La dérive des accès des fournisseurs est l’extension progressive de l’accès d’un fournisseur aux données, systèmes et capacités de l’entreprise au-delà du périmètre que l’évaluation TPRM initiale a examiné et approuvé. C’est l’une des formes les plus insidieuses d’accumulation du risque lié aux tiers, car chaque extension d’accès est généralement un ajout modeste et justifié à une relation existante qui, prise isolément, n’atteint pas le seuil de réévaluation, alors que l’effet cumulé dans le temps aboutit à une relation dont le profil de risque a sensiblement changé depuis la dernière évaluation formelle des risques.
Le mécanisme d’extension progressive est la dynamique centrale. Les extensions d’accès dans le cadre de relations existantes avec des fournisseurs sont généralement motivées par des demandes métier : une nouvelle fonctionnalité exige des données supplémentaires, une évolution du service nécessite un accès en écriture là où existait une lecture seule, un nouveau cas d’usage exige des données auxquelles le fournisseur n’avait pas accès jusque-là. Chaque extension est évaluée comme une décision métier par l’équipe qui la demande et n’est généralement pas soumise au TPRM, car le fournisseur a déjà été évalué et approuvé. La visibilité de l’équipe TPRM sur l’extension d’accès dépend de la transmission spontanée du changement par l’équipe demandeuse, ce qu’elle ne fait généralement pas, puisque le fournisseur est déjà approuvé et que l’extension d’accès paraît marginale.
La lacune de risque cumulé est la défaillance de gouvernance. Un fournisseur dont l’accès est passé d’une lecture seule des noms et e-mails des clients à un accès en lecture-écriture à cinq catégories de données clients, dont l’historique d’achat, les tickets de support et les soldes de comptes, présente un profil de risque fondamentalement différent de celui du fournisseur initialement évalué. L’évaluation initiale a examiné si les contrôles de sécurité du fournisseur étaient adaptés à un accès en lecture seule aux noms et aux e-mails. Elle n’a pas examiné s’ils étaient adaptés à un accès en écriture à cinq catégories de données, dont des données de comptes financiers. L’extension cumulée a créé un profil de risque que la dernière évaluation formelle ne décrit pas.
Pourquoi c’est important
La dérive des accès des fournisseurs compte, car elle crée un écart systématique entre le profil de risque évalué par le programme TPRM et le profil de risque que présente réellement la relation avec le fournisseur. Le fournisseur qui a connu une dérive importante de ses accès est évalué à un niveau de risque nettement inférieur à celui que justifie son périmètre d’accès actuel, et il fait l’objet d’une surveillance et d’une supervision dont l’intensité est étalonnée sur sa relation initiale, moins risquée, plutôt que sur sa relation actuelle, plus risquée.
- Extensions d’accès non soumises au TPRM
- Aucun examen des accès cumulés : périmètre d’accès non comparé à l’évaluation initiale
- Extensions individuelles inférieures au seuil de réévaluation, chacune trop modeste pour déclencher un examen
- Évaluation initiale non invalidée malgré l’extension cumulée
- Inventaire des accès non tenu à jour : périmètre actuel non suivi par rapport au périmètre évalué
À quoi ressemblent les bonnes pratiques
Les programmes matures de gestion de la dérive des accès tiennent à jour un inventaire des accès actuels des fournisseurs, comparent lors d’examens périodiques le périmètre d’accès actuel au périmètre initialement évalué, définissent des seuils d’extension des accès qui déclenchent une réévaluation (en particulier de nouvelles catégories de données et un accès en écriture là où une lecture seule avait été évaluée) et soumettent les demandes d’extension d’accès au TPRM pour approbation avant leur mise en œuvre.
- Transmission des extensions d’accès : les nouvelles catégories de données et les extensions de périmètre exigent un examen TPRM
- Inventaire des accès actuels tenu à jour et comparé au périmètre de l’évaluation initiale
- Seuil d’extension des accès défini : quel niveau de changement déclenche une réévaluation
- Examen annuel du périmètre d’accès : accès actuels comparés au périmètre de la dernière évaluation
- Le passage à un accès en écriture déclenche toujours une réévaluation, indépendamment des autres seuils
Outils
Gouvernance des accès : SailPoint, Saviynt pour la certification des accès des fournisseurs et le suivi du périmètre
Les plateformes de gouvernance des identités qui conservent la trace des droits d’accès des fournisseurs fournissent l’inventaire des accès nécessaire à la détection de la dérive. La certification annuelle des accès des fournisseurs, qui consiste à examiner le périmètre d’accès actuel de chaque fournisseur et à confirmer qu’il reste approprié et évalué, est le mécanisme opérationnel qui empêche la dérive de s’accumuler sans être détectée.
Enjeux de gouvernance
La difficulté de gouvernance de la dérive des accès tient au problème de la vitesse de l’activité. Les demandes d’extension d’accès sont généralement urgentes pour l’activité : une nouvelle fonctionnalité produit a besoin de données supplémentaires, une amélioration du service a besoin d’un accès en écriture. Soumettre les extensions d’accès au TPRM introduit une friction que les équipes métier vivent comme un blocage. La solution de gouvernance est un processus d’examen rapide des extensions d’accès : non pas une évaluation complète, mais un examen structuré visant à déterminer si le périmètre d’accès cumulé exige une évaluation révisée, assez rapide pour ne pas freiner l’activité tout en saisissant le risque que crée une extension d’accès non contrôlée.
- Imposer la transmission des extensions d’accès : toute nouvelle catégorie exige un examen TPRM
- Définir un processus d’examen rapide des extensions d’accès, assez rapide pour ne pas bloquer l’activité
- Réaliser un examen annuel du périmètre d’accès : comparaison du périmètre actuel et du périmètre évalué
- Déclencher une réévaluation lorsque l’extension cumulée modifie sensiblement le profil de risque du fournisseur
- Rendre compte des indicateurs de dérive des accès : fournisseurs dont le périmètre actuel dépasse le périmètre évalué
Si vous êtes une petite équipe
Pour vos dix fournisseurs les plus à risque, extrayez leur périmètre d’accès actuel de vos registres de provisionnement informatique et comparez-le à ce qu’a évalué la dernière évaluation TPRM. Tout fournisseur dont le périmètre d’accès actuel comprend des catégories de données ou des niveaux d’accès absents de la dernière évaluation a connu une dérive des accès. Réévaluez en priorité les fournisseurs dont l’écart de périmètre est important, en particulier ceux qui disposent désormais d’un accès en écriture là où une lecture seule avait été évaluée, ou qui accèdent désormais à des catégories de données sensibles non couvertes par l’évaluation initiale. Cette comparaison est le mécanisme de détection de la dérive des accès.
- Comparer le périmètre d’accès actuel au périmètre de la dernière évaluation pour les dix principaux fournisseurs
- Identifier les fournisseurs présentant un écart important de périmètre d’accès : nouvelles catégories ou accès en écriture
- Réévaluer en priorité les extensions importantes du périmètre
- Imposer désormais la transmission des extensions d’accès pour les nouvelles catégories de données
Ce qu’il faut exiger
Demandez directement :
« Veuillez confirmer la liste complète des catégories de données et des niveaux d’accès dont vous disposez actuellement sur nos systèmes, et indiquer tout accès aux données ajouté depuis notre dernière évaluation formelle des risques de notre relation. »
Preuves attendues
- Inventaire du périmètre actuel d’accès aux données
- Changements d’accès depuis la dernière évaluation
- Confirmation de l’absence de tout accès aux données non déclaré
- Confirmation de la minimisation des données : accès aux seules données nécessaires
Il convient de demander à un fournisseur dont l’évaluation est à jour de confirmer son périmètre d’accès actuel et d’indiquer les changements intervenus depuis l’évaluation. L’évaluation décrit le périmètre qu’elle a examiné. L’écart de périmètre représente le risque non évalué créé par la dérive des accès.
Comment le prouver
- Dossiers de comparaison du périmètre d’accès : actuel par rapport à évalué
- Dossiers de transmission des extensions d’accès
- Dossiers de certification annuelle des accès
- Dossiers de réévaluation pour les extensions importantes du périmètre
À retenir
Évaluation initiale : noms et e-mails en lecture seule. Trois ans d’extensions d’accès progressives. Cinq catégories de données. Quatre extensions sous les seuils individuels de réévaluation. Aucun examen TPRM pour ces quatre extensions. Le profil de risque actuel du fournisseur avait sensiblement changé. La dernière évaluation formelle décrivait la relation telle qu’elle était trois ans plus tôt. La dérive des accès crée un écart systématique entre le risque évalué et le risque réel, une extension à la fois. La transmission obligatoire des extensions d’accès, la comparaison annuelle des périmètres et les déclencheurs de réévaluation liés à l’accès en écriture empêchent cet écart de s’accumuler sans être détecté.