Risque fournisseur : encadrer l’accès des prestataires

Le risque fournisseur, c’est l’accès que vous avez ouvert à un prestataire (infogérant, éditeur, mainteneur, intégrateur) et que plus personne ne surveille vraiment. Pour le maîtriser en PME, il suffit de savoir précisément qui entre dans votre SI, par quel chemin, avec quels droits, et d’imposer à ces comptes les mêmes protections qu’à vos propres administrateurs.

Ce n’est pas un sujet réservé aux grands groupes dotés d’un service achats et d’un questionnaire de conformité interminable. Une PME de 80 personnes compte souvent plus d’accès tiers que de comptes administrateurs internes : l’infogérant, l’éditeur de l’ERP, le mainteneur de la téléphonie, le prestataire de la GTB, l’agence web. Chacun d’eux est une porte d’entrée possible, et c’est rarement la plus surveillée.

Un boîtier géré par un tiers, des mois d’intrusion silencieuse

Les équipes de réponse à incident de Unit 42 (Palo Alto Networks) ont publié le récit d’une intrusion dans une banque européenne qui illustre parfaitement le problème. L’attaquant n’a utilisé aucune technique sophistiquée. Il est entré par une passerelle externe gérée par un prestataire, mal configurée et qui n’imposait pas d’authentification stricte, avec des identifiants compromis.

Une fois à l’intérieur, il a mené pendant plusieurs mois des campagnes de reconnaissance bruyantes, des attaques par force brute sur les comptes administrateurs et une collecte systématique de la documentation interne. Il a fini par tenter d’exploiter une vulnérabilité du serveur WSUS, celui qui distribue les mises à jour à tout le parc. C’est seulement à ce moment-là que l’EDR l’a bloqué.

Trois enseignements valent pour n’importe quelle PME :

• l’équipement par lequel l’attaquant est entré n’était pas administré par l’entreprise elle-même, donc personne en interne ne vérifiait sa configuration ;
• l’activité anormale a duré des mois, car les connexions venant du canal prestataire paraissaient légitimes ;
• ce qui a sauvé la situation, c’est une détection sur les postes et serveurs, pas un contrôle contractuel.

Pourquoi le risque fournisseur pèse plus lourd en PME

Dans une grande entreprise, un prestataire reçoit un compte nominatif, limité dans le temps, passant par un bastion qui enregistre les sessions. Dans beaucoup de PME, la réalité est différente : un compte « admin-presta » partagé, créé il y a cinq ans, sans double authentification, avec des droits de domaine complets, et un outil de prise en main à distance installé en permanence sur les serveurs.

Ce raccourci se comprend : le prestataire doit pouvoir intervenir vite, et la PME n’a pas d’équipe pour ouvrir et refermer les accès à la demande. Mais il produit trois angles morts :

• l’identité : vous ne savez pas qui, chez le prestataire, utilise réellement le compte, ni si ce collaborateur est encore en poste ;
• le chemin : VPN dédié, outil RMM, logiciel de télémaintenance, accès direct au cloud du prestataire… les voies d’entrée se multiplient sans inventaire ;
• la surveillance : les connexions du prestataire sont considérées comme « normales » par défaut, donc personne ne les regarde.

Les outils de gestion à distance (RMM) concentrent ce risque : un seul outil compromis chez l’infogérant donne accès à tous ses clients d’un coup. Nous avons détaillé ce scénario dans notre article sur la faille N-central et la sécurisation des outils RMM.

Cartographier les accès prestataires en une demi-journée

Le premier livrable n’est pas une politique, c’est un tableau. Pour chaque prestataire qui touche à votre informatique, notez cinq colonnes :

1. le nom du prestataire et le contact technique responsable ;
2. le ou les comptes utilisés (nominatifs ou partagés) et leur niveau de droits ;
3. le chemin d’accès : VPN, RMM, outil de télémaintenance, console cloud, accès physique ;
4. la protection en place : double authentification, restriction d’adresse IP, plage horaire ;
5. la date de la dernière intervention réelle.

Pour remplir ce tableau, croisez trois sources : la liste des comptes de votre annuaire (Active Directory ou Entra ID) dont le nom évoque un prestataire, la liste des logiciels de prise en main à distance installés sur vos serveurs, et vos factures fournisseurs des douze derniers mois. Les comptes sans intervention récente et les outils que personne ne reconnaît sont vos premières actions de nettoyage.

Ce travail fait presque toujours apparaître des surprises : un ancien prestataire dont le compte est encore actif, un outil de télémaintenance resté installé après un dépannage, une passerelle VPN que le fournisseur administre et dont vous ignorez la version.

Les cinq exigences à poser à chaque prestataire

Inutile d’envoyer un long questionnaire de conformité. Pour une PME, cinq exigences couvrent l’essentiel du risque, et elles se vérifient facilement :

• Comptes nominatifs : un compte par intervenant, jamais de compte partagé, désactivé quand la personne quitte le prestataire.
• Double authentification obligatoire sur tout accès distant, y compris sur les équipements que le prestataire administre pour vous (pare-feu, VPN, passerelle).
• Moindre privilège : des droits limités au périmètre du contrat, pas d’administrateur de domaine par défaut.
• Accès ouverts à la demande quand c’est possible, ou au minimum restreints aux adresses IP du prestataire.
• Engagement de notification : le prestataire vous prévient sous un délai fixé au contrat s’il subit lui-même un incident.

Le point le plus souvent oublié concerne les équipements administrés par le tiers. Dans le cas analysé par Unit 42, c’est précisément une passerelle externe gérée par un prestataire qui a servi de point d’entrée. Demandez explicitement qui applique les correctifs sur ces boîtiers, dans quel délai, et comment vous en êtes informé. Les failles critiques sur les VPN et passerelles d’accès se succèdent : la réponse « c’est le prestataire qui gère » ne suffit pas.

Surveiller l’accès des tiers sans alourdir la relation

Le contrat fixe les règles, mais seule la surveillance prouve qu’elles sont respectées. Trois signaux simples suffisent pour repérer un accès prestataire détourné :

• une connexion du compte prestataire en dehors des créneaux d’intervention habituels ou depuis une adresse inhabituelle ;
• un compte prestataire qui interroge massivement l’annuaire, scanne le réseau ou échoue à répétition sur des comptes administrateurs ;
• l’apparition d’un nouvel outil de prise en main à distance sur un serveur sans ticket correspondant.

Ces signaux supposent de collecter les journaux d’authentification et de les analyser en continu, y compris la nuit et le week-end, moments que les attaquants privilégient. C’est souvent la question qui décide entre surveiller en interne et confier cette tâche à un spécialiste ; notre article infogérant ou MSSP spécialisé détaille ce choix. Point important : si votre infogérant est aussi celui qui surveille, personne ne surveille l’infogérant.

Risque fournisseur et NIS2 : ce que la directive exige

Pour les entités concernées, la directive NIS2 fait de la sécurité de la chaîne d’approvisionnement une mesure obligatoire. Son article 21 cite explicitement la sécurité des relations entre chaque entité et ses fournisseurs ou prestataires de services directs, et demande de tenir compte des vulnérabilités propres à chaque fournisseur et de la qualité de ses pratiques de cybersécurité.

Concrètement, un auditeur attendra trois choses : un inventaire des prestataires ayant accès au SI, des exigences de sécurité formalisées dans les contrats, et la preuve que ces accès sont contrôlés. Le tableau et les cinq exigences décrits plus haut couvrent l’essentiel de cette attente. L’ENISA et le NIST publient des guides de bonnes pratiques plus détaillés pour aller plus loin.

Si votre entreprise entre dans le périmètre NIS2, la gestion des prestataires fait partie des mesures contrôlées : voir notre guide de mise en conformité NIS2 pour PME et ETI.

Ce qu’il faut retenir

• Le risque fournisseur se joue sur trois points : l’identité de l’intervenant, son chemin d’accès et la surveillance de ses connexions.
• Un tableau des accès prestataires, rempli en une demi-journée, révèle presque toujours des comptes et des outils oubliés.
• Comptes nominatifs, double authentification et moindre privilège couvrent l’essentiel des exigences à poser.
• Les équipements administrés par un tiers (VPN, passerelles, pare-feu) doivent avoir un responsable des correctifs clairement identifié.
• NIS2 impose la sécurité de la chaîne d’approvisionnement : inventaire, exigences contractuelles et contrôle des accès.

Sources

• Unit 42 : The Noise Inside the Network, How an Unsophisticated Attack Exposed a Third-Party Risk
• Directive (UE) 2022/2555 (NIS2), article 21
• ENISA : Good Practices for Supply Chain Cybersecurity
• ANSSI : Guide d’hygiène informatique
• NIST SP 800-161 Rev. 1 : Cybersecurity Supply Chain Risk Management Practices