Guide · 9 min de lecture
Évaluation des cyberrisques des fournisseurs. Ce que le monitoring continu vérifie
Que signifie réellement surveiller le cyberrisque d'un fournisseur depuis l'extérieur ? Voici l'inventaire complet : chaque catégorie de contrôle, pourquoi elle compte au regard de NIS2, et comment un constat devient quelque chose sur quoi agir, ou que vous pouvez décider d'accepter de façon défendable.
Points clés
- Parcourt chaque catégorie de contrôle et l'article NIS2 auquel chacune répond.
- Tout est passif : uniquement des sources publiques, aucun trafic vers le fournisseur et aucun consentement requis.
- NIS2 récompense un risque documenté et géré, pas une liste de constats vide : un risque accepté et consigné est une preuve.
Renseignement passif : rien ne touche jamais le fournisseur
Tout ici repose sur le renseignement passif. Les données proviennent entièrement de sources publiques (journaux de transparence des certificats, enregistrements DNS, sites de fuite de ransomware, jeux de données de violations, registres de sanctions et flux de renseignement ouverts) de sorte qu'aucun trafic n'est jamais envoyé aux systèmes du fournisseur et qu'aucune autorisation n'est nécessaire. Vous pouvez évaluer un fournisseur que vous avez signé, un que vous envisagez encore, ou un qui ignore que vous regardez.
L'ensemble des contrôles s'exécute chaque jour ; les plus sensibles au temps (sources ransomware et dark web) toutes les six heures environ, avec une alerte par e-mail à l'instant où quelque chose de critique apparaît, comme une inscription sur une liste de victimes ou une fuite d'identifiants récente.
Surveillance des victimes de ransomware
Art. 21(2)(b)Plusieurs sources de suivi des ransomwares sont revérifiées environ toutes les six heures. Le jour où votre fournisseur apparaît sur une liste de victimes (la signature publique d'une attaque active ou récente) vous l'apprenez, et c'est généralement le jour de lui demander franchement si vous ou vos données êtes pris dans l'affaire.
Fuites d'identifiants sur le dark web
Art. 21(2)(i)Les amas d'identifiants issus d'infections par infostealer et des marchés du dark web sont fouillés à la recherche de connexions liées au domaine du fournisseur. Les identifiants volés restent la porte d'entrée la plus courante, et un mot de passe fuité d'un employé de votre fournisseur est un mot de passe qui peut finir braqué sur vos systèmes.
Sécurité de la messagerie
Art. 21(2)(h)Des SPF, DKIM ou DMARC manquants ou à moitié configurés permettent d'usurper le domaine d'un fournisseur dans des e-mails qui arrivent d'allure légitime. Le contrôle examine aussi MTA-STS, l'enregistrement de rapport TLS-RPT et l'indicateur de marque BIMI : les fondations techniques derrière les mesures de cryptographie de l'article 21, là où elles s'appliquent.
Certificats TLS et DNSSEC
Art. 21(2)(h)La validité des certificats est suivie, avec un avertissement deux semaines avant l'expiration. La validation DNSSEC vous dit si la chaîne DNS du fournisseur est signée et intacte (sans elle, son DNS peut être usurpé) et les enregistrements CAA indiquent si l'émission de certificats est restreinte aux autorités approuvées.
Configuration de la sécurité web
Art. 21(2)(c)Les attributs de cookie (Secure, HttpOnly, SameSite) sont vérifiés, car ceux qui manquent ouvrent la porte au détournement de session et au cross-site scripting. robots.txt est lu pour repérer les chemins sensibles qu'un site annonce discrètement, et security.txt pour savoir s'il existe un canal honnête de signalement de vulnérabilité.
Vulnérabilités et score d'exploitation
Art. 21(2)(e)Tout ce qui est lié à l'infrastructure du fournisseur et figure au catalogue CISA des vulnérabilités activement exploitées est signalé aussitôt. Les scores de probabilité d'exploitation (EPSS) trient ensuite le reste selon la probabilité réelle d'utilisation de chacune, plutôt que selon la seule gravité CVSS brute : la différence entre une longue liste et une liste courte et honnête.
Sanctions et réputation du serveur de messagerie
Art. 21(2)(e) & Art. 21(2)(j)L'organisation du fournisseur est vérifiée au regard des listes de sanctions de l'UE, de l'ONU et de l'OFAC. Les adresses IP de son serveur de messagerie sont vérifiées au regard de quatre listes de blocage en temps réel : une apparition là pointe vers un abus de messagerie, ou une compromission antérieure jamais nettoyée.
SAQ : questionnaire d'auto-évaluation
Art. 21(2)(a) & (b) & (d)Le monitoring technique couvre la surface que chacun voit de l'extérieur. Les exigences de niveau processus (gestion des risques, gestion des incidents, gouvernance de la chaîne d'approvisionnement) sont atteintes en envoyant au fournisseur un questionnaire d'auto-évaluation depuis le portail ; ses réponses sont stockées et lues à côté du profil de risque technique, de sorte que l'affirmation et la preuve se côtoient.
Voyez comment vos fournisseurs se situent réellement
7 jours gratuits · sans carte bancaire · annulez à tout moment
Gravité et score de risque
Chaque constat se range dans l'un des quatre niveaux de gravité : critique (agir maintenant), élevé (environ sept jours), moyen (environ trente) et faible (bon à savoir). Le score de risque du fournisseur (de 0 à 100, où 100 est vierge) découle de la gravité de ce qui est actuellement ouvert.
Lisez le score comme un moyen de hiérarchiser l'attention, pas comme un verdict. Un fournisseur par ailleurs solide peut chuter à cause d'une seule faille critique, et un score propre n'excuse jamais d'ignorer le détail qui se cache dessous.
Ce qu'il advient d'un constat
Un constat s'ouvre à l'instant où un contrôle repère une anomalie, et reste ouvert jusqu'à ce que le problème ait réellement disparu : la prochaine exécution confirme la correction d'elle-même, sans clôture manuelle. Lorsqu'un constat est un risque que vous avez examiné et choisi d'assumer, marquez-le comme risque accepté avec une note ; il cesse alors de générer de nouvelles alertes tant que son état ne change pas.
Chaque constat est rattaché, dès son enregistrement, à la sous-clause de l'article 21(2) de NIS2 à laquelle il répond, et apparaît à la fois dans le portail en temps réel et dans le PDF mensuel.
Comment cela se rattache à NIS2, et ce que porte le rapport
Le rapport s'ouvre sur un résumé en langage clair, puis des scores NIS2 par article, un profil de risque par fournisseur et une liste de remédiation déjà triée par priorité. Il est écrit pour être lu en réunion de direction, pas seulement par ceux qui feront les corrections.
Il porte aussi les constats que vous avez acceptés comme risques documentés : la partie qui intéresse le plus les auditeurs. NIS2 n'a jamais demandé un casier vierge ; il a demandé que vous gériez le risque et montriez votre travail.
Votre propre domaine : un regard externe plus approfondi
Les domaines fournisseurs sont évalués par le seul renseignement passif : données publiques uniquement. Votre propre domaine peut aller plus loin avec une évaluation externe mensuelle (ports et services exposés, risques de vulnérabilités connues et configuration TLS) car là, vous avez la légitimité de regarder de plus près. Toujours pas d'intégration, et toujours rien qui atteigne votre réseau interne.