Gestion des risques tiers : votre guide de cybersécurité 2026

Points clés à retenir

1. Le risque tiers est devenu un vecteur de brèche majeur : l'implication de tiers dans les violations de données a bondi de 60 % en un an et concerne aujourd'hui environ 48 % de l'ensemble des brèches de données.
2. Une fuite de données chez un fournisseur reste rarement isolée : un incident chez un fournisseur touche en moyenne 5,28 victimes supplémentaires, avec un délai moyen de divulgation de 117 jours.
3. La compromission de la supply chain coûte particulièrement cher : selon IBM, c'est le facteur qui alourdit le plus le coût d'une brèche, avec un surcoût moyen d'environ 227 250 $.
4. La gestion des risques tiers, ou TPRM, doit être un processus continu : un cycle de vie en six étapes (identification, hiérarchisation, évaluation, contrat, suivi, résiliation) est plus efficace qu'un seul bilan annuel.
5. Les contrats et les questionnaires ne vous donnent que des indications sur ce qui devrait se passer : c'est la visibilité en temps réel sur les données réellement partagées avec vos prestataires, grâce à un outil DLP, qui permet de détecter les risques avant qu'ils ne se transforment en brèche de données.

Qu'est-ce que la gestion des risques (liés aux) tiers ?

La gestion des risques liés aux tiers (TPRM, pour Third-Party Risk Management) consiste à identifier, évaluer et réduire en continu les risques liés à la collaboration avec des fournisseurs et prestataires externes.

Le mot clé ici est en continu. La TPRM ne se résume pas à cocher une case lors de la passation de marché pour ensuite l’oublier jusqu’à l’audit annuel. Le risque fournisseur évolue en permanence : de nouvelles intégrations, des collaborateurs qui quittent l’entreprise sans procédure de départ en bonne et due forme, le niveau de sécurité d'un prestataire qui se dégrade. Une vision figée finira par devenir obsolète.

Pour une gestion des risques tiers efficace, il faut une vision claire et précise des données que votre entreprise partage réellement avec chaque prestataire. Et un outil dédié à la prévention des pertes de données (DLP) pour les tiers peut faire la différence. Nous y reviendrons plus loin.

Terminologie

On utilise souvent le terme TPRM comme un terme générique, interchangeable avec d’autres termes. Pourtant, il y a des différences fondamentales :

• La gestion des risques fournisseurs (VRM, pour Vendor Risk Management) se concentre sur les relations avec les fournisseurs et les risques contractuels, tandis que la TPRM couvre l'écosystème plus large des partenaires, sous-traitants et de leurs propres sous-traitants.
• La gestion des risques cyber liés aux tiers est une partie de la TPRM axée spécifiquement sur la cybersécurité, par opposition aux risques opérationnels ou financiers liés aux fournisseurs.
• La gestion des risques supply couvre un champ encore plus large, des interruptions d'activité aux risques informatiques et de cybersécurité.

L’approche fournisseur par fournisseur ne suffit plus

Jusque-là, les processus de TPRM traitaient chaque fournisseur comme une relation unique et isolée : il était évalué, approuvé et réexaminé une fois par an. Ce modèle traditionnel repose sur le principe que le risque est limité à chaque relation fournisseur. Mais devinez quoi ? Ce n'est pas vrai, et ça ne l’a jamais été.

Les risques se propagent à travers un réseau, tout comme les attaquants. La compromission d’un fournisseur ne pose pas seulement un problème pour cette relation commerciale en particulier : c'est un moyen d’accéder au réseau. Dès qu’un attaquant s’introduit dans un nœud de votre réseau professionnel, chaque connexion en aval devient un chemin d'accès potentiel à votre propre environnement. Et les hackers l’ont compris, bien mieux que la plupart des défenseurs.

Les tiers sont souvent le moyen le plus simple de s'introduire dans une organisation par ailleurs bien protégée, précisément parce qu'il est bien plus difficile pour une entreprise d’avoir une visibilité complète et en temps réel sur la sécurité de dizaines, voire de centaines de fournisseurs, que de sécuriser son propre périmètre.

Et les exemples sont nombreux à le prouver.

Exemples d'attaques contre des supply chains

Comme le montrent ces exemples d'attaques contre des supply chain, une fois qu'un attaquant a réussi à compromettre un seul partenaire commercial, il peut causer de sérieux dégâts en aval :

• Salesloft Drift (2025) : en août 2025, des hackers ont dérobé des tokens OAuth de Drift, l'outil de chat IA de Salesloft, que de nombreuses entreprises avaient connecté à leurs environnements Salesforce. Pendant dix jours, ils ont utilisé ces connexions de confiance pour s’introduire directement dans les instances Salesforce des clients et exporter des données, à la recherche d'identifiants, tels que des clés AWS, des mots de passe et des tokens Snowflake susceptibles de leur ouvrir l'accès à d'autres systèmes.
• SolarWinds (2020) : des hackers ont compromis le processus de compilation d'une plateforme de gestion informatique très répandue, avec une simple mise à jour logicielle. Ils ont ensuite diffusé des logiciels malveillants auprès de milliers d'organisations en aval, dont plusieurs agences fédérales américaines.
• Kaseya (2021) : une faille de sécurité dans le logiciel de surveillance et de gestion à distance (RMM) de Kaseya a permis à des hackers de diffuser un ransomware via des fournisseurs de services gérés directement chez leurs clients finaux, compromettant même des organisations qui n'avaient aucune relation directe avec Kaseya.
• MOVEit (2023) : une vulnérabilité dans un outil de transfert de fichiers très répandu a entraîné l'une des plus importantes fuites de données jamais enregistrées chez un seul fournisseur. Les attaquants ont exploité une seule faille pour extraire des données de milliers d'organisations qui, toutes, utilisaient ce même logiciel.

Ce dernier exemple illustre une tendance qui ne fait que s'accentuer : le risque de concentration. Lorsqu'un grand nombre de fournisseurs dépendent tous du même prestataire en amont (un outil de transfert de fichiers, un fournisseur d'identité cloud ou une bibliothèque logicielle très utilisée), ce prestataire devient une cible extrêmement rentable. En compromettant un seul système, un attaquant peut potentiellement compromettre des centaines (voire des milliers) d'organisations en aval – et chacune d'elles peut à son tour devenir une nouvelle victime.

Les 5 types de risques tiers

La TPRM ne se limite pas à la prévention des fuites de données. Un seul maillon faible dans le réseau de votre entreprise peut causer des dommages qui vont bien au-delà d'un incident de cybersécurité. Les relations avec les tiers exposent votre entreprise à cinq catégories de risques :

1. Le risque cyber : brèches de données, ransomwares et accès non autorisés provenant des systèmes d'un partenaire ou transitant par ceux-ci.
2. Le risque opérationnel : interruption de service lorsqu'un fournisseur critique subit une panne, une attaque ou une défaillance de ses systèmes.
3. Le risque de non-conformité : si un fournisseur traite mal des données réglementées ou ne respecte pas ses obligations contractuelles en matière de sécurité.
4. Le risque d’atteinte à la réputation : atteinte à l'image de marque et de perte de confiance de la part des clients lorsqu’une défaillance chez un fournisseur est publiquement associée à votre entreprise.
5. Le risque financier : les coûts directs liés à une brèche de données, aux pénalités contractuelles, à la perte de chiffres d’affaires ou à l'instabilité financière d'un partenaire.

Tous ces risques se cumulent. Une seule brèche chez un fournisseur peut déclencher simultanément ces cinq types de risques, ce qui explique pourquoi, en 2026, le risque tiers est plus que jamais inscrit à l'ordre du jour des conseils d'administration.

Le risque tiers, un enjeu de cybersécurité majeur pour les dirigeants en 2026

La gestion des risques liés aux tiers (TPRM) est passée d’un exercice règlementaire à un sujet récurrent pour les entreprises, et ce, pour trois raisons :

#1. Le nombre de brèches impliquant des tiers a explosé

Selon le Data Breach Investigations Report 2026 de Verizon, les cas de brèches de données impliquant des tiers a bondi de 60 % par rapport à l'année dernière, et représentent désormais environ 48 % de tous les incidents. Autrement dit, près de la moitié des brèches de données sont imputables à un partenaire, à un prestataire ou à un sous-traitant plutôt qu’à une attaque directe contre l'organisation concernée.

#2. Le rayon d’impact d'une seule faille chez un fournisseur grandit

Le Third-Party Breach Report 2026 de Black Kite révèle qu'une brèche de données chez un fournisseur touche désormais en moyenne 5,28 entreprises victimes en aval, avec un délai moyen de divulgation de 117 jours. Les organisations continuent donc à fonctionner pendant des mois sans savoir qu'elles ont été exposées par l'intermédiaire d'un de leurs fournisseurs. En outre, on estime à 26 000 le nombre de « victimes cachées » supplémentaires touchées par des incidents chez des fournisseurs au cours de l'année 2025.

#3. La reprise d’activité après un incident supply coûte cher

Selon une étude d'IBM, la compromission de la supply chain est le facteur qui alourdit le plus le coût d'une brèche, avec un surcoût moyen d'environ 227 250 $ par incident.

Les régulateurs s'en sont également emparés. Plusieurs réglementations majeures imposent maintenant des engagements directs des dirigeants concernant les risques liés aux tiers et à la supply chain :

• DORA impose des exigences strictes en matière de gestion des risques liés aux fournisseurs de services TIC pour les entités financières opérant dans l'UE.
• NIS2 introduit des obligations spécifiques pour la sécurité de la supply chain dans plusieurs secteurs critiques.
• La loi européenne sur l'IA oblige les fournisseurs et les exploitants de systèmes d’IA à respecter certaines obligations. Tout prestataire qui utilise l'IA pour fournir ses services doit désormais faire partie de votre processus de due diligence.

Les brèches de données impliquant des tiers ne relèvent plus de l'hypothèse, et leurs conséquences opérationnelles, financières, réglementaires et en termes de réputation incombent directement à la direction. On vous donne six étapes pour gérer correctement les risques tiers.

Besoin d'aide avec NIS2 ? Consultez notre guide pour se mettre en conformité avec NIS2.

Notre système de gestion des risques tiers en 6 étapes

Un cycle de vie efficace de gestion des risques tiers comprend généralement six étapes :

1. Identification : cartographiez l'ensemble de votre surface d'attaque, y compris chaque fournisseur, partenaire et sous-traitant critique connu dont dépend votre entreprise.
2. Hiérarchisation et due diligence : classez-les en fonction de leur niveau de sécurité et de leur accès aux données, et non pas uniquement en fonction de leur importance stratégique pour l’entreprise ou de la valeur du contrat.
3. Évaluation : votre évaluation des risques liés aux tiers doit combiner des questionnaires de sécurité et des notations externes, comme des résultats de tests d'intrusion et preuves de conformité SOC 2 ou ISO 27001.
4. Contrat et mesures correctives : intégrez les exigences de sécurité directement dans vos contrats (MFA, chiffrement, SLA pour les correctifs) plutôt que de les laisser dans un document de politique que personne ne consulte.
5. Surveillance continue : suivez les mesures de sécurité des fournisseurs en temps quasi réel plutôt que de reposer sur une évaluation ponctuelle annuelle.
6. Fin de contrat : révoquez les accès et changez vos identifiants immédiatement après la fin d’un contrat, une fois celle-ci confirmée et enregistrée.

L'étape cinq – la surveillance continue – est la partie la plus difficile de la TPRM, et c'est aussi là qu'un outil DLP prend tout son sens. La surveillance continue ne consiste pas seulement à suivre la notation externe d'un fournisseur ; elle permet de savoir, en temps réel, quelles données circulent réellement vers et depuis chaque tiers. Sans cette visibilité, les étapes de hiérarchisation et d'évaluation reposent sur des hypothèses plutôt que sur des faits.

Sur quels cadres réglementaires s’appuyer pour votre TPRM ?

Inutile de repartir à zéro pour construire votre programme de gestion des risques tiers. Trois ressources largement reconnues vous offrent une structure de travail et un langage commun pour échanger avec les auditeurs, les organismes réglementaires et les fournisseurs :

• Le NIST CSF 2.0 (Cybersecurity Supply Chain Risk Management, GV.SC) : la mise à jour 2024 du Cybersecurity Framework du NIST a intégré les risques supply dans sa nouvelle fonction « Govern », soulignant ainsi que la gestion des risques tiers relevait de la responsabilité de la direction et non plus seulement des achats. La rubrique GV.SC couvre tout, de la définition d'une stratégie de gestion des risques tiers, la hiérarchisation des fournisseurs et l'intégration des exigences de sécurité dans les contrats à la gestion de la fin du contrat.
• ISO/IEC 27036 : cette norme internationale en plusieurs parties est consacrée à la sécurité de l'information dans les relations avec les fournisseurs. Elle fixe les exigences relatives à la gestion des risques tiers tout au long du cycle de vie de la relation commerciale, avec des parties spécifiques pour la supply chain des TIC et des services cloud. Elle va de pair avec la norme ISO 27001 pour les organisations déjà certifiées.
• Le questionnaire SIG : le questionnaire « Standardized Information Gathering » (SIG) de Shared Assessments est l’un des outils d’évaluation des risques les plus utilisés auprès des fournisseurs. Mis à jour chaque année, il s'aligne sur les principaux référentiels, dont NIST et ISO. Il existe en version courte, « SIG Lite », pour les fournisseurs à faible risque, et en version complète, « SIG Core », pour les fournisseurs critiques. Outil parfaitement adapté à un modèle d’évaluation à plusieurs niveaux.

Ensemble, ces textes règlementaires fournissent des lignes directrices sur ce que doit couvrir un bon programme de TPRM.

10 bonnes pratiques pour bien maîtriser votre TPRM

La réussite d’un programme de gestion des risques liés aux tiers (TPRM) repose sur une mise en œuvre rigoureuse. Voici dix bonnes pratiques qui distinguent les programmes capables de résister à la pression de ceux qui ne sont qu’une belle théorie sur le papier :

1. Cartographiez l'ensemble de votre réseau, pas seulement vos fournisseurs directs. Recensez vos fournisseurs et leurs sous-traitants critiques connus, en particulier les infrastructures partagées et les dépendances SaaS susceptibles d'introduire un risque de concentration.
2. Hiérarchisez les fournisseurs selon leur surface d'attaque et leur accès aux données, pas seulement selon le montant du contrat. Un fournisseur avec un petit contrat disposant d’un accès administrateur aux systèmes peut présenter plus de risques qu'un fournisseur à gros budget.
3. Vérifiez le niveau de sécurité avant le contrat. Exigez des certificats SOC 2, ISO 27001 ou équivalents, et étayez l'auto-évaluation par des données externes sur la surface d'attaque ou leurs mesures de sécurité.
4. Intégrez des critères de sécurité dans les contrats, et pas seulement dans vos documentations internes. MFA, chiffrement des données au repos et en transit, SLA liés aux correctifs, délais de notification des violations et droits d'audit doivent tous être contractuels, et non de simples intentions.
5. Effectuez un suivi continu plutôt qu’annuel. La visibilité en temps réel permet de détecter les changements de posture qu'un questionnaire annuel ne pourra jamais repérer.
6. Utilisez l’outil DLP adapté aux tiers. Vérifiez quelles données vous partagez réellement avec vos fournisseurs, et pas seulement celles autorisées par vos contrats.
7. Réévaluez le niveau de risque lorsque la relation évolue. Un nouvel accès aux données, de nouvelles intégrations, une opération de fusion-acquisition ou un incident signalé doivent déclencher une réévaluation immédiate du niveau de risque, sans attendre la prochaine révision prévue.
8. Révoquez immédiatement les accès d’un collaborateur après son départ. Identifiants, clés API, accès VPN, restitution ou suppression des données, en les consignant.
9. Désignez un responsable clairement identifié. Un responsable unique, généralement issu de la sécurité ou rattaché au RSSI, avec des rôles bien définis pour les achats, le juridique et la conformité, sera toujours plus efficace qu'un modèle diffus où « tout le monde est responsable ».
10. Signalez à vos dirigeants tous les risques identifiés sur l'ensemble du réseau. Des informations isolées sur chaque fournisseur ne leur suffisent pas. Ils ont besoin d’une vision d’ensemble, pour connaître les éventuels risques de concentration, le pourcentage de leurs fournisseurs ayant des mesures de sécurité satisfaisantes, ainsi que les incidents survenus dans le réseau.

Une gestion efficace des risques tiers exige des outils adaptés

Les entreprises partagent leurs données avec un nombre croissant de partenaires, via un nombre croissant d’intégrations. Et cette tendance, les attaquants en ont bien conscience. D’où l’augmentation, année après année, de l’implication de tiers dans les fuites de données.

Les référentiels et les checklists vont vous aider, en partie, mais pour réellement faire la différence, il vous faut une surveillance continue, une analyse active des données transmises à chaque partenaire commercial et des alertes sur l’évolution des risques dès qu'ils surviennent, et non pas des semaines ou des mois plus tard.

Le succès de ces actions dépend de la visibilité que vous aurez. Or, c’est précisément cette lacune qu'un outil DLP dédié au partage de données avec des tiers pourra combler : suivre en temps réel ce qui est partagé avec les fournisseurs et les partenaires, plutôt que de se fier à un contrat ou à un questionnaire.

Sonar donne aux équipes sécurité une visibilité continue et en temps réel sur le partage de données avec des tiers au sein de votre réseau d'entreprise. Les risques d'exposition sont détectés au plus tôt, et non des mois après les faits.

Pour découvrir comment Sonar peut s'intégrer à votre processus de gestion des risques tiers, réservez une démo avec l'un de nos experts.

FAQ

1. Qu'est-ce que la gestion des risques liés aux tiers en cybersécurité ? Il s'agit d'un processus continu d'identification, d'évaluation et de gestion des risques que les fournisseurs, sous-traitants et partenaires font peser sur votre entreprise, et non d'un exercice de conformité ponctuel.
2. Les cyberattaques via des tiers sont-elles de plus en plus fréquentes ? Pourquoi ? Oui, l'implication de tiers dans les brèches a fortement augmenté d'une année sur l'autre, principalement parce que les attaquants trouvent plus facile de compromettre un fournisseur moins bien protégé que de s'attaquer directement à une cible bien défendue.
3. En quoi la gestion des risques cyber liés aux tiers diffère-t-elle de la gestion des risques fournisseurs ? La gestion des risques fournisseurs se concentre sur la relation directe avec le fournisseur et les termes du contrat, tandis que la gestion des risques cyber liés aux tiers s'intéresse spécifiquement à l'exposition en matière de cybersécurité qu'introduit un partenaire, y compris les risques transmis par ses propres fournisseurs.
4. Quelle est la différence entre le risque tiers et le risque tiers indirect ? Le risque tiers provient de vos fournisseurs et partenaires directs. Le risque tiers indirect provient des fournisseurs de vos fournisseurs ; une couche d'exposition sur laquelle la plupart des entreprises n'ont aucune visibilité directe.
5. À quelle fréquence faut-il réévaluer la posture de sécurité d'un fournisseur ? En continu dans la mesure du possible, et immédiatement à chaque nouveau changement (nouvel accès aux données, nouvelles intégrations, opération de fusion-acquisition ou incident signalé), plutôt que d'attendre le cycle de revue annuel.
6. À qui incombe la responsabilité des risques cyber lié aux tiers au sein d'une organisation ? Idéalement, à une seule personne, souvent du service sécurité ou rattaché au RSSI, avec des responsabilités secondaires identifiées dans les équipes achats, juridique et conformité.
7. Comment surveiller les risques cyber sur l'ensemble d'un réseau d’une entreprise ? En cumulant les notations externes avec une surveillance technique continue des flux de données réels vers et depuis des tiers. C'est là qu'un outil de DLP dédié devient indispensable.
8. Quelles sont les bonnes pratiques en matière de gestion des risques tiers ? Cartographier l'ensemble de votre réseau, y compris les tiers indirects, classer les fournisseurs par niveau d’accès aux données plutôt que par montant du contrat, inclure les exigences de sécurité directement dans les contrats, assurer une surveillance continue et rendre compte aux dirigeants des risques à l'échelle de tout le réseau.
9. Pourquoi un outil DLP dédié au partage de données avec les tiers est-il réellement important ? La plupart des programmes de TPRM reposent sur ce que les contrats et les questionnaires prévoient qu'il devrait se passer. Alors qu’un outil DLP montre ce qui se passe réellement. C’est indispensable pour détecter les expositions de données à risque avant qu'elles ne deviennent des brèches de données.