Évaluer le risque cyber d’un fournisseur : questionnaire, preuves documentaires et observation externe

Qu’est-ce qu’une évaluation cyber de fournisseur ?

Évaluer le risque cyber d’un fournisseur, c’est estimer la probabilité qu’une faiblesse chez lui devienne un incident chez vous, et la gravité de cet incident. La question n’est pas « ce fournisseur est-il sûr ? », à laquelle personne ne peut répondre, mais « que sait-on de sa sécurité, sur quelles preuves, et à quelle date ? ».

Le sujet n’est pas théorique. L’ENISA, dans son panorama des attaques sur la chaîne d’approvisionnement publié en juillet 2021, observait une hausse du nombre et de la sophistication de ces attaques, estimait qu’elles seraient quatre fois plus nombreuses en 2021 qu’en 2020, et en attribuait la moitié à des groupes de type APT.

La directive NIS2 en tire les conséquences pour les entités qu’elle vise. Son article 21 range la sécurité de la chaîne d’approvisionnement parmi les mesures obligatoires (paragraphe 2, point d) ; le paragraphe 3 demande de tenir compte « des vulnérabilités propres à chaque fournisseur et prestataire de services direct et de la qualité globale des produits et des pratiques de cybersécurité » de leurs fournisseurs. Le texte dit quoi regarder ; il ne dit pas comment le prouver. Nous détaillons le cadre réglementaire dans notre checklist NIS2 sur la chaîne d’approvisionnement ; cet article porte sur la méthode d’évaluation elle-même.

Le NIST, dans son guide SP 800-161 Rev. 1, distingue trois catégories d’informations pour évaluer un fournisseur : le contexte d’usage, qui fixe la tolérance au risque ; les informations obtenues du fournisseur ; et les informations « toutes sources », notamment publiques. Autrement dit : ce que vous attendez, ce qu’il vous dit, et ce que l’on constate sans lui.

Classer avant d’évaluer : la criticité des fournisseurs

Évaluer tous les fournisseurs avec la même profondeur épuise l’équipe. La première étape est un classement par criticité, souvent appelé tiering.

Le NIST recommande de partir d’un inventaire à jour des relations fournisseurs, puis de les regrouper en catégories (il cite par exemple « stratégique », « critique pour la mission », « de soutien », « standard ») pour concentrer l’attention sur les fournisseurs les plus importants (SP 800-161 Rev. 1, § 3.1.1). Il précise ailleurs que le type et la rigueur des méthodes de vérification doivent être proportionnés à la criticité du produit ou du service acheté (§ 3.1.2).

L’ANSSI propose une cotation plus outillée dans la méthode EBIOS Risk Manager. Son atelier 3 estime le niveau de menace de chaque partie prenante à partir de quatre critères :

• la dépendance : votre activité peut-elle se passer de ce fournisseur ?
• la pénétration : jusqu’où accède-t-il à vos systèmes et à vos données ?
• la maturité cyber : quel est son niveau de sécurité ?
• la confiance : ses intentions et ses intérêts sont-ils alignés avec les vôtres ?

Le niveau de menace se calcule comme le produit de la dépendance et de la pénétration, divisé par le produit de la maturité et de la confiance. Les deux premiers critères augmentent la menace, les deux derniers la réduisent. La fiche classe ensuite les parties prenantes en zones de danger, de contrôle et de veille, et précise que la formule peut être pondérée selon le contexte.

Notez que la dépendance et la pénétration se mesurent à partir de vos propres données (contrats, flux, comptes ouverts), alors que la maturité est précisément ce que l’évaluation cherche à établir. Le classement initial repose donc sur l’exposition que le fournisseur représente pour vous, et s’affine une fois les preuves réunies.

Une grille de travail en trois niveaux

Cette grille est un point de départ : un prestataire « standard » qui reçoit un jour un accès VPN change de niveau ce jour-là.

Première source : le questionnaire déclaratif

Le questionnaire reste l’outil le plus répandu, pour de bonnes raisons. C’est la seule source qui renseigne sur ce qui ne se voit pas de l’extérieur : gouvernance, gestion des accès internes, sauvegardes, plan de réponse aux incidents, sensibilisation, sous-traitance. Le NIST le cite parmi les moyens de collecter des éléments auprès des fournisseurs potentiels lors du premier tri, tout en avertissant que cette diligence initiale ne doit pas être considérée comme exhaustive (SP 800-161 Rev. 1, § 3.1.2).

Ses limites sont connues :

• Il est déclaratif. Une réponse « oui » à « l’authentification forte est-elle déployée sur tous les accès distants ? » ne dit ni qui a répondu, ni si « tous » signifie tous.
• Il est daté. Il décrit l’état du fournisseur au moment où il remplit le formulaire, rarement au-delà.
• Il fatigue. Un fournisseur reçoit des questionnaires de tous ses clients, chacun dans un format différent. Dans nos missions, nous constatons que les réponses finissent souvent par être reprises d’un formulaire à l’autre, par une équipe commerciale plutôt que technique. La qualité baisse à mesure que le volume monte.

Quelques règles en améliorent le rendement. Proportionnez la longueur à la criticité. Préférez les questions qui appellent une preuve (« joignez la politique de mots de passe en vigueur »). Acceptez les documents que le fournisseur a déjà produits pour d’autres clients : le NIST recommande, quand c’est approprié, d’en permettre la réutilisation, tout en notant qu’une nouvelle évaluation est parfois nécessaire (§ 1.5). Enfin, annoncez que certaines réponses seront confrontées à l’observation externe.

Deuxième source : les preuves documentaires

Les preuves documentaires sont produites par un tiers ou engagent formellement le fournisseur. Elles valent plus qu’une déclaration, à condition de lire ce qu’elles couvrent vraiment. Trois questions s’appliquent à chacune : quel périmètre, quelle date, qui l’a produite ?

Les certifications. Un certificat ISO/IEC 27001 atteste qu’un système de management de la sécurité de l’information a été audité sur un périmètre défini. Ce périmètre est écrit sur le certificat : il peut couvrir un centre de données, une filiale ou une activité, et pas le service que vous achetez. Demandez le certificat lui-même, vérifiez sa validité auprès de l’organisme certificateur, et demandez la déclaration d’applicabilité, qui liste les mesures retenues ou exclues.

Les rapports d’audit et d’assurance. Rédigés par un auditeur indépendant, ils décrivent les contrôles du fournisseur et, selon leur type, leur conception à une date ou leur fonctionnement sur une période. Lisez la période couverte, les exceptions relevées et les contrôles attendus de vous en tant que client.

Les rapports de test d’intrusion. Demandez au moins la date, le périmètre, les constats par gravité et l’état de leur correction : une synthèse commerciale ne suffit pas.

Les attestations. Plan d’assurance sécurité, politique de notification des incidents, liste des sous-traitants : elles engagent le fournisseur sans prouver leur application.

Le NIST range certifications, visites sur site, évaluations par un tiers et auto-attestation parmi les méthodes acceptables de vérification, en demandant de proportionner leur rigueur à la criticité (§ 3.1.2). Pour les entités du numérique qu’il vise, le règlement d’exécution (UE) 2024/2690 va plus loin : son annexe (point 5.1.4) prévoit dans les contrats avec les fournisseurs « le droit d’effectuer des audits ou le droit de recevoir des rapports d’audit ». Sans cette clause, la preuve documentaire dépend du bon vouloir du fournisseur.

Troisième source : l’observation externe de l’exposition

La troisième source ne demande rien au fournisseur. Elle consiste à regarder ce qu’il expose sur Internet, avec les moyens et le point de vue d’un attaquant qui préparerait une intrusion. C’est l’information « toutes sources » du NIST, issue de données publiquement accessibles.

Ce qu’elle permet de constater :

• la surface d’attaque visible : noms de domaine et sous-domaines, services exposés, interfaces d’administration accessibles depuis Internet, environnements de recette oubliés ;
• l’hygiène de configuration : certificats expirés ou mal configurés, protocoles obsolètes, configuration de la messagerie contre l’usurpation ;
• les vulnérabilités exposées : versions de logiciels associées à des vulnérabilités connues, en priorité celles du catalogue KEV de la CISA, qui recense les vulnérabilités dont l’exploitation est avérée ;
• les fuites : identifiants de collaborateurs apparus dans des fuites de données, dépôts de code publics, documents indexés.

Ses forces répondent aux faiblesses des deux premières sources : elle est indépendante du fournisseur, répétable et datée, et elle mesure ce qui est exposé aujourd’hui plutôt que ce que prévoit la politique. Nous détaillons la façon de juger la gravité d’une vulnérabilité dans notre guide CVSS, EPSS et KEV, et la cartographie d’une surface externe sur notre page EASM.

Sa limite est symétrique : elle ne voit rien de l’intérieur. Un fournisseur à la surface externe impeccable peut avoir un annuaire mal administré, des sauvegardes jamais testées ou un prestataire mal choisi.

Ce que chaque preuve démontre, et ce qu’elle ne démontre pas

Croiser les sources : lire les écarts

L’intérêt de trois sources n’est pas d’additionner trois notes, mais de lire leurs écarts. Trois cas reviennent souvent.

1. Le questionnaire affirme, l’observation contredit. Le fournisseur déclare corriger les vulnérabilités critiques dans un délai court ; un équipement exposé présente une vulnérabilité du catalogue KEV depuis plusieurs mois. L’écart ne prouve pas la mauvaise foi, mais il montre que le processus de correction ne couvre pas tout le parc.
2. Le document est valide, mais à côté. La certification est à jour, mais son périmètre exclut l’activité qui héberge vos données. La preuve est vraie et ne répond pas à la question.
3. L’observation est propre, le dossier est vide. Rien d’exposé, mais aucune preuve sur la gestion des accès ou les sauvegardes. Pour un fournisseur critique, c’est une zone d’ombre à lever par le questionnaire et le droit d’audit.

Chaque écart devient une question précise et datée adressée au fournisseur. Devant un auditeur, vous ne montrez pas une note, mais des preuves, des écarts et les réponses obtenues.

Exemple : trois fournisseurs, trois profondeurs

Exemple type. Une ETI de distribution évalue trois fournisseurs.

Le premier, éditeur de sa solution de paie en mode SaaS, héberge les données de tous les salariés et se connecte à l’annuaire : il est classé critique. Son questionnaire est rassurant et son certificat ISO/IEC 27001 valide, mais le périmètre du certificat couvre l’hébergement de sa maison mère, pas le développement de l’application de paie. Son dernier rapport de test d’intrusion date de deux ans. L’observation externe relève un sous-domaine de recette exposé et une passerelle d’accès distant dans une version figurant au catalogue KEV.

Avant d’écrire au fournisseur, le RSSI vérifie l’attribution : le certificat TLS du sous-domaine porte bien le nom de l’éditeur. Il adresse trois questions précises, obtient la correction de la passerelle et la fermeture de la recette, puis négocie un avenant qui ajoute le droit de recevoir les rapports d’audit. Une nouvelle observation, quelques semaines plus tard, confirme les corrections.

Le deuxième, l’agence qui gère le site vitrine, est classé important : questionnaire court et observation périodique. Le troisième, un fournisseur de fournitures de bureau sans aucun accès, reste au registre avec les clauses de base.

Ce scénario est construit à partir de situations courantes en mission, pas à partir d’un client identifiable.

Où intervient Bearlink ?

Bearlink, seul TPRM intégré à une plateforme complète de Red Team automatisée (Beareye), associe le suivi documentaire des fournisseurs et leur notation cyber. Voir notre page sur la gestion des risques tiers et, pour l’organisation entre achats, RSSI et juridique, le workflow de gestion du risque fournisseur. BEAROPS vous aide à préparer, documenter et démontrer votre conformité.

Limites de la méthode

Les faux positifs de l’observation externe. Une version déduite d’une bannière peut être fausse : certains éditeurs corrigent une vulnérabilité sans changer le numéro affiché. Un service exposé peut être un leurre. Un constat non vérifié coûte sa crédibilité à l’évaluation dès le premier échange.

L’attribution des actifs. Rattacher un domaine, une adresse IP ou un service au bon fournisseur est difficile : hébergement mutualisé, réseaux de diffusion de contenu, filiales, marques rachetées, homonymes. Avant de reprocher un actif, prouvez qu’il lui appartient.

Le droit d’observer. Consulter ce qu’un fournisseur publie, ses enregistrements DNS ou ses certificats, n’est pas comparable à tester ses systèmes. L’article 323-1 du Code pénal réprime le fait d’accéder ou de se maintenir frauduleusement dans un système de traitement automatisé de données. Toute action qui dépasse l’observation non intrusive, comme une tentative d’authentification, un balayage actif ou l’exploitation d’une faille, exige l’accord écrit du fournisseur, idéalement prévu au contrat par le droit d’audit. Faites valider la frontière par votre juriste. Les identifiants fuités concernent par ailleurs des personnes : leur traitement obéit aux règles que nous rappelons dans notre article sur la reconnaissance OSINT.

L’instant et l’angle mort. Toute évaluation décrit un état à une date. Les trois sources réunies ne garantissent pas qu’un fournisseur ne sera pas compromis ; elles réduisent l’incertitude et la rendent traçable. Pour un fournisseur dont dépend une fonction vitale, seul un audit ou un test d’intrusion autorisé apporte une vision de l’intérieur. Quant à la série ISO/IEC 27036, elle cadre la sécurité des relations avec les fournisseurs, côté acheteur comme côté fournisseur, sans imposer de grille de notation : seuils, niveaux et poids de chaque source restent des choix à documenter dans votre politique.