SECUPRESTA – Sécurité des prestataires
L’externalisation de tout ou partie de vos systèmes d’information peut réduire les coûts et simplifier la gestion, mais elle comporte des risques. La sécurité des données peut être compromise si le prestataire n’est pas fiable. La dépendance à un fournisseur externe peut limiter la flexibilité et retarder les interventions et compromettre la continuité d’activité. Enfin, des problèmes de qualité ou de conformité réglementaire peuvent survenir si les services ne sont pas correctement encadrés contractuellement.
Bon à savoir sur cette formation
- Exposer, analyser et hiérarchiser les risques liés aux prestataires et services externalisés
- Proposer des solutions et des bonnes pratiques
- Permettre une maîtrise des enjeux contractuels et des clauses critiques
- Comprendre les limites des engagements fournisseurs
- Cette formation permet d’appréhender ces enjeux dans une approche globale combinant organisation, sécurité opérationnelle et maîtrise juridique, afin de sécuriser la relation fournisseur en amont, pendant et en fin de contrat.
- Cette formation ne nécessite pas de prérequis particulier.
- Support de cours au format papier en français
- Tous les documents nécessaires à la formation en français ou anglais
- Certificat attestant de la participation à la formation
- Toute personne qui est ou envisage de devenir clients de services externalisés
- DSI, RSSI, chef de projet, responsable opérationnel
- Responsable métier, gestionnaire de contrats, gestionnaire de risque
- Consultant en sécurité
- Responsable juridique, juriste
- À l'issue de cette formation, le stagiaire a la possibilité de passer un examen ayant pour but de valider les connaissances acquises. Cet examen de type QCM dure 1h00 et a lieu durant la dernière après-midi de formation. La réussite à l'examen donne droit à la certification SECUPRESTA par HS2.
- Cours magistral avec de nombreux exemples anonymisés autour d’une étude cas multi contexte
Programme du cours
Introduction et gouvernance fournisseurs
- Processus interne pour la gestion des fournisseurs
- Intégration dans une gouvernance de type SMSI (ISO 27001)
- Définition et typologie des prestataires et services externalisés (Hébergement cloud, SaaS, IaaS, outsourcing du développement, infogérance…)
- Cartographie et criticité des fournisseurs
- En relation avec les processus métiers
- Selon la dépendance pour la cybersécurité et la protection des données de l’organisation
- Cadre réglementaires et responsabilités RGPD, NIS2, DORA, HDS, Data Act, IA Act, CRA…
Analyse des risques fournisseurs
- Principe de la gestion des risques vis-à-vis de la chaine de sous-traitants (supply chain) et catalogue de risques (fuite de données, cyberattaques via prestataires, indisponibilité…)
- Risques juridiques, dépendance et verrouillage fournisseurs,
- Influence étrangère, souveraineté et maitrise des lois extraterritoriales,
- Intérêt des certifications en sécurité de l’information et continuité d’activité, limites des certifications.
Due diligence et sélection
- Documents et garanties à exiger
- Lecture critique des engagements fournisseurs
Architecture contractuelle : contrat, CGV, annexes
- Rôle du contrat dans la gestion des risques
- Obligation de moyens / résultat
- Clauses de sécurité/Plan assurance sécurité, preuves de sécurité et auditabilité
Données personnelles & sous-traitance
- Clauses RGPD (art. 28)
- Sous-traitance ultérieure
- Transferts internationaux
Responsabilité & risques financiers
- Limitation de responsabilité
- Plafonds et exclusions
- Assurance et couverture des risques
Piloter, gérer et sortir de la relation fournisseur
- Pilotage de la relation fournisseur
- Comités de suivi
- Indicateurs (SLA, KPI)
- Gestion des écarts
Gestion des incidents et des crises
- Coordination client / prestataire
- Notification et communication
- Gestion contractuelle des incidents
Réversibilité et fin de contrat
- Dépendance technique
- Restitution et effacement des données
- Clauses de réversibilité
Négociation contractuelle
Stratégies face aux prestataires
- Clauses non négociables
- Arbitrage risque / coûts
Les outils à mettre en œuvre :
- Contrathèque
- Registre des sous-traitants
- Clauses contractuelles types
- Cartographie de l’écosystème et des solutions (inventaire SBOM/HBOM/OBOM)
- Questionnaires, portail fournisseur, agence de notation (cyber-rating)
- Programme d’audit
L’étude de cas introduit et présente pour chaque catégorie de risque les clauses contractuelles adaptées pour les maitriser selon les 4 contextes présentés : Infogérance, hébergement cloud privé, sous-traitance de développement, service SaaS.
Exigences étudiées
- Obligations du client
- Prérogatives du prestataire
- Données personnelles et les obligations issues du RGPD
- Obligations générales de sécurité
- Communication des données
- Confidentialité
- Disponibilité
- Intégrité
- Audits de sécurité
- Réversibilité
- Résiliation
- Effacement des données
- Comptes à privilèges
- Comité de suivi sécurité
- Sous-traitance ultérieure
- Sous-traitance de données, violation de données
- Gouvernance et comité de suivi
- Maintien en Conditions de Sécurité : surveillance et correction des vulnérabilités (scanner)
- Gestion des incidents et des crises
- Gestion de la communication
