La quantification des risques liés à la chaîne d'approvisionnement consiste à traduire les risques identifiés de la chaîne d'approvisionnement en estimations d'exposition financière, c'est-à-dire le coût attendu pour l'entreprise si un risque précis de la chaîne d'approvisionnement se concrétise, compte tenu à la fois de la probabilité de l'événement et de l'ampleur de ses conséquences. Sans quantification, le risque lié à la chaîne d'approvisionnement est exprimé en termes qualitatifs (élevé, moyen, faible) qui permettent de documenter le risque mais pas de prendre les décisions financières qu'exige une gestion efficace des risques : combien investir dans les contrôles de sécurité de la chaîne d'approvisionnement, si cet investissement est proportionné au risque et comment le risque lié à la chaîne d'approvisionnement se compare aux autres risques du portefeuille de l'entreprise.
Le cadre FAIR est la méthode la plus utilisée pour quantifier le cyberrisque, y compris le risque lié à la chaîne d'approvisionnement. FAIR (Factor Analysis of Information Risk) modélise le risque en fonction de la fréquence des événements de menace et de l'ampleur des pertes. Pour le risque lié à la chaîne d'approvisionnement, la fréquence des événements de menace tient compte de la fréquence des attaques de la chaîne d'approvisionnement contre les organisations du secteur de l'entreprise, de la probabilité que le fournisseur concerné soit ciblé et de la probabilité que l'attaque réussisse compte tenu de sa posture de sécurité actuelle. L'ampleur des pertes tient compte des conséquences d'une attaque réussie de la chaîne d'approvisionnement via ce fournisseur : coûts de la violation de données, coûts de la perturbation des activités, amendes réglementaires et atteinte à la réputation.
La donnée d'entrée de probabilité est la difficulté propre à la quantification de la chaîne d'approvisionnement. Les données sur la fréquence des attaques de la chaîne d'approvisionnement sont disponibles auprès des sources de renseignement sur les menaces (l'ENISA, la CISA et les ISAC sectoriels publient des données sur les incidents de la chaîne d'approvisionnement), mais une probabilité propre au fournisseur exige d'apprécier la probabilité relative qu'il soit ciblé, en fonction de son secteur, de sa taille et de ses antécédents d'incidents. Le niveau SLSA, la maturité du programme SCA et la posture de sécurité du pipeline de build alimentent tous l'évaluation de la probabilité : un fournisseur au niveau 3 de SLSA doté d'une SCA complète a moins de chances d'être compromis avec succès par sa chaîne d'approvisionnement logicielle qu'un fournisseur dépourvu de tout contrôle de la chaîne d'approvisionnement. La probabilité n'est pas précise, mais elle vaut mieux qu'une absence de mesure.
Pourquoi c’est important
La quantification des risques liés à la chaîne d'approvisionnement est importante, car elle transforme la documentation des risques en gestion des risques. Le CISO et le conseil d'administration ont besoin d'estimations de l'exposition financière pour prendre des décisions d'investissement, arbitrer entre des initiatives de sécurité concurrentes et présenter la posture de risque aux parties prenantes qui décident de l'allocation des ressources. Des niveaux de risque qui ne peuvent pas être traduits en termes financiers n'éclairent pas ces décisions : ils décrivent le risque sans fournir de base pour agir.
- Risque évalué sans quantification financière
- Justification des investissements non étayée par des estimations du risque
- La communication au conseil d'administration exige des termes financiers que les niveaux qualitatifs ne fournissent pas
- Priorisation des risques fondée sur des niveaux plutôt que sur la comparaison des pertes attendues
- Proportionnalité des investissements dans les contrôles impossible à évaluer sans quantification
À quoi ressemblent les bonnes pratiques
Les programmes matures de quantification des risques liés à la chaîne d'approvisionnement appliquent FAIR ou une méthode équivalente aux relations avec les fournisseurs critiques, en estimant la fréquence des événements de perte et l'ampleur des pertes pour les scénarios de risque les plus importants de la chaîne d'approvisionnement, et expriment les résultats en perte annuelle attendue (EAL) et en exposition aux pertes au 90e percentile pour éclairer les décisions du conseil d'administration et les décisions d'investissement.
- Quantification fondée sur FAIR pour les scénarios de risque critiques de la chaîne d'approvisionnement
- Estimation de la fréquence des événements de perte à partir du renseignement sur les menaces et de la posture du fournisseur
- Estimation de l'ampleur des pertes, y compris les coûts de violation, de perturbation, réglementaires et réputationnels
- La perte annuelle attendue et le 90e percentile comme indicateurs d'aide à la décision
- Calcul du ROI des contrôles à partir de la réduction du risque comparée à l'investissement
Outils
Quantification des risques : RiskLens (plateforme FAIR), Bitsight Risk Quantification, Axio pour la quantification du cyberrisque lié à la chaîne d'approvisionnement
Les plateformes de quantification des risques fondées sur FAIR (RiskLens, Bitsight Risk Quantification) fournissent des cadres structurés pour estimer l'exposition financière aux cyberrisques, y compris aux risques liés à la chaîne d'approvisionnement. Pour les praticiens de la TPRM, utiliser une plateforme de quantification pour estimer la perte attendue des trois principaux risques de la chaîne d'approvisionnement fournit la base financière de justification des investissements et de communication avec le conseil d'administration que les niveaux qualitatifs ne peuvent pas offrir.
Enjeux de gouvernance
Le défi de gouvernance de la quantification des risques liés à la chaîne d'approvisionnement est la tension entre précision et utilité. Les estimations fondées sur FAIR sont des fourchettes, et non des chiffres précis : elles expriment les résultats sous forme de distributions plutôt que d'estimations ponctuelles. Les parties prenantes qui attendent des chiffres précis peuvent être mal à l'aise face à des estimations en fourchettes. La solution de gouvernance consiste à faire valoir l'intérêt des fourchettes : une perte de $15 M au 90e percentile pour un scénario d'attaque de la chaîne d'approvisionnement est plus utile à la décision qu'un niveau de risque élevé, même s'il ne s'agit pas d'une prédiction précise.
- Appliquer la méthode FAIR aux trois principaux scénarios de risque de la chaîne d'approvisionnement
- Exprimer les résultats sous forme de fourchettes : perte attendue et 90e percentile
- Utiliser la quantification pour justifier les investissements : coût des contrôles comparé à la réduction du risque
- Communiquer en termes financiers avec le conseil d'administration, et non avec des niveaux qualitatifs
- Mettre à jour la quantification chaque année et lorsque la posture de risque du fournisseur évolue de manière significative
Si vous êtes une petite équipe
Appliquez une analyse FAIR simplifiée à votre scénario de chaîne d'approvisionnement le plus risqué. Estimez combien de fois par an une attaque de la chaîne d'approvisionnement visant ce fournisseur aurait des chances de réussir (fréquence des événements de perte). Et, si elle réussissait, combien elle coûterait : notification de la violation, perturbation des activités, amende réglementaire et atteinte à la réputation (ampleur de la perte). Multipliez les deux. Le résultat est une estimation approximative de la perte annuelle attendue, imprécise mais nettement plus utile qu'un niveau de risque pour communiquer l'exposition financière et justifier les investissements dans les contrôles. Ce calcul simplifié prend quelques heures et produit une estimation du risque présentable au conseil d'administration.
- Appliquer une méthode FAIR simplifiée : fréquence des événements de perte × ampleur des pertes pour le scénario le plus risqué
- Exprimer le résultat sous forme de fourchette de perte annuelle attendue
- Utiliser l'estimation pour justifier les investissements et communiquer avec le conseil d'administration
- Affiner avec une analyse FAIR complète pour les scénarios critiques
Ce qu’il faut exiger
Demandez directement :
« Avez-vous chiffré l'exposition financière liée à une attaque de la chaîne d'approvisionnement visant vos fournisseurs les plus critiques, et pouvez-vous nous expliquer comment vous utilisez ce chiffrage pour prioriser vos investissements en sécurité de la chaîne d'approvisionnement et présenter votre posture de risque à votre conseil d'administration ? »
Preuves attendues
- Méthode de quantification des risques liés à la chaîne d'approvisionnement
- Estimations de l'exposition financière pour les scénarios critiques de la chaîne d'approvisionnement
- Priorisation des investissements fondée sur le risque quantifié
- Communication au conseil d'administration du risque lié à la chaîne d'approvisionnement en termes financiers
Il faut demander à un fournisseur qui affirme gérer le risque lié à sa chaîne d'approvisionnement si cette gestion comprend une quantification. Les niveaux de risque documentent le risque. La quantification éclaire les décisions financières qu'exige une gestion efficace des risques.
Comment le prouver
- Registres de quantification des risques liés à la chaîne d'approvisionnement
- Analyse FAIR des scénarios critiques
- Justification des investissements fondée sur le risque quantifié
- Communication au conseil d'administration de l'exposition financière au risque lié à la chaîne d'approvisionnement
À retenir
Niveaux de risque : élevé, moyen, élevé. Exposition financière : non calculée. Communication au conseil d'administration : uniquement qualitative. Justification des investissements : indisponible. Les niveaux de risque décrivent la gravité du risque sans fournir la base financière nécessaire pour décider quoi faire. La quantification du risque lié à la chaîne d'approvisionnement, c'est-à-dire la perte annuelle attendue et l'exposition au 90e percentile pour les scénarios de chaîne d'approvisionnement les plus importants, transforme la documentation des risques en gestion des risques. Les décisions d'investissement exigent une comparaison financière. La communication au conseil d'administration exige un cadrage financier. Une analyse FAIR simplifiée prend quelques heures. Son résultat éclaire les décisions que les niveaux qualitatifs ne permettent pas de prendre.