La cyber-attaque contre Harvest, fournisseur de logiciels dédiés aux métiers du patrimoine et de la finance, prend de l’ampleur. La MAIF et le groupe Banque populaire-Caisse d’Épargne (BPCE) ont informé leurs clients que leurs données sensibles (salaire, actifs financiers, endettement, coordonnées) ont fuité dans cette cyberattaque.
Tribune Aprovall – Est-ce qu’une telle attaque aurait pu être évitée ? Les solutions de cybersécurité ne sont pas forcément les seules à etre pointées du doigt. Quid de l’évaluation des partenaires des organisations ?
Emmanuel Poidevin Fondateur et directeur général d’Aprovall, société d’évaluation et gestion des risques tiers, indique que « ce qui est en train de se passer n’est pas rare. En 2024, 62% des entreprises ont été touchées par des ransomwares via des fournisseurs (études d’Opentext 2024). Les organisations doivent repenser leur stratégie d’évaluation de leurs fournisseurs. Ce n’est pas “juste » s’assurer de leur conformité réglementaire, il faut être capable d’anticiper et de gérer les risques provenant de leur tiers.»
Il ajoute :
« Le risque de cyber-attaque est le plus grand risque des organisations. Certes les institutions financières sont particulièrement bien protégées, mais leurs fournisseurs peuvent être leur talon d’Achille. C’est pourquoi la mise en application des mesures phares NIS 2 et DORA sur la maitrise des risques tiers sont essentielles. »
La directive NIS 2 et surtout la règlementation DORA (résilience opérationnelle numérique des entités financières) ambitionnent de donner un cadre de pratiques et de responsabilités en matière de cybersécurité à échelle européenne. Elles participent en particulier à une redéfinition de la gestion des risques tiers.
Les solutions de TPGRC (Third Party Governance Risk and Compliance) d’Aprovall permettent aux organisations de mettre en œuvre une gestion efficace des risques tiers.
