Hauts-de-France : piratée via ses prestataires, sans toucher son SI

Une région française piratée, sans que son propre système d'information soit touché. C'est exactement ce que décrit l'incident confirmé début octobre par la région Hauts-de-France, et c'est une situation que beaucoup d'organisations sous-estiment.

Ce que l'on sait

Selon la presse, la région Hauts-de-France a confirmé une intrusion chez deux de ses prestataires : la plateforme Atexo et la plateforme Carte Génération HDF opérée par Docaposte.

Toujours selon la région, près de 545 000 personnes sont concernées. Les données exposées comprennent des noms et des adresses e-mail et, pour une partie des personnes, des contrats d'apprentissage et des RIB.

La région précise que son système d'information interne n'a pas été affecté. C'est justement là que se situe la leçon : vos données ne vivent pas seulement chez vous. Elles vivent aussi chez vos fournisseurs, sur leurs plateformes, avec leur niveau de sécurité.

Vos données vivent aussi chez vos fournisseurs

Plateformes de marchés publics, outils de paie, CRM en ligne, prestataires d'hébergement, éditeurs SaaS, sous-traitants de maintenance : la plupart des organisations confient une part importante de leurs données sensibles à des tiers. Chacun de ces tiers devient une porte d'entrée possible.

Pour un attaquant, la logique est simple. Plutôt que de s'attaquer à une organisation bien défendue, il peut viser le prestataire qui détient les mêmes données, parfois celles de plusieurs clients à la fois. Pour la victime finale, le résultat est le même : des données exposées, des personnes à informer et une confiance à reconstruire, même si son propre réseau n'a jamais été touché.

Le point délicat est que ce risque est rarement visible. On audite son réseau, ses applications, son Active Directory. On audite beaucoup plus rarement les plateformes de ses fournisseurs.

Ce que nous recommandons aux dirigeants

Quatre actions permettent de reprendre la main sur ce risque :

Cartographier les prestataires qui hébergent ou traitent vos données sensibles. Sans cette liste, impossible de savoir où se trouve réellement votre exposition.
Exiger des audits et des tests d'intrusion réguliers sur leurs plateformes, et demander à en connaître les conclusions et le suivi des corrections.
Inscrire au contrat la notification d'incident dans des délais définis et le droit d'audit. Une clause absente le jour de l'incident ne peut pas être ajoutée après.
Intégrer ces fournisseurs à votre plan de crise : qui prévenir, qui décide, comment communiquer avec les personnes concernées si la fuite vient de chez eux.

Ces mesures relèvent des bonnes pratiques reconnues de gestion du risque fournisseur, telles qu'on les retrouve dans la norme ISO 27001 et dans les recommandations de l'ANSSI sur la maîtrise des relations avec les prestataires.

Une exigence explicite de NIS2

La sécurité de la chaîne d'approvisionnement n'est plus seulement une bonne pratique. C'est une exigence explicite de la directive NIS2 : les entités concernées doivent prendre en compte la sécurité des relations avec leurs fournisseurs et prestataires directs dans leurs mesures de gestion des risques.

Autrement dit, « ce n'était pas chez nous » ne sera pas une réponse suffisante. Il faudra démontrer que le risque porté par les fournisseurs a été identifié, évalué et encadré.

Par où commencer

Une question simple permet de mesurer le chemin à parcourir : savez-vous aujourd'hui quel prestataire détient vos données les plus sensibles ?

Si la réponse prend plus de quelques minutes, c'est le bon moment pour agir. Nous vous aidons à identifier vos fournisseurs critiques, à évaluer la sécurité de leurs plateformes avec un regard d'attaquant et à construire les exigences contractuelles qui vous protègent.

Vous voulez évaluer la sécurité de vos prestataires ? Écrivez-nous via le formulaire de contact.