Gestion de la sécurité des fournisseurs
Vos fournisseurs touchent souvent à vos données. Nous structurons l’évaluation, les clauses et le suivi pour que les risques tiers soient visibles et gérés.
Ce qu’on voit trop souvent
Vos clients vous demandent ISO 27001 pendant que vos données vivent chez trois infonuagiques, un MSP et un pigiste sans clause. L’Annexe A l’a prévu : les fournisseurs sont une cible, et un trou dans le SGSI.
- aucun inventaire des fournisseurs qui touchent l’information
- contrats sans clause de sécurité, ou des clauses jamais lues
- un questionnaire client auquel personne ne peut répondre pour la chaîne d’approvisionnement
- le même niveau d’exigence pour l’hébergeur critique et le fournisseur de stylos
- aucun suivi après la signature : on « fait confiance »
De quoi s’agit-il
Gérer les fournisseurs, c’est savoir qui traite vos informations, à quel niveau de risque, avec quelles exigences, et comment vous le vérifiez. Ce n’est pas boycotter le nuage, ni auditer chaque sous-traitant comme un certificateur.
Nous posons un inventaire, une classification simple, des clauses types et un rythme de revue proportionné. Le fournisseur critique entre souvent dans le périmètre via ce module, même s’il n’est pas « dans vos locaux ».
Où ça se situe dans ISO 27001
Le module couvre les contrôles fournisseurs de l’Annexe A et le lien avec le périmètre (clause 4). ISO 27017 aide pour l’infonuagique ; ce n’est pas un douzième module.
Ce que comprend ce module
- Inventaire des fournisseurs critiques pour le SGSI
- Critères d’évaluation et questionnaires proportionnés
- Clauses de sécurité à insérer aux contrats
- Suivi périodique et conditions de fin de contrat
Comment on travaille
Inventaire et criticité
Qui a accès à quoi. On écarte le bruit, on garde ceux qui pèsent sur la confidentialité, l’intégrité ou la disponibilité.
Exigences et clauses
Ce que vous devez exiger, ce qui est déjà dans le contrat, ce qui manque. Textes utilisables par votre juriste ou votre direction.
Évaluation à l’entrée
Questionnaire ou revue proportionnée avant d’ouvrir les accès. Pas 200 questions pour un outil interne anodin.
Suivi et sortie
Rythme de revue, incidents chez le fournisseur, révocation des accès. Un fournisseur oublié reste un accès ouvert.
Ce que vous recevez
- Inventaire des fournisseurs critiques
- Questionnaire et grille d’évaluation
- Clauses de sécurité types, adaptées au Québec
- Registre de suivi et calendrier de revue
Pour qui
PME qui s’appuient sur l’infonuagique, des MSP, des pigistes ou des intégrateurs, et qui doivent répondre aux questionnaires clients.
Pour qui ce n’est pas
Ce module n’est pas un audit de certification de vos fournisseurs, ni un remplacement de la SoA. Il n’écrit pas non plus tous vos contrats commerciaux.
Durée type
2 à 5 semaines selon le nombre de fournisseurs critiques.
Ce que vous devez fournir
Vous fournissez la liste des outils et des sous-traitants, les contrats types, et quelqu’un qui sait qui a réellement accès aux données clients.
Limites de ce module
Ce module encadre les tiers. Il ne remplace pas un audit de chacun de vos fournisseurs ni la négociation juridique complète.
Questions fréquentes
- Tous les fournisseurs doivent-ils être évalués ?
- Non. On priorise ceux qui touchent aux informations du périmètre. Les autres restent dans un inventaire plus léger.
- Un rapport SOC 2 du fournisseur suffit-il ?
- C’est une entrée utile, pas une conclusion. Il faut encore juger ce qui s’applique à votre usage et ce qui manque.
- Et les outils d’IA ou SaaS adoptés par les équipes ?
- S’ils traitent vos informations, ils entrent dans l’inventaire. La gouvernance du SGSI fixe ensuite qui peut les autoriser.
- Peut-on acheter seulement ce module ?
- Oui. Chaque module se vend séparément. Vous n’êtes pas obligé de prendre le programme complet. Le prédiagnostic reste le point d’entrée le plus efficace si vous ne savez pas encore par où commencer.
- Faut-il commencer par le prédiagnostic ?
- Non, ce n’est pas obligatoire. Le prédiagnostic accélère le cadrage si vous n’avez pas encore de photo d’ensemble. Si vous savez déjà ce qui manque, on peut démarrer ce module directement.