Mesurer les accords de niveau de service (SLA) sous l'angle de la sécurité

Depuis des décennies, les accords de niveau de service (SLA) sont le socle des relations avec les fournisseurs, se concentrant principalement sur la disponibilité et le temps de fonctionnement. Cependant, à une époque où les failles provenant de tiers sont une cause majeure de perte de données, iExperts préconise un changement de paradigme. Les organisations ne peuvent plus se permettre de considérer les niveaux de service uniquement sous l'angle de la performance ; elles doivent intégrer la sécurité comme une métrique de succès non négociable.

L'évolution du SLA centré sur la sécurité

Un SLA traditionnel peut garantir une disponibilité de 99,9 %, mais il précise rarement la posture de sécurité maintenue pendant ce temps de fonctionnement. Chez iExperts, nous recommandons la mise en œuvre de SLA centrés sur la sécurité (S-SLA). Ces accords vont au-delà de la disponibilité pour quantifier la protection de l'intégrité et de la confidentialité des données. Cela implique d'aligner les attentes des fournisseurs sur des cadres tels que le NIST CSF 2.0 et l'ISO/CEI 27001:2022.

Benchmarks de sécurité clés à suivre

Pour mesurer efficacement l'engagement d'un fournisseur en matière de sécurité, vos contrats doivent inclure des indicateurs spécifiques et mesurables. Ceux-ci offrent la transparence requise pour une surveillance efficace de la Gouvernance, des Risques et de la Conformité (GRC).

Vélocité de la gestion des vulnérabilités : Le délai dans lequel un fournisseur doit corriger les vulnérabilités critiques après leur découverte.
Fenêtres de notification d'incident : Exigences strictes sur la rapidité avec laquelle un fournisseur doit signaler un incident de sécurité suspecté.
Normes de chiffrement des données : Exigences définies pour le chiffrement au repos et en transit, garantissant l'alignement avec PCI DSS 4.0 le cas échéant.
Audits de contrôle d'accès : Preuves périodiques de l'application du principe du moindre privilège et de l'utilisation de l'authentification multi-facteurs (MFA).

"Si vous ne mesurez pas la réponse de sécurité de votre fournisseur avec la même rigueur que le temps de fonctionnement de son système, vous laissez votre porte dérobée grande ouverte aux attaques de la chaîne d'approvisionnement."

Indicateurs clés de performance (KPI) pour la sécurité

Temps moyen de détection (MTTD)
Pourcentage d'actifs chiffrés
Taux de complétion des formations de sécurité
Fréquence des audits tiers

Conseil d'expert

Incluez toujours une clause de droit d'audit spécifiant l'utilisation des rapports SOC 2 Type II. Cela fournit une assurance indépendante que les contrôles de sécurité que le fournisseur prétend avoir mis en place fonctionnent réellement de manière efficace sur une période donnée.

En conclusion, réévaluer vos SLA sous l'angle de la sécurité n'est pas seulement une exigence de conformité ; c'est une nécessité commerciale fondamentale. En vous associant à iExperts, votre organisation peut développer des cadres robustes garantissant que vos prestataires de services sont aussi engagés dans votre protection que dans leur performance.