Le rapport SecurityScorecard révèle que 5 organisations sur 6 sont exposées à des risques en raison d'une sécurité insuffisante de leur chaîne d'approvisionnement

SecurityScorecard a publié aujourd'hui son enquête 2025 sur les tendances en matière de cybersécurité dans la chaîne d'approvisionnement, qui révèle que 88 % des responsables de la cybersécurité s'inquiètent des risques cybernétiques liés à la chaîne d'approvisionnement. Sur la base des avis de près de 550 RSSI et professionnels de la sécurité à travers le monde, les résultats révèlent que la manière dont la plupart des organisations gèrent les cyberrisques liés à la chaîne d'approvisionnement n'est pas à la hauteur des menaces croissantes.

Selon le rapport 2025 Verizon Data Breach Investigations Report, l'implication de tiers dans les violations a doublé, passant de 15 % à près de 30 %. Un petit groupe de fournisseurs tiers soutient désormais une grande partie de la technologie et des infrastructures mondiales, créant une concentration extrême des risques. Lorsqu'un seul de ces fournisseurs est compromis, les répercussions peuvent perturber simultanément des milliers d'organisations.

Les attaquants comprennent cet effet de levier, ce qui rend la chaîne d'approvisionnement de plus en plus attractive comme point d'entrée. Chaque relation avec un fournisseur élargit la surface d'attaque potentielle. L'asymétrie est flagrante : les défenseurs doivent sécuriser chaque connexion sur leurs réseaux tiers et n-ièmes, tandis que les attaquants n'ont besoin d'exploiter qu'une seule vulnérabilité pour obtenir l'accès.

Ryan Sherstobitoff, responsable des renseignements sur les menaces chez SecurityScorecard, a déclaré : « Les cyberattaques visant la chaîne d'approvisionnement ne sont plus des incidents isolés, elles font désormais partie du quotidien. Pourtant, les violations persistent car la gestion des risques liés aux tiers reste largement passive, axée sur les évaluations et les listes de contrôle de conformité plutôt que sur l'action.

Cette approche obsolète ne permet pas de mettre en œuvre les informations recueillies. Il est nécessaire de passer à une défense active : des capacités de réponse aux incidents de la chaîne d'approvisionnement qui comblent le fossé entre les équipes chargées des risques liés aux tiers et les centres d'opérations de sécurité, transformant la surveillance continue et les renseignements sur les menaces en actions en temps réel. Les contrôles statiques ne permettront pas d'arrêter les menaces dynamiques, seule une détection et une réponse intégrées le pourront. »

Principales conclusions :

•    Plus de 70 % des organisations déclarent avoir subi au moins un incident de cybersécurité tiers important au cours de l'année écoulée, et 5 % ont subi dix incidents ou plus.

•    Moins de la moitié des organisations surveillent la cybersécurité sur plus de 50 % de leurs chaînes d'approvisionnement de n-ième niveau, et 79 % déclarent que moins de la moitié de leur chaîne d'approvisionnement de n-ième niveau est actuellement couverte par des programmes de cybersécurité.

•    Seules 26 % des organisations intègrent la réponse aux incidents dans leurs programmes de cybersécurité de la chaîne d'approvisionnement. La majorité s'appuie sur des évaluations ponctuelles fournies par les fournisseurs ou sur une cyberassurance.

•    88 % des personnes interrogées se disent préoccupées par les risques liés à la cybersécurité de la chaîne d'approvisionnement.

•    Près de 40 % des personnes interrogées citent la surcharge de données et l'incapacité à hiérarchiser les problèmes et les menaces comme leur plus grand défi en matière de cybersécurité de la chaîne d'approvisionnement.

Recommandations en matière de cybersécurité pour gérer les cyberrisques liés à la chaîne d'approvisionnement

Sur la base des résultats de l'enquête, SecurityScorecard propose les recommandations ciblées suivantes aux équipes de sécurité :

•    Intégrer les renseignements sur les menaces dans l'ensemble des écosystèmes des fournisseurs : pour garder une longueur d'avance sur les campagnes actives ciblant la chaîne d'approvisionnement, les organisations doivent connecter les flux de renseignements sur les menaces à leurs workflows de gestion des risques fournisseurs. Cette intégration permet aux équipes d'identifier en temps réel les menaces telles que les ransomwares ou les exploits zero-day et d'évaluer leur impact potentiel sur l'écosystème au sens large.

•    Mettre en place un workflow dédié à la réponse aux incidents de la chaîne d'approvisionnement : les organisations doivent définir les rôles, les responsabilités et les voies de communication entre les équipes afin de garantir que les risques identifiés dans la chaîne d'approvisionnement sont résolus rapidement et de manière cohérente. Ces processus doivent être régulièrement testés et affinés dans le cadre d'une stratégie plus large de réponse aux incidents.

•    Mettre en place une hiérarchisation des fournisseurs : tous les fournisseurs ou risques n'ont pas le même poids. Les équipes de sécurité doivent établir des priorités en fonction de l'impact potentiel sur l'activité, de la probabilité d'exploitation et de la criticité pour les opérations. Cartographier la chaîne d'approvisionnement afin d'identifier les dépendances à haut risque et les points de défaillance uniques permet une allocation plus stratégique des ressources et des efforts ciblés d'atténuation des risques.

• Favoriser une culture de responsabilité partagée et de résilience : la cybersécurité de la chaîne d'approvisionnement n'est pas seulement une question de risque ou d'informatique. Elle nécessite une collaboration entre les services achats, juridique, opérations et direction. Intégrez la sécurité dans les processus décisionnels, harmonisez les objectifs de résilience et veillez à ce que les équipes soient formées et évaluées selon des critères clairs et communs.

Pour une analyse plus approfondie et pour télécharger le rapport, rendez-vous sur : https://securityscorecard.com/research-reports/2025-supply-chain-cybersecurity-trends/