiques changent avec le temps, à mesure que les relations mûrissent et que les fournisseurs se développent. Un fournisseur qui était une jeune pousse avec un volume de données modeste lors de l’intégration peut être devenu deux ans plus tard un sous-traitant important de données sensibles. Un fournisseur qui proposait une offre de produits ciblée peut s’être étendu à plusieurs produits aux profils de risque différents. Un fournisseur qui opérait dans une seule région cloud peut s’être étendu à plusieurs régions aux implications réglementaires différentes. Chacun de ces changements peut rendre le classement d’origine et la fréquence de réévaluation correspondante insuffisants pour la relation actuelle.
Le problème du niveau figé est le mécanisme par lequel la fréquence de réévaluation se décalibre. Dans la plupart des programmes de TPRM, les niveaux fixés lors de l’intégration sont durables : ils ne sont mis à jour que par des processus de réévaluation formels qui exigent des preuves et une approbation de gouvernance. En l’absence de déclencheur formel, les niveaux persistent. Les fréquences de réévaluation calibrées sur les niveaux initiaux persistent avec eux. Le fournisseur passé du stade de jeune pousse à celui de sous-traitant important est réévalué à la fréquence du niveau de jeune pousse, car aucun processus n’a reconnecté le niveau aux caractéristiques actuelles du fournisseur.
- Niveaux figés : niveaux fixés lors de l’intégration et non mis à jour lorsque le profil de risque du fournisseur évolue
- Aucun déclencheur de revue de la fréquence : les changements importants d’échelle et de profil de risque du fournisseur ne déclenchent pas de revue de la fréquence de réévaluation
- Croissance du volume de données non suivie : l’augmentation des volumes de données traitées n’est pas reliée au recalibrage du niveau et de la fréquence
- Croissance du fournisseur non évaluée : une croissance importante de l’équipe et de l’infrastructure du fournisseur ne déclenche pas de revue du niveau
- Incidents de sécurité ne déclenchant pas d’accélération de la fréquence : incidents déclarés n’avançant pas le calendrier de réévaluation
Pourquoi c’est important
La fréquence de réévaluation des fournisseurs est importante pour la TPRM, car la fréquence des évaluations formelles doit refléter le profil de risque actuel de la relation, qui change à mesure que le fournisseur et la relation évoluent. Un rythme d’évaluation biennal adapté à une relation à risque modéré devient insuffisant lorsque le volume de données, la complexité réglementaire et la posture de sécurité du fournisseur ont sensiblement changé depuis le dernier calibrage du niveau. L’examinateur réglementaire qui demande pourquoi un fournisseur traitant trois cents millions d’enregistrements clients a fait l’objet d’une évaluation biennale plutôt qu’annuelle ne se satisfera pas d’une réponse qui remonte au niveau fixé lors de l’intégration.
Le cas de l’accélération après un incident de sécurité est la dimension la plus immédiate sur le plan opérationnel. Lorsqu’un fournisseur déclare un incident de sécurité touchant d’autres clients, la pertinence de cet incident pour la relation du client ne dépend pas de l’échéance de l’évaluation formelle. Une évaluation ciblée accélérée, axée sur la présence du type d’incident ou des vulnérabilités exploitées dans les systèmes concernés, fournit en temps utile des renseignements sur les risques qu’une revue biennale planifiée n’apporte pas.
Là où la plupart des équipes se trompent
La défaillance la plus constante consiste à ne pas relier les obligations de revue des niveaux aux changements importants chez le fournisseur qui devraient les déclencher. Des revues annuelles qui confirment le niveau d’origine sans évaluer si la croissance du fournisseur, l’évolution des volumes de données ou des incidents de sécurité justifient un relèvement prolongent les classements initiaux au-delà de la période pour laquelle ils avaient été calibrés.
- Revues de niveau qui confirment le classement d’origine au lieu d’évaluer le profil de risque actuel
- Aucun déclencheur de changement important pour accélérer la fréquence : la croissance du fournisseur, les incidents et les changements réglementaires ne déclenchent pas de revue du rythme
- Croissance du volume de données non suivie au regard des seuils de calibrage des niveaux
- Incident de sécurité ne déclenchant pas d’évaluation ciblée
- Fréquence de réévaluation fixée lors de l’intégration et supposée stable
À quoi ressemblent les bonnes pratiques
Les programmes matures de gestion de la fréquence de réévaluation relient les classements aux caractéristiques actuelles des fournisseurs au moyen de revues annuelles des niveaux qui évaluent si l’échelle, le volume de données et le profil de risque actuels du fournisseur justifient le niveau actuel, et mettent en place des déclencheurs de changement important qui accélèrent la réévaluation lorsque des changements significatifs surviennent entre deux revues planifiées.
- Revue annuelle du niveau au regard des caractéristiques actuelles du fournisseur : non pas une confirmation du niveau d’origine, mais une évaluation de l’adéquation actuelle
- Seuils de volume de données déclenchant un relèvement de niveau : seuils de traitement des données définis qui déclenchent une revue du niveau
- Incident de sécurité déclenchant une évaluation ciblée : incidents déclarés entraînant une revue ciblée accélérée
- Déclencheurs liés à la croissance du fournisseur : une croissance importante de l’équipe, de l’infrastructure ou du périmètre déclenche une évaluation du niveau
- Fréquence de réévaluation alignée sur le niveau actuel : fréquence mise à jour lorsque le niveau est relevé
Outils
Plateformes de TPRM : ProcessUnity, Prevalent, Venminder
Les plateformes de TPRM dotées d’une gestion dynamique des niveaux permettent d’ajuster la fréquence de réévaluation en fonction des classements mis à jour, en adaptant automatiquement les calendriers d’évaluation lorsque les niveaux changent. Pour les praticiens de la TPRM, demander si la plateforme prend en charge des déclencheurs de relèvement de niveau fondés sur des seuils définis constitue une question précise sur la gestion dynamique de la fréquence.
Intégration de la surveillance continue : BitSight associé à un circuit de TPRM
L’intégration des signaux de notation de sécurité continue aux plateformes de gestion des circuits de TPRM permet de lancer automatiquement des évaluations ciblées lorsque des seuils de notation de sécurité sont franchis, ce qui fournit un mécanisme d’escalade automatisé reliant les signaux de surveillance aux actions d’évaluation. Pour les praticiens de la TPRM, demander si les signaux de surveillance sont reliés au déclenchement des circuits d’évaluation constitue une question précise sur les capacités d’intégration.
Enjeux de gouvernance
Le défi de gouvernance de la fréquence de réévaluation est la discipline des revues de niveau. Des revues annuelles qui confirment systématiquement les niveaux ne réalisent peut-être pas l’évaluation que leur mandat exige, puisqu’elles confirment le niveau d’origine au lieu d’évaluer l’adéquation actuelle. Cette discipline exige de se demander non pas « est-ce toujours un niveau 2 ? », mais « compte tenu de l’échelle, du volume de données et du profil de risque actuels du fournisseur, quel devrait être le niveau de cette relation ? »
- Menez des revues annuelles des niveaux qui évaluent l’adéquation actuelle, sans se contenter de confirmer le classement d’origine
- Définissez des seuils de volume de données qui déclenchent un relèvement de niveau
- Mettez en place un déclencheur lié aux incidents de sécurité pour une évaluation ciblée accélérée
- Suivez les signaux de croissance des fournisseurs au regard des critères de calibrage des niveaux
- Reliez automatiquement les changements de niveau aux ajustements de fréquence
Si vous êtes une petite équipe
Pour vos cinq plus anciennes relations avec des fournisseurs de niveau 2 et de niveau 3, comparez le volume actuel de données traitées, la taille de l’équipe et l’empreinte cloud du fournisseur avec les caractéristiques qui justifiaient le classement d’origine. Pour tout fournisseur dont les caractéristiques actuelles dépassent sensiblement les critères du niveau d’origine, lancez une revue du niveau. La revue du niveau n’est pas une évaluation : c’est une vérification de calibrage qui prend trente minutes et peut révéler que des rythmes biennaux ou triennaux ne conviennent plus à des relations qui ont fortement évolué.
- Comparez les caractéristiques actuelles des fournisseurs aux critères du niveau d’origine pour les plus anciennes relations de niveau 2 et de niveau 3
- Lancez des revues de niveau pour les fournisseurs dont les caractéristiques actuelles dépassent les seuils du niveau d’origine
- Définissez des déclencheurs de volume de données et de croissance pour une revue automatique du niveau
- Mettez en place un déclencheur lié aux incidents de sécurité pour une évaluation ciblée accélérée
Ce qu’il faut exiger
Demandez directement :
« Depuis notre dernière évaluation formelle, en quoi votre organisation a-t-elle changé d’une manière susceptible d’influer sur notre notation des risques ? En particulier, quel est votre volume actuel de données traitées par rapport à la dernière évaluation, et avez-vous connu des incidents de sécurité touchant d’autres clients ? »
Preuves attendues
- Volume actuel de données traitées comparé à la date de la dernière évaluation
- Incidents de sécurité touchant d’autres clients depuis la dernière évaluation
- Changements importants d’infrastructure : nouvelles régions cloud, nouvelles intégrations de systèmes
- Changements importants à la direction de la sécurité depuis la dernière évaluation
Il convient de demander à un fournisseur qui confirme que la prochaine évaluation est prévue dans les délais ce qui a changé de manière importante depuis la dernière évaluation et pourrait justifier d’avancer le calendrier. Le calendrier est calibré sur la posture évaluée la dernière fois. Les changements intervenus depuis indiquent si ce calibrage reste approprié.
Comment le prouver
- Registres de revue annuelle des niveaux avec évaluation de l’adéquation actuelle
- Registres de mise en œuvre des déclencheurs de changement important
- Registres des relèvements de niveau et des ajustements de fréquence
- Registres des évaluations déclenchées par des incidents de sécurité
À retenir
La fréquence de réévaluation convenait au fournisseur qui avait été évalué. Elle est insuffisante pour le fournisseur tel qu’il existe aujourd’hui. Trois cents millions d’enregistrements de plus, trois régions cloud de plus, soixante ingénieurs de plus et un incident de sécurité déclaré plus tard, le rythme biennal fixé pour un fournisseur de taille moyenne régit une relation dont le risque est désormais nettement plus élevé. Les revues de niveau qui confirment les classements d’origine n’évaluent pas l’adéquation actuelle. Les fréquences de réévaluation calibrées sur les niveaux d’origine ne reflètent pas le risque actuel de la relation. Les revues annuelles qui demandent si les caractéristiques actuelles justifient le niveau actuel, et non si le niveau d’origine a été correctement attribué, sont le mécanisme de gouvernance qui maintient la fréquence de réévaluation calibrée sur la réalité actuelle.