Une politique de fournisseurs pour les services informatiques est un inventaire de chaque tiers qui a accès, en votre nom ou à vos côtés, aux systèmes, données ou infrastructure de vos clients, en indiquant pour chacun ce qu'il est autorisé à faire, ce qui a été convenu et quand cela a été revu pour la dernière fois. Vous l'établissez parce que l'obligation de diligence imposée aux donneurs d'ordre les oblige à évaluer aussi votre sécurité — et parce que vous dépendez vous-même de sous-traitants, de logiciels de gestion à distance et de partenaires cloud qui méritent cette même évaluation.
Le principe est simple : toute partie qui peut accéder aux systèmes de votre client doit figurer dans votre inventaire. Cela concerne le tiers qui héberge votre système de tickets, le travailleur indépendant qui déploie les correctifs la nuit, et l'outil qui vous permet de surveiller à distance un poste de travail. Une politique de fournisseurs n'est pas une formalité pour l'apparence ; c'est la réponse à la question que votre propre client finira par vous poser : qui d'autre peut accéder à mes données, et comment savez-vous qu'ils s'en chargent correctement.
Qui doit figurer dans l'inventaire
Commencez largement et rayez ensuite. L'inventaire doit inclure les sous-traitants qui prennent en charge votre travail, les éditeurs de logiciels dont les outils ont accès aux environnements des clients, les prestataires de cloud où vous stockez les données de vos clients, et les spécialistes indépendants qui participent occasionnellement. La question que vous vous posez pour chaque fournisseur n'est pas si elle est importante pour votre activité, mais si elle peut — directement ou indirectement — accéder aux systèmes ou données de vos clients. Un fournisseur de fournitures de bureau ne doit pas y figurer ; un tiers qui héberge votre logiciel de surveillance, oui.
Il est tentant de ne lister que les grands fournisseurs visibles et d'omettre les petits sous-traitants parce que la relation est informelle. C'est précisément là que les choses tournent mal : une entente informelle avec un travailleur indépendant qui accède aux systèmes d'un client avec vos identifiants est aussi risquée pour le client qu'un contrat avec une grande entreprise. Si vous hésitez sur le fait que votre propre organisation est soumise à l'obligation de diligence et donc tenue de maintenir cet inventaire, vous pouvez le déterminer en quelques questions.
Ce que vous enregistrez par fournisseur
Pour chaque fournisseur, un ensemble limité de données suffit généralement : quel type d'accès le tiers a (lecture, écriture, droits d'administration), à quels systèmes ou données, existe-t-il un contrat avec des accords sur la sécurité, qui est votre personne de contact, et quand avez-vous dernièrement vérifié s'il y avait des changements. Ce dernier point est souvent oublié : un fournisseur évalué il y a deux ans et jamais revu depuis compte pratiquement comme non évalué. Un moment fixe chaque année pour examiner la liste prévient cela.
Les concepts qui reviennent dans ce type d'inventaires — obligation de diligence, chaîne d'approvisionnement, matérialité — deviennent plus clairs si vous les consultez d'abord indépendamment de votre situation ; la base de connaissances par sujet donne pour chaque concept une réponse courte et traçable.
Sous-traitants : une question particulière
Les sous-traitants méritent une attention particulière car le client ignore souvent leur existence. Si vous sous-traitez du travail à un tiers qui accède ainsi aux systèmes des clients, il est courant d'en informer le client et de documenter ce que ce tiers est autorisé à faire. Certains contrats avec les donneurs d'ordre interdisent la sous-traitance sans approbation préalable ; vérifier cela fait partie de l'établissement de la politique, pas de la discussion suivante avec le client.
La gestion à distance comme catégorie distincte
Logiciels de gestion à distance — gestion à distance, surveillance, gestion des tickets avec fonction d'observation — méritent une place distincte dans l'aperçu, même s'il ne s'agit pas d'un « fournisseur » au sens ordinaire. Ces outils ont généralement un accès étendu à de nombreux environnements clients simultanément, ce qui les rend attrayants comme vecteur d'attaque. Documenter qui peut accéder à ces outils, avec quels droits et quelle vérification, est donc l'une des premières choses qu'un donneur d'ordres demande dès que la conversation porte sur votre propre sécurité.
De l'aperçu à la réponse
Une politique de fournisseurs qui n'existe que sur le papier ne sera d'aucune utilité si un client envoie un questionnaire demain. L'aperçu n'est exploitable que s'il est associé à une pièce justificative par fournisseur et à un responsable qui le maintient à jour. Comment un tel registre vivant se présente concrètement en pratique et d'où proviennent les réponses correspondantes aux questionnaires, tout est expliqué sur la page qui montre comment la plateforme fonctionne.
Vous voulez d'abord vérifier si votre organisation elle-même est soumise à l'obligation de diligence raisonnable NIS2 ou si elle n'est touchée que via la chaîne d'approvisionnement? Faites la vérification gratuite ou parcourez les rubriques — tous deux sont accessibles sans compte et donnent immédiatement une étape suivante adaptée à votre situation.