Évaluer le risque cyber de vos fournisseurs

Vos donneurs d'ordre vous envoient des questionnaires sécurité. La question symétrique se pose rarement : que savez-vous, vous, des entreprises à qui vous avez ouvert un accès ?

Le risque arrive par des portes que vous avez ouvertes

Votre infogéreur administre vos serveurs. Le fabricant de votre machine garde un accès à distance pour intervenir vite. Votre cabinet comptable détient vos données de paie. Un prestataire est intervenu en 2019 et personne n'a jamais vérifié si son accès avait été coupé.

Chacune de ces relations est justifiée. Ensemble, elles constituent une surface que personne dans l'entreprise ne regarde globalement.

En septembre 2025, la compromission de Collins Aerospace, éditeur d'un logiciel d'enregistrement partagé par plusieurs compagnies aériennes, a contraint Bruxelles, Heathrow, Berlin et Dublin à revenir au papier pendant des jours. Près de la moitié des vols au départ ont été annulés à Bruxelles. Aucun de ces aéroports n'avait été attaqué et aucun n'avait commis de faute. Ils avaient un fournisseur en commun.

Pourquoi un questionnaire ne suffit pas

Faire remplir un questionnaire à un fournisseur est utile. Cela crée une obligation contractuelle et cela signale que le sujet vous intéresse. Mais il faut voir ce que c'est : une déclaration sur l'honneur, souvent remplie par une personne qui n'a pas la vision complète de son propre système d'information.

Un dirigeant de petite structure qui coche « sauvegardes testées régulièrement » le croit sincèrement. Personne n'a testé depuis trois ans. Il ne ment pas, il ne sait pas.

Ce qui transforme une déclaration en évaluation, c'est le recoupement avec des éléments observables de l'extérieur.

Ce qui est observable sans rien toucher

Une entreprise laisse des traces publiques, involontairement. Recoupées, elles donnent une image utile de sa maturité :

• Les technologies qu'elle utilise, décrites dans ses annonces de recrutement
• Les services qu'elle expose sur Internet, référencés dans des bases publiques
• Ses noms de domaine, ses certificats, la façon dont sa messagerie est configurée
• La présence d'adresses professionnelles de ses salariés dans des fuites de données connues
• Son historique public d'incidents, et la manière dont elle les a traités
• Sa structure et ses effectifs réels, qui indiquent si quelqu'un s'occupe réellement du sujet

Cette observation ne touche pas les systèmes du fournisseur. Elle consulte des sources et des bases déjà publiques, ce qui ne nécessite aucune autorisation. Tout test actif vers l'infrastructure d'un tiers en exigerait une, émanant de ce tiers. C'est une limite que nous ne franchissons pas.

Deuxième limite, tout aussi ferme. Il s'agit d'évaluer une entreprise, pas de profiler des personnes. Le travail documente une organisation et son exposition technique. Il ne constitue pas de dossiers sur des individus nommés.

Par où commencer, et dans quel ordre

L'erreur classique consiste à trier les fournisseurs par montant d'achat. Le bon critère est l'accès.

Priorité haute. Ceux qui disposent d'un accès permanent à vos systèmes : infogéreur, éditeur en accès distant, mainteneur d'équipement.

Priorité moyenne. Ceux qui détiennent vos données sensibles sans accéder à vos systèmes : comptable, paie, bureau d'études, sous-traitant à qui vous confiez des plans.

Priorité basse. Les fournisseurs sans accès ni données, même importants commercialement.

Un mainteneur avec un accès distant ouvert depuis cinq ans pèse plus lourd, en risque, qu'un fournisseur de matières premières dix fois plus gros.

Ce que ça donne concrètement

Trois usages, selon le moment.

Avant d'ouvrir un accès. Un nouveau prestataire va se connecter à vos systèmes. Savoir ce qu'il expose lui-même avant de signer.

Au renouvellement d'un contrat. Le moment où vous avez un levier pour faire évoluer des clauses de sécurité, et pour reposer la question des accès accumulés.

Lors d'un rapprochement. Rachat, partenariat industriel, prise de participation. L'exposition de l'autre entreprise devient la vôtre le jour où les systèmes se rapprochent.

Ce qu'ICCForge fait

Nous partons de votre liste de prestataires, ou nous la reconstituons avec vous si elle n'existe pas, ce qui est le cas le plus fréquent. Nous priorisons par niveau d'accès, puis nous documentons ce qui est observable publiquement pour les fournisseurs qui comptent.

Vous obtenez une cartographie de vos dépendances, les écarts constatés, et des questions précises à poser à chacun. Pas un score opaque, mais des constats que vous pouvez mettre sur la table lors de votre prochain point fournisseur.

C'est la démarche symétrique de celle que nous menons quand un de vos clients vous envoie un questionnaire. Dans les deux cas il s'agit de la même chaîne, regardée d'un côté ou de l'autre.

Les offres · La méthode · Si vous êtes une PME industrielle · NIS2 et la responsabilité du dirigeant

Questions fréquentes

Un questionnaire rempli par le fournisseur suffit-il ?

C'est un point de départ à valeur contractuelle, pas une preuve. Il se recoupe avec ce qui est observable de l'extérieur.

Est-ce légal d'observer un fournisseur sans le prévenir ?

La consultation de sources publiques ne touche pas ses systèmes et ne nécessite pas son autorisation. Un test actif vers son infrastructure en exigerait une, de sa part. Nous ne la franchissons pas.

Profilez-vous des personnes ?

Non. Le travail porte sur une organisation et son exposition technique, pas sur des individus.

Par quel fournisseur commencer ?

Par ceux qui ont un accès permanent à vos systèmes, pas par les plus importants commercialement.