🔐 SwissForts
Gestion des fournisseurs : le maillon faible que vous ne sécurisez pas
ST
Votre sécurité est solide. Celle de vos fournisseurs l'est peut-être moins. Et une brèche chez eux peut devenir une brèche chez vous — souvent sans que vous le voyiez venir.
11/08/2026
10:10
Chez Computis, nous réalisons chaque semaine des audits de sécurité pour des PME romandes, des communes et des institutions publiques. Et un constat revient régulièrement : les organisations investissent sérieusement dans leur propre sécurité — pare-feu, MFA, sauvegardes, sensibilisation — puis donnent à un prestataire externe un accès large à leur infrastructure, sans jamais vérifier le niveau de sécurité de ce prestataire. Le maillon faible n'est plus à l'intérieur. Il est chez celui à qui vous avez ouvert la porte.
Le problème : la sécurité que vous ne maîtrisez pas
Selon le Verizon Data Breach Investigations Report 2025, 30% des fuites de données impliquent désormais un tiers — le double de l'année précédente. Aucune organisation ne fonctionne seule. Vous avez un prestataire informatique qui accède à vos serveurs à distance. Un éditeur de logiciel métier qui pousse des mises à jour sur vos postes. Un comptable ou une fiduciaire qui manipule vos données financières. Un prestataire de maintenance qui intervient sur vos équipements. Chacun de ces acteurs dispose d'un accès — et chacun de ces accès est une extension de votre surface d'attaque. Le problème est simple : vous contrôlez votre propre niveau de sécurité, mais pas le leur. Si le prestataire qui accède à votre réseau utilise un ordinateur compromis, si l'éditeur de votre logiciel métier se fait pirater et que le canal de mise à jour est détourné, si les identifiants d'accès de votre fiduciaire fuitent — c'est votre organisation qui en subit les conséquences. Les attaquants l'ont compris depuis longtemps. Plutôt que d'attaquer frontalement une cible bien protégée, il est souvent plus efficace de passer par un fournisseur moins bien défendu qui, lui, dispose d'un accès légitime. C'est la logique de l'attaque par la chaîne d'approvisionnement — et elle vise particulièrement les PME, qui ne vérifient presque jamais la sécurité de leurs prestataires.
Ce qu'on observe dans les PME et communes romandes
Lors d'un audit pour une PME romande de 55 collaborateurs, nous avons constaté que le prestataire informatique historique disposait d'un accès administrateur permanent à l'ensemble du réseau — via un outil de prise en main à distance actif en continu, sans MFA, avec un compte partagé entre plusieurs techniciens. Aucun de ces accès n'était journalisé côté client. La PME faisait confiance à son prestataire — mais n'avait aucun moyen de savoir qui accédait à quoi, ni quand. Dans une commune vaudoise, un logiciel de gestion fourni par un éditeur tiers se mettait à jour automatiquement depuis les serveurs de l'éditeur. Personne, côté commune, ne pouvait vérifier l'intégrité de ces mises à jour. Une compromission de l'éditeur aurait pu se propager à la commune sans aucun signal d'alerte. La nLPD est explicite sur ce point : lorsque vous confiez le traitement de données personnelles à un sous-traitant, vous restez responsable. Vous devez vous assurer que ce sous-traitant garantit un niveau de protection approprié — et le formaliser par un contrat de sous-traitance (DPA). Un prestataire qui accède à vos données sans cadre contractuel de sécurité n'est pas seulement un risque technique : c'est une non-conformité documentable.
Les 3 points à corriger en priorité
1. Inventorier qui a accès — et à quoi La première étape est de savoir précisément quels tiers disposent d'un accès à vos systèmes et à vos données : prestataire IT, éditeurs logiciels, fiduciaire, maintenance, cloud. Pour chacun : quel type d'accès, quelle étendue, quelle authentification, quelle traçabilité. La plupart des organisations n'ont jamais dressé cette liste — et découvrent lors de l'audit des accès dont elles avaient oublié l'existence. 2. Encadrer contractuellement la sécurité des prestataires L'accès d'un tiers à vos systèmes doit être encadré : exigences de sécurité minimales, MFA obligatoire, journalisation des interventions, contrat de sous-traitance (DPA) pour tout traitement de données personnelles. Faire confiance ne suffit pas — la confiance doit être formalisée et vérifiable. Un bon prestataire acceptera sans difficulté ces exigences ; un prestataire qui les refuse est lui-même un signal d'alerte. 3. Appliquer le moindre privilège aux accès tiers Un prestataire ne devrait disposer que des accès strictement nécessaires à sa mission — pas d'un accès administrateur permanent "par confort". Accès temporaires activés à la demande, comptes nominatifs plutôt que partagés, révocation immédiate en fin de mission, journalisation systématique. Le moindre privilège s'applique à vos fournisseurs autant qu'à vos collaborateurs.
L'approche Computis : encadrer vos fournisseurs sans friction
La gestion des risques fournisseurs n'est pas une remise en cause de vos prestataires — c'est une discipline de sécurité qui protège tout le monde, vous comme eux. Et elle se met en place sans friction excessive, à l'échelle de votre organisation. Chez Computis, notre approche fonctionne en trois temps. D'abord, un audit préliminaire : cartographie des accès tiers, revue des contrats existants, identification des accès excédentaires ou non journalisés, évaluation de votre exposition nLPD via vos sous-traitants. Ensuite, la mise en conformité : encadrement contractuel, application du moindre privilège aux accès tiers, mise en place de la journalisation. Enfin, le suivi : revue périodique des accès fournisseurs, procédure d'entrée et de sortie de prestataires.
Vous contrôlez votre sécurité, pas celle de vos prestataires. Inventorier, encadrer, limiter les accès tiers — le maillon faible qu'on oublie.
FAQ
Nous faisons confiance à nos prestataires depuis des années — pourquoi remettre ça en cause ?
Il ne s'agit pas de remettre en cause la relation, mais de la sécuriser. La confiance humaine et la sécurité technique sont deux choses distinctes. Un prestataire de confiance peut, sans mauvaise intention, avoir un poste compromis ou des identifiants qui fuitent. Encadrer les accès protège les deux parties.
Comment vérifier la sécurité d'un fournisseur sans être nous-mêmes experts ?
Vous n'avez pas besoin d'auditer techniquement chaque prestataire. Vous avez besoin d'exiger contractuellement des garanties de base (MFA, journalisation, DPA), de limiter les accès au strict nécessaire, et de savoir qui accède à quoi. C'est précisément ce que nous mettons en place lors de l'audit — un cadre simple et vérifiable.
La nLPD nous rend-elle responsables des failles de nos sous-traitants ?
Oui. Lorsque vous confiez le traitement de données personnelles à un sous-traitant, vous restez responsable de garantir un niveau de protection approprié. Un contrat de sous-traitance (DPA) est attendu. En cas d'incident chez le sous-traitant, votre organisation peut être tenue pour responsable de ne pas avoir encadré ce traitement.
Nous n'avons pas d'équipe IT interne — Computis peut-il gérer tout cela à notre place ?
Oui. C'est précisément notre modèle pour les PME et communes sans ressource IT dédiée. Chez Computis, cybersécurité, cloud et réseau sont trois domaines de spécialisation d'une même équipe — vous avez un interlocuteur unique qui assure l'audit, l'encadrement, la mise en conformité et le suivi.
Comment fonctionne l'audit préliminaire Computis sur ce sujet ?
L'audit préliminaire est une prestation payante qui produit un rapport documenté : cartographie des accès tiers, revue des contrats, identification des accès excédentaires, évaluation de votre exposition nLPD via vos sous-traitants, recommandations priorisées. Son coût est intégralement déduit de la prestation si vous choisissez de travailler avec nous.
Sujets abordés
Fournisseurs
Chaîne d'approvisionnement
Sous-traitance
SwissForts
nLPD
PME Suisse
Savez-vous exactement quels prestataires ont accès à vos systèmes — et avec quel niveau de sécurité ?
Chez Computis, nous réalisons un audit préliminaire de vos accès tiers et de votre exposition via vos fournisseurs, pour les PME et communes romandes sans équipe IT dédiée. Cartographie des accès, contrats, moindre privilège — rapport documenté. Notre audit préliminaire est payant et sérieux : son coût est intégralement déduit de la prestation si vous décidez de travailler avec nous. Cybersécurité, cloud ou réseau — un seul interlocuteur chez Computis.
