Ce que les supply chains de la défense ne peuvent pas encore prouver aux organismes réglementaires

Les chaînes d’approvisionnement de la défense qui soutiennent les infrastructures nationales critiques doivent désormais répondre à la fois à des exigences de résilience physique et à des obligations en matière de cybersécurité. Un opérateur suffisamment important pour être désigné comme infrastructure critique est, dans de nombreuses juridictions, également soumis aux obligations de cybersécurité applicables aux entités essentielles. La partie physique bénéficie d’une attention proportionnée, car elle produit des preuves visibles et vérifiables. La partie cyber, elle, accuse souvent un retard.

Demandez à un opérateur de chaîne d’approvisionnement de la défense si ses systèmes sont sécurisés, la réponse sera presque toujours oui. Demandez-lui d’en apporter la preuve, avec des enregistrements plutôt qu’avec des assurances, et la confiance s’effrite rapidement. Cet article explique pourquoi l’écart de preuves côté cyber est si courant dans les chaînes d’approvisionnement de la défense, et ce qu’il faut réellement pour le combler.

Résumé

Les opérateurs de chaînes d’approvisionnement de la défense classés comme infrastructures critiques voient leur surface de conformité s’élargir : ils doivent garantir la résilience physique tout en respectant les obligations de cybersécurité qui s’appliquent parce qu’ils sont aussi des entités essentielles. La partie cyber accuse souvent un retard, car les preuves requises — un historique continu et interrogeable des accès aux données — sont difficiles à produire a posteriori. Pour les responsables de la sécurité des programmes, la priorité pratique consiste à combler ce manque de preuves sur le volet où il est le plus facile de sous-investir, précisément parce que l’échec reste invisible jusqu’à ce qu’un incident ou un régulateur le rende visible.

Résumé des points clés

1. Les opérateurs de chaînes d’approvisionnement de la défense classés comme infrastructures critiques cumulent des obligations physiques et cyber.
2. La résilience physique est facile à démontrer car elle est visible. La résilience cyber n’a pas d’équivalent : les contrôles d’accès ne se vérifient pas en visitant le site.
3. Faire confiance à la résilience cyber sans enregistrements relève de l’hypothèse, pas de la preuve. Un opérateur incapable de fournir un relevé précis des accès s’appuie sur l’absence d’incident plutôt que sur un contrôle avéré.
4. Les régulateurs attendent de plus en plus des preuves continues, et non une évaluation ponctuelle. Un rapport de risques déposé une fois ne répond pas aux questions d’une autorité de contrôle après un incident réel.
5. Les preuves dont les sous-traitants de la défense ont besoin sont les mêmes que celles exigées de toute entité essentielle, mais sous une vigilance accrue compte tenu de la sensibilité des données traitées.

Pourquoi les chaînes d’approvisionnement de la défense font face à la fois à des obligations physiques et cyber

Les opérateurs qualifiés d’infrastructures critiques constatent de plus en plus que leur statut déclenche deux ensembles d’obligations distincts et parallèles, et non un seul.

La résilience physique et la résilience cyber sont réglementées comme des obligations distinctes

Les cadres de résilience physique visent la continuité des services essentiels face aux catastrophes, au sabotage et aux perturbations physiques : enregistrement, évaluations d’impact, mesures de protection du site. Les obligations de cybersécurité portent sur un tout autre ensemble de risques : déclaration d’incident, gestion des risques des systèmes d’information, et preuves de mesures de sécurité techniques. Un opérateur peut satisfaire pleinement à l’une et rester exposé sur l’autre.

La vigilance des autorités progresse plus vite que les pratiques de preuve des opérateurs

À mesure que les seuils de désignation intègrent davantage la chaîne d’approvisionnement et que la coordination entre autorités de contrôle physique et cyber s’intensifie, on attend des opérateurs non seulement qu’ils mettent en place des contrôles, mais aussi qu’ils produisent un relevé précis et horodaté de la façon dont ces contrôles ont fonctionné lors d’un événement.

Pourquoi il est facile de produire des preuves physiques et difficile d’en produire côté cyber

L’asymétrie entre ces deux obligations tient au fait que l’une génère naturellement des preuves, tandis que l’autre nécessite une conception délibérée pour en produire.

On peut faire le tour du périmètre, mais pas du journal d’accès

Une mesure de sécurité physique peut être vérifiée directement par un inspecteur. En revanche, pour savoir si l’accès aux systèmes du programme a réellement été contrôlé, surveillé et journalisé comme annoncé, il faut examiner des enregistrements — lesquels n’existent que si les systèmes ont été conçus pour les générer en continu.

L’absence d’incident n’est pas une preuve de contrôle

De nombreux opérateurs considèrent discrètement que l’absence de problème vaut preuve de contrôle. Cette illusion s’effondre dès qu’un incident ou une enquête réglementaire survient.

Ce qu’il faut réellement pour combler le manque de preuves cyber

Combler cet écart consiste à veiller à ce que les systèmes qui traitent des données sensibles produisent effectivement les preuves que la politique prétend exister.

Journalisation continue sur tous les systèmes manipulant des données sensibles

Une journalisation continue et complète sur tous les canaux traitant des données contrôlées permet, en cas d’incident, de simplement extraire les enregistrements au lieu de reconstituer les faits à l’aveugle.

Les preuves doivent être prêtes avant la demande du régulateur, pas après

Une autorité de contrôle qui enquête sur un incident posera des questions précises : quelles données ont été consultées, par qui, avec quelle autorisation, et quels contrôles étaient en place. Un opérateur capable de répondre immédiatement se trouve dans une situation radicalement différente de celui qui doit expliquer pourquoi les enregistrements n’existent pas.

Constituer la base de preuves avant qu’elle ne soit nécessaire

La priorité pratique pour un opérateur de chaîne d’approvisionnement de la défense est d’auditer le volet cyber de ses obligations avec la même rigueur que celle déjà appliquée à la résilience physique : vérifier que la journalisation est continue et complète, qu’elle peut être interrogée rapidement, et qu’elle satisferait réellement une autorité de contrôle exigeant des éléments précis.

Comment un Data Control Plane fournit les preuves nécessaires aux sous-traitants

Le Data Control Plane de Kiteworks applique des contrôles zero trust orientés données à chaque action sur chaque canal, et consigne chacune d’elles dans un journal d’audit inviolable et sans limitation, qui alimente directement les outils SIEM. Les sous-traitants disposent ainsi d’un historique continu et interrogeable de tout ce qui arrive aux données sensibles, quand, et sous quelle autorisation. Un déploiement à locataire unique, sur site, dans un cloud auto-hébergé ou en instance dédiée hébergée, garantit que cette base de preuves reste sous le contrôle du sous-traitant.

Les sous-traitants souhaitant tester leurs pratiques de preuve cyber peuvent planifier une démo personnalisée pour voir comment la preuve d’audit continue et multi-canal s’applique à leur propre environnement.