Le RGPD est entré en vigueur depuis plus de trois mois et si un nombre important d’entreprises a mis en place des mesures pour identifier et sécuriser ses données et accès en interne et pour former ses employés, elles ne doivent pas oublier qu’elles font partie d’un écosystème : qu’en est-il de leurs fournisseurs et prestataires sur l’ensemble de leur supply chain ?
Une tribune de William Culbert, directeur commercial Europe du Sud de Bomgar
Cela faisait des mois que l’on anticipait le RGPD. Il fallait être sur une autre planète pour ne pas savoir que cette réglementation européenne arrivait.
Les organisations se sont donc plus ou moins préparées à son arrivée en s’interrogeant sur la façon dont ce texte allait impacter leurs opérations et sur ce qu’il leur fallait modifier en termes de processus, politiques, formations, technologies et sécurité attenant à la collecte et à la gestion de leurs données. Mais quid de leurs prestataires?
Examiner la chaine logistique
Cet aspect est loin d’être anodin : qui, mis à part les salariés, a accès aux données de l’entreprise ? Pensez aux fournisseurs cloud, aux agences de communication, aux logiciels et applications SaaS de CRM, RH et gestion des achats.
Il faut vérifier que tous ont bien mis en place les règles nécessaires et les mesures de sécurité qui s’imposent pour garantir la conformité aux règles chaque fois qu’ils stockent ou traitent les données.
Un manque de contrôle indéniable
Et si les entreprises sont sans doute conscientes des risques encourus en cas de fuites de données liées à un tiers, peu semblent avoir anticipé cet aspect-là de leurs opérations et les chiffres [1] sont édifiants :
- 72% des entreprises françaises ont au moins 20% de fournisseurs en plus par rapport à 2016
- 75% des entreprises françaises se disent menacées par le manque de visibilité et de traçabilité sur les actions menées par leurs fournisseurs
- Seulement 25% des entreprises françaises sont équipées de solutions leur permettant de savoir quel prestataire s’est connecté, quand et pourquoi
- 75% des entreprises françaises ne pourraient pas identifier de quel prestataire viendrait une faille
- 82% des entreprises françaises ne savent pas à qui leurs prestataires communiquent leurs identifiants de connexion
- 77% des entreprises françaises ne contrôlent pas les applications auxquels les prestataires ont accès
- 74% des entreprises françaises ne sont pas sures de pouvoir interdire les accès des prestataires
Conjuguer conformité, sécurité et productivité
Il existe des solutions permettant de contrôler, surveiller et administrer l’accès aux systèmes et aux données sensibles par les tiers, sans que cela n’impacte la productivité ni ne perturbe le fonctionnement des opérations.
Ces outils permettent aux entreprises de suivre les conseils suivants :
- Appliquer le principe du moindre privilège : n’accorder l’accès aux données qu’à ceux qui en ont besoin et quand ils en ont besoin, avec des contrôles d’accès granulaires pour éviter l’approche “tout ou rien”
- Conserver un historique des sessions : enregistrer toutes les sessions d’accès et l’activité de chaque session. Cela permet de savoir qui a accédé à quel système et pour y faire quoi, ce qui permettra de prendre les mesures adéquates si nécessaire
- Supprimer tous les chemins d’accès point à point : bloquer tous les chemins d’accès point à point aux systèmes, sans connexion descendante, éliminant ainsi la nécessité d’utiliser des VPN
- Eliminer toute gestion manuelle des mots de passe et des contrôles d’accès : automatiser l’injection automatique d’identifiants et instaurer l’accès sécurisé aux systèmes en un clic pour les prestataires
Une solution œuvrant en ce sens permettra aux organisations d’assurer que toutes les connexions établies à distance sur leurs serveurs et systèmes seront sécurisées pour une protection renforcée des données et un respect total de ces réglementations, pas seulement en interne mais aussi tout au long de leur supply chain…
[1] D’après les résultats de l’étude Bomgar 2018 sur les menaces liées aux accès privilégiés (chiffres portant sur les entreprises françaises interrogées)
