Un rapport publié le 27 octobre par l’Inspection de la police et des services d’incendie et de secours d’Angleterre et du pays de Galles (HMICFRS) met en lumière des risques dans les chaînes d’approvisionnement numériques. Le document indique que des fournisseurs tiers qui détenaient des informations de police ont été compromis à plusieurs reprises entre 2021 et 2025.
Des incidents chez des fournisseurs
Selon le rapport, les incidents cités n’impliquaient pas d’attaque directe des systèmes informatiques de la police. Ce sont des chaînes de fournisseurs qui détenaient des informations de police qui ont été compromises. La version publique ne révèle pas le nombre d’incidents, les fournisseurs ou les forces concernées, ni si des informations ont été dérobées.
Ces limites sont importantes : le rapport signale une exposition de données au risque, pas une preuve publique que des dossiers précis ont été copiés. Il a écarté des détails opérationnels jugés inadaptés à la publication.
Une assurance fournisseur trop ponctuelle
Les inspecteurs constatent que la plupart des accords examinés ne comportaient pas de mécanisme continu d’assurance cybersécurité. L’évaluation reposait souvent sur l’auto-déclaration du fournisseur, avec des lacunes concernant le signalement rapide d’incidents et le partage des journaux nécessaires à une enquête.
Un contrôle lors de l’achat ne suffit pas si les pratiques, systèmes ou sous-traitants changent au fil du contrat. Le rapport appelle à renforcer la gestion des contrats, les exigences de sécurité et le suivi continu.
Ce que les organisations peuvent vérifier
Les acheteurs peuvent clarifier les obligations de notification, les délais de signalement, l’accès aux journaux et les preuves de contrôle. Il faut aussi savoir quels sous-traitants traitent les informations, comment les accès sont révoqués et comment les incidents sont exercés avec le fournisseur.
Le rapport recommande une meilleure gouvernance et des standards de base. Il ne prétend pas qu’un contrôle contractuel unique supprimera le risque, mais souligne que la sécurité des données dépend aussi des prestataires qui les hébergent ou les manipulent.
Le lien avec Soclyde
La gouvernance des identifiants fait partie de la gestion des fournisseurs. Soclyde aide les petites équipes à conserver des mots de passe uniques dans des coffres local-first, mais ne vérifie pas la sécurité d’un fournisseur et ne remplace pas l’assurance contractuelle ni la surveillance. Notre guide pour partager les mots de passe en équipe aborde les pratiques de gestion des accès.
À retenir
Le rapport HMICFRS décrit des compromissions de fournisseurs détenant des informations de police et des contrôles continus jugés insuffisants. Les détails publics ne permettent pas de savoir si des données ont été volées. L’amélioration passe notamment par un suivi fournisseur qui dure tout au long du contrat.
