Risque lié aux tiers et risque lié aux quatrièmes parties

Une société de services financiers a confié le traitement de données clients à un fournisseur d’analyse dans le cloud. Le rapport SOC 2 de type II du fournisseur couvrait sa plateforme d’analyse. Ce que le rapport ne couvrait pas, et ce que l’évaluation TPRM n’avait pas atteint, c’était le recours du fournisseur à un sous-traitant ultérieur pour le stockage des données. Le fournisseur stockait les résultats d’analyse dans un entrepôt de données managé exploité par une autre entreprise. Environ cinquante-trois pour cent des données clients de la société financière, une fois traitées, se trouvaient dans l’infrastructure de ce sous-traitant ultérieur. Celui-ci n’avait aucune relation contractuelle directe avec la société financière. Le DPA conclu entre la société financière et le fournisseur d’analyse comportait une clause autorisant le recours à des sous-traitants ultérieurs moyennant une notification écrite, et cette notification avait été fournie. La société financière en avait accusé réception. Personne n’avait évalué les contrôles de sécurité du sous-traitant ultérieur. Personne n’avait examiné la localisation de ses données. Personne n’avait confirmé que ses obligations de notification des violations remontaient jusqu’à la société financière dans les mêmes délais que celles du fournisseur principal. Les données clients de la société financière se trouvaient dans un système régi par un contrat auquel elle n’était pas partie, évalué par un programme qui ne l’atteignait pas, et couvert par des obligations de notification des violations qui n’avaient pas été validées.

Quel est réellement le problème du risque lié aux tiers par rapport au risque lié aux quatrièmes parties ?

Le risque lié aux quatrièmes parties est le risque de sécurité créé par les fournisseurs de vos fournisseurs : les sous-traitants ultérieurs, sous-prestataires de services et acteurs de la chaîne d’approvisionnement auxquels vos tiers font appel pour vous fournir leurs services. Vous avez une relation directe avec vos tiers : vous avez contracté avec eux, vous les avez évalués et vous les gouvernez par votre programme TPRM. Vous avez une relation indirecte avec leurs sous-traitants ultérieurs : vos données peuvent transiter par eux, vos services peuvent dépendre d’eux, et une violation ou une défaillance au niveau des quatrièmes parties peut toucher vos clients, mais vous n’avez avec eux aucune relation contractuelle directe, aucune évaluation directe et aucune gouvernance directe.

Le problème de la chaîne de dépendances est la dynamique fondamentale du risque lié aux quatrièmes parties. Les services technologiques modernes reposent sur des chaînes de dépendances : un fournisseur SaaS utilise une infrastructure cloud, des bases de données cloud natives, des services d’authentification tiers, des réseaux de diffusion de contenu et des services spécialisés de traitement de données. Du point de vue du client, chaque dépendance est une relation avec une quatrième partie. Les contrôles du fournisseur SaaS régissent la plateforme SaaS. Ceux du fournisseur d’infrastructure cloud régissent l’infrastructure. L’évaluation des risques du client couvre le premier maillon. Les maillons suivants restent invisibles, sauf si la documentation d’évaluation du fournisseur les fait apparaître.

L’exigence de visibilité sur les quatrièmes parties prévue par le GDPR est l’obligation réglementaire la plus directe en matière de gestion du risque lié aux quatrièmes parties. L’article 28 du GDPR impose que les sous-traitants ne fassent appel à des sous-traitants ultérieurs qu’avec l’autorisation écrite préalable du responsable du traitement et que ces sous-traitants ultérieurs soient soumis à des obligations équivalentes en matière de protection des données. Cela signifie que le DPA conclu par une organisation avec un fournisseur doit comporter des clauses applicables aux sous-traitants ultérieurs du fournisseur, et que l’organisation doit disposer d’un fondement lui donnant l’assurance que ces obligations sont respectées. Dans des procédures de sanction, les autorités de contrôle GDPR ont tenu des responsables du traitement pour responsables de violations chez des sous-traitants ultérieurs lorsqu’une supervision adéquate de ceux-ci n’avait pas été maintenue.

Inventaire des sous-traitants ultérieurs non obtenu : aucune visibilité sur les quatrièmes parties qui traitent les données des clients pour le compte du fournisseur
Rapport SOC 2 ou équivalent du sous-traitant ultérieur non examiné : aucune assurance sur la posture de sécurité des quatrièmes parties
Chaîne du DPA vers les sous-traitants ultérieurs non validée : on ne sait pas si des obligations équivalentes en matière de protection des données s’appliquent aux sous-traitants ultérieurs
Chaîne de notification des violations des sous-traitants ultérieurs non confirmée : on ne sait pas si les obligations de notification des violations remontent la chaîne dans les délais requis
Aucune évaluation du risque de concentration au niveau des quatrièmes parties : plusieurs fournisseurs recourent au même sous-traitant ultérieur, ce qui crée un risque corrélé

Pourquoi c’est important

Le risque lié aux quatrièmes parties compte, car les violations de données ne respectent pas les frontières organisationnelles de la chaîne de dépendances. Lorsqu’un sous-traitant ultérieur subit une violation, l’obligation de notification, l’examen réglementaire et l’impact sur les clients reviennent à l’organisation dont les données ont été traitées, quel que soit le nombre de liens contractuels qui la séparent du sous-traitant ultérieur. La violation de Target était un événement de risque lié aux tiers (fournisseur HVAC). La violation de SolarWinds était un événement de risque lié aux tiers pour les clients de SolarWinds et, simultanément, un événement de risque lié aux quatrièmes parties pour les clients d’organisations qui utilisaient SolarWinds : la violation a touché des systèmes d’entreprises qui n’utilisaient pas directement SolarWinds, mais dépendaient de prestataires de services qui l’utilisaient.

La concentration est la dimension du risque lié aux quatrièmes parties la plus difficile à percevoir à partir de l’évaluation d’un fournisseur isolé. Si plusieurs fournisseurs utilisent le même fournisseur d’infrastructure cloud, le même service de base de données managé ou la même plateforme d’authentification, une seule défaillance au niveau du sous-traitant ultérieur partagé touche simultanément tous ces fournisseurs, et tous leurs clients. Les évaluations individuelles des fournisseurs ne révèlent pas l’exposition corrélée que les dépendances partagées envers des quatrièmes parties créent dans l’ensemble du portefeuille de fournisseurs.

Là où la plupart des équipes se trompent

L’erreur la plus constante consiste à considérer la responsabilité contractuelle du fournisseur à l’égard des sous-traitants ultérieurs comme équivalente à la gestion par le client des risques liés à ces sous-traitants ultérieurs. La responsabilité contractuelle répartit la charge de la responsabilité. Elle ne supprime ni l’obligation réglementaire du client, ni l’atteinte à sa réputation, ni son obligation de notifier ses propres clients si le sous-traitant ultérieur subit une violation.

Confondre la responsabilité contractuelle du fournisseur avec la gestion des risques par le client
Inventaire des sous-traitants ultérieurs non demandé : simple recours à la notification prévue par le DPA, sans examen de l’inventaire
Aucune évaluation de la sécurité des sous-traitants ultérieurs : posture des quatrièmes parties non examinée
Chaîne de notification des violations non validée : il n’est pas confirmé que les obligations des sous-traitants ultérieurs remontent la chaîne dans les délais requis
Concentration au niveau des quatrièmes parties non évaluée : sous-traitants ultérieurs partagés au sein du portefeuille de fournisseurs non identifiés

À quoi ressemblent les bonnes pratiques

Les programmes matures de gestion du risque lié aux quatrièmes parties obtiennent les inventaires des sous-traitants ultérieurs des fournisseurs critiques, examinent les attestations de sécurité de ces sous-traitants ultérieurs, vérifient que les obligations du DPA s’appliquent aux sous-traitants ultérieurs avec des exigences équivalentes, confirment les chaînes de notification des violations et évaluent le risque de concentration dans l’ensemble du portefeuille de fournisseurs.

Inventaire des sous-traitants ultérieurs des fournisseurs critiques : liste complète des sous-traitants ultérieurs qui traitent les données des clients
Examen des attestations de sécurité des sous-traitants ultérieurs : rapports SOC 2 ou équivalents pour les sous-traitants ultérieurs importants
Validation de la chaîne du DPA : confirmation que des obligations équivalentes en matière de protection des données s’appliquent aux sous-traitants ultérieurs
Confirmation de la chaîne de notification des violations : les obligations de notification des violations des sous-traitants ultérieurs remontent la chaîne dans les délais requis
Évaluation de la concentration au niveau des quatrièmes parties : sous-traitants ultérieurs partagés au sein du portefeuille de fournisseurs identifiés

Outils

Plateformes TPRM avec cartographie des quatrièmes parties : ProcessUnity, Prevalent

Les plateformes TPRM dotées d’une cartographie des relations avec les quatrièmes parties permettent de visualiser la chaîne de dépendances au-delà du fournisseur direct, en suivant quels sous-traitants ultérieurs sont utilisés par quels fournisseurs et en identifiant les concentrations au niveau des quatrièmes parties. Pour les praticiens TPRM, demander si la plateforme TPRM prend en charge la cartographie des relations avec les quatrièmes parties constitue une question précise sur la visibilité de la chaîne de dépendances.

Renseignement sur la chaîne d’approvisionnement : Interos, Coupa Risk

Les plateformes de renseignement sur la chaîne d’approvisionnement cartographient la chaîne d’approvisionnement étendue au-delà des fournisseurs directs, en identifiant les sous-traitants ultérieurs auxquels recourent les fournisseurs et en surveillant ces sous-traitants ultérieurs pour détecter des signaux de risque de sécurité et opérationnel. Pour les praticiens TPRM, utiliser des plateformes de renseignement sur la chaîne d’approvisionnement pour les relations avec les fournisseurs critiques offre une visibilité sur les quatrièmes parties sans nécessiter d’échanges directs avec chaque sous-traitant ultérieur.

Enjeux de gouvernance

La difficulté de gouvernance du risque lié aux quatrièmes parties tient à la portée limitée de l’évaluation. Les clients ne peuvent pas évaluer directement les sous-traitants ultérieurs de leurs fournisseurs : ils n’ont ni relation contractuelle, ni droit d’évaluation, ni accès direct. La gouvernance du risque lié aux quatrièmes parties passe par le fournisseur : demander les inventaires des sous-traitants ultérieurs, exiger des fournisseurs qu’ils gèrent le risque lié à leurs sous-traitants ultérieurs selon des normes définies, et utiliser les certifications et rapports SOC 2 fournis par les fournisseurs comme mécanismes d’assurance au niveau des quatrièmes parties.

Demander aux fournisseurs de niveau 1 l’inventaire de leurs sous-traitants ultérieurs : liste de tous les sous-traitants ultérieurs qui traitent les données des clients
Exiger du fournisseur qu’il maintienne un rapport SOC 2 ou équivalent pour ses sous-traitants ultérieurs
Valider les clauses du DPA relatives aux obligations des sous-traitants ultérieurs : exigences équivalentes appliquées
Confirmer la chaîne de notification des violations : en combien de temps les violations chez les sous-traitants ultérieurs parviennent au client
Identifier la concentration au niveau des quatrièmes parties dans le portefeuille de fournisseurs

Si vous êtes une petite équipe

Demandez à vos trois fournisseurs les plus à risque la liste complète des sous-traitants ultérieurs qui traitent les données de votre organisation : pas seulement la notification reçue au titre du DPA, mais les entreprises concernées, ce qu’elles traitent, où elles stockent les données et si elles disposent d’un rapport SOC 2 ou de certifications équivalentes. Cette liste constitue l’inventaire des quatrièmes parties pour vos relations les plus critiques. Tout sous-traitant ultérieur qui traite plus de vingt pour cent de vos données chez un fournisseur, et que vous n’avez ni évalué ni dont vous n’avez examiné les attestations, représente une lacune de risque lié aux quatrièmes parties qui mérite d’être traitée.

Demander l’inventaire complet des sous-traitants ultérieurs aux fournisseurs les plus à risque
Examiner les rapports SOC 2 ou certifications équivalentes des sous-traitants ultérieurs importants
Valider la chaîne des obligations du DPA jusqu’aux sous-traitants ultérieurs
Confirmer le délai de notification des violations du sous-traitant ultérieur jusqu’au client

Ce qu’il faut exiger

Demandez directement :

« Pouvez-vous fournir la liste complète des sous-traitants ultérieurs qui traitent les données de notre organisation, en précisant ce que chacun traite, où il stocke les données et quelles certifications de sécurité il détient ? »

« Si un sous-traitant ultérieur subit une violation touchant nos données, quel est le délai de notification du sous-traitant ultérieur vers vous, puis de vous vers nous, et le délai cumulé respecte-t-il notre obligation réglementaire de notification ? »

Preuves attendues

Inventaire complet des sous-traitants ultérieurs avec leurs fonctions et les catégories de données
Certifications de sécurité des sous-traitants ultérieurs : SOC 2 ou équivalent
Confirmation des obligations du DPA applicables aux sous-traitants ultérieurs
Documentation des délais de la chaîne de notification des violations

Il convient de demander à un fournisseur qui a confirmé la notification des sous-traitants ultérieurs au titre du DPA l’inventaire complet des sous-traitants ultérieurs qui traitent les données du client, ainsi que le délai cumulé de notification des violations du sous-traitant ultérieur jusqu’au client. La notification a été fournie. La question de la gestion du risque lié aux quatrièmes parties est distincte.

Comment le prouver

Dossiers d’inventaire des sous-traitants ultérieurs des fournisseurs critiques
Dossiers d’examen des attestations de sécurité des sous-traitants ultérieurs
Validation de la chaîne du DPA vers les sous-traitants ultérieurs
Confirmation des délais de la chaîne de notification des violations

À retenir

Votre fournisseur est votre tiers. Son sous-traitant ultérieur est votre quatrième partie. Les données présentes dans l’infrastructure du sous-traitant ultérieur sont vos données. L’obligation de notification lorsque le sous-traitant ultérieur subit une violation est votre obligation. L’examen réglementaire qui s’ensuit est votre examen. La responsabilité contractuelle du fournisseur à l’égard de ses sous-traitants ultérieurs répartit la charge de la responsabilité entre vous et le fournisseur. Elle ne change pas votre position réglementaire. Demandez l’inventaire des sous-traitants ultérieurs. Examinez leurs attestations de sécurité. Validez la chaîne du DPA. Confirmez le délai de notification. Le risque lié aux quatrièmes parties ne disparaît pas parce que le fournisseur en est contractuellement responsable.