Une analyse de surface d'exposition a passé au crible 21 700 entités françaises relevant de NIS2. 2,8 millions d'actifs observés depuis Internet, évalués à l'aune du référentiel ReCyF de l'ANSSI. Pas un constat officiel, plutôt un ordre de grandeur. Il est parlant.
Une moyenne rassurante, une exposition qui l'est moins
Score moyen : 690 sur 1 000. 59,4 % des entités au niveau intermédiaire, 32,7 % au niveau avancé, 7,9 % au niveau basique. Rien d'alarmant en apparence. Sauf que 34,8 % obtiennent une note D ou E sur l'exposition externe, avec des ports ouverts et des interfaces d'administration joignables depuis Internet.
Le risque est concentré, et il circule
Le chiffre qui compte est ailleurs. 10 % des entités concentrent 93,1 % des vulnérabilités critiques. La banque affiche 60,2 % d'entités au niveau avancé, le secteur numérique seulement 28,1 %. Ce même secteur regroupe 81 % des structures de niveau basique et 64,8 % des vulnérabilités critiques observées.
Or éditeurs, hébergeurs, intégrateurs et infogérants sont présents dans les chaînes de sous-traitance de tous les autres secteurs. Une banque bien notée peut dépendre d'un prestataire qui ne l'est pas.
Infogérance informatique et conformité NIS2 : la chaîne d'approvisionnement au centre
NIS2 oblige les entités concernées à gérer les risques liés à leurs fournisseurs. Dans les faits, cette gestion se résume souvent à un questionnaire rempli à la signature. L'exposition réelle du prestataire n'est jamais revérifiée, alors qu'elle est observable de l'extérieur.
Pour une DSI, la priorité est de croiser deux listes qui vivent séparément : celle des contrats, tenue par les achats, et celle des accès au système d'information. Les prestataires qui disposent d'un accès d'administration, direct ou via un outil de prise en main à distance, méritent une évaluation continue de leur surface d'exposition. Et les contrats d'infogérance informatique doivent prévoir la notification des vulnérabilités critiques touchant les systèmes du client. Pas en option.
