Les PME canadiennes dépendent des plateformes infonuagiques, des fournisseurs de paie, des entreprises de TI, des comptables, des systèmes de marketing, des développeurs et des logiciels propres à leur secteur. L'objectif n'est pas d'auditer chaque fournisseur comme le ferait une banque. C'est d'appliquer un examen plus poussé là où l'accès et l'impact d'affaires sont plus importants.
Classifiez la relation
Notez ce à quoi le fournisseur aura accès, si des renseignements personnels ou confidentiels sont en cause, si le service est critique sur le plan opérationnel, si des sous-traitants sont utilisés et à quel point son remplacement serait difficile.
Classifiez les fournisseurs comme standards, contrôlés ou critiques. Une plateforme d'infolettre et un administrateur géré ne devraient pas recevoir la même révision.
Posez des questions avant d'accorder l'accès
- La MFA est-elle appliquée pour le personnel du fournisseur?
- Les actions privilégiées sont-elles attribuables à des personnes nommées?
- Comment l'accès est-il approuvé, révisé et retiré?
- Quelle journalisation de sécurité est offerte?
- Comment les vulnérabilités et les mises à jour sont-elles gérées?
- Comment vos données et sauvegardes sont-elles protégées?
- Dans quels territoires les renseignements sont-ils stockés ou traités?
- Des sous-traitants recevront-ils un accès?
- À quelle vitesse le fournisseur vous avisera-t-il d'un incident?
- Qu'arrive-t-il à vos données et comptes à la fin de la relation?
Limitez l'accès
N'accordez que les permissions, systèmes et durées requis. Utilisez des comptes nommés distincts, un accès administratif limité dans le temps et des restrictions techniques lorsqu'elles sont offertes. Évitez les identifiants administrateurs partagés.
Documentez le responsable interne. Cette personne devrait savoir pourquoi le fournisseur a un accès, quand il devrait être révisé et qui peut y mettre fin.
Mettez les attentes par écrit
Les contrats devraient refléter la sensibilité et l'importance opérationnelle du service. Abordez les responsabilités de sécurité, la notification d'incident, la collaboration, le traitement des données, les sous-traitants, le retour ou la suppression des renseignements, la fin de l'accès et les preuves que le fournisseur doit fournir.
Surveillez les changements
Le risque lié aux fournisseurs évolue après l'intégration. Le fournisseur peut ajouter un sous-traitant, changer l'emplacement de l'hébergement, subir un incident, introduire des fonctionnalités d'IA ou obtenir un accès plus large. Révisez les fournisseurs critiques au moins une fois par année et lorsque des changements importants surviennent.