Dans cet épisode #4 de ma série Road to CISO, je rentre dans le dur d’un sujet “pas sexy” pour certains, mais indispensable : la gestion du risque cyber, et en particulier le risque lié aux tiers (third parties). Que tu sois RSSI, que tu veuilles évoluer vers un poste GRC, dirigeant, ou même juste curieux pour ta sécurité perso, l’idée est la même : comprendre les menaces, comprendre l’attaque, et en déduire les bonnes actions de sécurité. Je m’appuie sur un modèle one-pager que je trouve super parlant, et je le déroule étape par étape. Je structure la démarche en 3 grosses phases : Identify, Assess & Monitor, Remediate. On commence par identifier : analyse de risque (je fais le lien avec EBIOS), inventaire des tiers, et même des “tiers de tes tiers”, jusqu’au cloud. Ensuite, on évalue et on monitore : due diligence avant de bosser avec un fournisseur, self-assessment, revues sur site, monitoring continu, threat intel, security ratings, et un point souvent oublié mais critique : l’exit management (ex : quand tu es trop lock-in chez un cloud provider). Enfin, on remédie : procédures de réponse aux événements, suivi des risques ouverts chez les tiers, gouvernance pour accepter/refuser des exceptions, et surtout un risk register propre pour piloter le risque résiduel dans le temps.