Points clés de la sécurité des tiers
- Le cheval de Troie des accès distants : Plus de 60 % des intrusions majeures dans les entreprises suisses proviennent d'un compte de prestataire externe compromis.
- Le principe du moindre privilège (PoLP) : Un technicien chauffagiste n'a pas besoin d'accéder au même réseau que vos serveurs comptables ou médicaux.
- Clauses contractuelles de sécurité : Exiger des audits de sécurité réguliers et une obligation de notification immédiate en cas de brèche chez vos fournisseurs stratégiques.
1. Pourquoi les cybercriminels ciblent vos sous-traitants
Les grandes organisations suisses et les infrastructures cantonales ont renforcé leurs défenses de première ligne. Pour contourner cette forteresse, les groupes adverses recherchent le maillon faible dans l'écosystème : l'infogérant régional, l'agence web ou le fournisseur d'accès téléphonique. En piratant un prestataire gérant cinquante entreprises, l'assaillant récupère les clés d'accès de cinquante cibles d'un seul coup.
2. Les règles d'or pour verrouiller l'accès de vos prestataires
| Mesure de contrôle | Pratique à proscrire | Bonne pratique recommandée |
|---|---|---|
| Accès VPN tiers | Compte générique partagé (« prestataire ») actif 24h/24 sans expiration. | Compte nominatif individuel, activé uniquement sur demande (Just-In-Time) pour la durée de l'intervention, avec MFA strict. |
| Cloisonnement réseau | Accès direct à l'ensemble du sous-réseau de l'entreprise. | Passerelle de rebond sécurisée (Bastion / PAM) enregistrant les sessions en vidéo, restreinte à la seule machine cible. |
| Évaluation de la sécurité du tiers | Faire confiance aveugle sur simple déclaration verbale. | Exiger la présentation d'une attestation de sécurité indépendante ou inclure le périmètre externe du tiers dans un audit régulier. |
