Le Dr Aleksandr Yampolskiy, PDG et co-fondateur de SecurityScorecard, a déclaré :
"Tout comme une maison précaire perchée au bord d’une falaise, la dépendance à l’égard d’une poignée de fournisseurs façonne les fondements de notre économie mondiale. La question à se poser est la suivante : « Avons-nous concentré un service critique auprès d’un seul fournisseur, créant ainsi un point de défaillance unique ? »

Les vulnérabilités tierces se propagent comme un feu de forêt numérique
Les chercheurs en menaces ont utilisé la plateforme SecurityScorecard pour identifier le cyber-risque de la chaîne d’approvisionnement dans environ 12 millions d’organisations.
Les principales conclusions comprennent :

• 150 entreprises représentent 90% des produits et services technologiques sur la surface d’attaque mondiale.
• 41% Parmi ces entreprises, il y avait des preuves d’au moins un appareil compromis au cours de l’année écoulée.
• 11% avait des preuves d’une infection par un ransomware au cours de l’année écoulée.
• 62% de la surface d’attaque externe mondiale est concentrée dans les produits et services de seulement 15 entreprises.
• Les 15 principaux tiers ont des notes de risque de cybersécurité inférieures à la moyenne, ce qui indique une probabilité plus élevée de violation.
• Opérateurs de ransomwares C10p, LockBit et BlackCat ciblent systématiquement les vulnérabilités tierces à grande échelle. Cinq minutes après avoir connecté un appareil connecté à Internet, les auteurs de menaces parrainées par l’État le trouveront.

La taille même de ces entreprises amplifie leur risque de compromission, posant des risques de tiers importants à leur vaste clientèle. Défendre des surfaces d’attaque massives représente un formidable défi, même pour les équipes de sécurité les plus robustes. Alors que ces entreprises doivent maintenir une sécurité sans faille à tout moment, les attaquants n’ont besoin d’exploiter qu’une seule vulnérabilité au sein de leur vaste surface d’attaque.

Agir pour se prémunir contre les risques liés aux tiers

Selon McKinsey, les entreprises dépensent des centaines de milliers de dollars par an pour gérer les cyber-risques au sein de leur fournisseur et de l’écosystème tiers, ainsi que des millions en cyber-programmes, mais leur activité d’un milliard de dollars ne vaut que par la cybersécurité de leur plus petit fournisseur.

L’atténuation de la cybersécurité de la chaîne d’approvisionnement nécessite quatre étapes clés :
• Identifiez les points de défaillance uniques
• Surveiller en permanence la surface d’attaque externe
• Détecter automatiquement les nouveaux fournisseurs
• Opérationnaliser la gestion de la cybersécurité des fournisseurs

Charlie Lewis, associé chez McKinsey, a ajouté : "La nature interconnectée de notre paysage numérique nécessite un changement dans la façon dont les entreprises envisagent les risques liés à leur cyberécosystème : il ne s’agit plus seulement de votre résilience, vous devez considérer le système dans son ensemble et la manière de construire un soutien mutuel avec vos pairs, vos concurrents et vos collaborateurs. vendeurs."