Qu’est-ce que la GRC pour les FSG
Qu’est-ce que la GRC pour les FSG?
La GRC (gouvernance, risque et conformité) pour les FSG est la discipline qui consiste à associer les contrôles techniques et de processus d’un fournisseur de services gérés à un ou plusieurs cadres de conformité (CMMC, NIST CSF, CIS, SOC 2, HIPAA, ISO 27001, et d’autres). Comme un FSG travaille à l’intérieur de nombreux locataires clients, la GRC pour FSG est par nature multilocataire.
Commencez votre cartographie GRC Voir les composantes principales
Gouvernance · Risque · Conformité · plus de 75 cadres · multilocataire
Définition
GRC signifie gouvernance, risque et conformité. Dans un contexte d’entreprise, c’est le travail qui consiste à gérer les politiques d’une organisation (gouvernance), à repérer et traiter les risques (risque) et à démontrer aux auditeurs, aux organismes de réglementation et aux clients que des contrôles sont en place et fonctionnent efficacement (conformité).
La GRC pour les FSG est une variante particulière de ce travail. Contrairement à une entreprise SaaS qui vise un seul audit SOC 2 pour sa propre limite, un FSG joue deux rôles en même temps.
Premièrement, le FSG est lui-même une organisation dotée de contrôles et d’une limite d’audit, qui vise généralement SOC 2 de type 2, ISO 27001, ou les deux. Deuxièmement, le FSG est un prestataire de services qui travaille à l’intérieur de nombreux locataires clients, chacun avec ses propres attentes en matière de cadres (CMMC 2.0 pour les entrepreneurs du DoD américain, PCCSC pour les entrepreneurs du gouvernement du Canada, HIPAA pour la santé aux États-Unis, la LPRPDE, la BC E-Health Act et la HIA de l’Alberta pour la vie privée et la santé au Canada, PCI DSS pour les commerçants, NIST CSF pour les évaluateurs de cyberassurance, NERC CIP pour les services d’électricité nord-américains, l’OCRI (CIRO) pour les courtiers en placement canadiens, l’Essential Eight australien pour les entrepreneurs du gouvernement australien, et ainsi de suite).
La GRC pour les FSG est donc par nature multilocataire. Le FSG a besoin d’un moyen de pousser un profil de contrôles standard vers chaque locataire client, de recueillir en continu des preuves sur les postes et les services infonuagiques de ce locataire, et de produire des rapports de posture en marque partagée que le client peut présenter à son auditeur, à son assureur ou à son conseil d’administration.
Composantes principales
Gouvernance
Politiques, normes et procédures qui définissent le fonctionnement de l’organisation, y compris l’utilisation acceptable, la gestion des accès, la réponse aux incidents, la gestion des changements, la gestion des fournisseurs et la gestion des risques. Le FSG rédige des politiques pour lui-même et aide ses clients à adopter ou à adapter des modèles de politiques.
Risque
Repérage, évaluation et traitement des risques. Pour les FSG, cela comprend à la fois le registre des risques du FSG lui-même et les registres des risques par client, qui couvrent les menaces probables de chaque locataire, son importance pour l’entreprise et son exposition réglementaire.
Conformité
Association des contrôles techniques et de processus à un ou plusieurs cadres (CMMC 2.0, NIST CSF, CIS, SOC 2, ISO 27001, HIPAA, PCI DSS, LPRPDE, etc.) et collecte continue de preuves que ces contrôles sont en place et fonctionnent efficacement.
Collecte continue de preuves
Le travail quotidien qui consiste à extraire l’état de la configuration, les entrées de journal, les registres d’application de l’AMF, l’état des correctifs, les révisions d’accès et les artéfacts d’incidents des postes et des locataires infonuagiques, et à les stocker pour qu’un auditeur puisse les échantillonner en tout temps.
Plan de sécurité du système (SSP)
Document qui décrit la limite du système, les contrôles mis en œuvre et la façon dont chacun l’est. Exigé pour la CMMC 2.0 et le NIST 800-171, et utile pour presque tous les cadres de conformité.
Plan d’action et jalons (POA&M)
Document qui suit les lacunes de contrôle connues, la correction prévue et les dates des jalons. Exigé pour la CMMC 2.0, et pratique courante pour tout cadre où la couverture complète des contrôles n’est pas encore en place.
Pourquoi c’est important
Les évaluations de cyberassurance et les processus d’approvisionnement des clients exigent de plus en plus une couverture de cadres précis. Un FSG qui ne peut pas démontrer sa préparation à la CMMC 2.0 pour un client de la chaîne d’approvisionnement du DoD, sa posture NIST CSF pour une analyse de cyberassurance ou sa couverture de la règle de sécurité HIPAA pour un cabinet de santé perdra des contrats qu’il aurait gagnés il y a cinq ans.
Au-delà de la conformité exigée par les clients, la GRC est devenue un avantage défensif pour les FSG eux-mêmes. Un fournisseur de services gérés qui subit une intrusion fera face à des réclamations en responsabilité de la chaîne d’approvisionnement de la part de chaque client touché. Démontrer le respect d’un cadre de contrôles reconnu (SOC 2, ISO 27001, ou les deux) devient de plus en plus le prix d’entrée auprès des clients sérieux.
Pour les FSG canadiens en particulier, la réglementation a évolué rapidement. La LPRPDE, la Loi 25 du Québec, la PIPA de la C.-B., la PIPA de l’Alberta, la BC E-Health Act, la HIA de l’Alberta, l’OCRI (CIRO), NERC CIP et le nouveau programme PCCSC ont chacun leurs propres attentes en matière de preuves. Sans plateforme de GRC multilocataire, tenir à jour manuellement les preuves de contrôle pour tous ces cadres est un travail à temps plein.
Comment Lavawall® vous aide avec la GRC pour les FSG
Lavawall® est une plateforme de GRC multilocataire conçue spécialement pour les FSG. Elle s’associe à plus de 75 cadres (CMMC 2.0, PCCSC, NIST CSF 2.0, NIST SP 800-171, CIS Controls v8, ISO 27001, SOC 2, PCI DSS, HIPAA, BC E-Health Act, HIA de l’Alberta, ensemble canadien sur la vie privée, NERC CIP, OCRI (CIRO), CPA Canada, Essential Eight australien) et recueille des preuves en continu sur les postes Windows, macOS et Linux ainsi que sur les locataires M365, Entra ID, Azure et Google Workspace.
Comme le même agent qui applique les correctifs, évalue la configuration et détecte les intrusions produit aussi les preuves de conformité, votre couverture de contrôles se met à jour en temps réel à mesure que votre parc change. Un nouveau poste hérite du profil de contrôles standard à son intégration, et un locataire qui perd l’AMF sur un compte d’administrateur apparaît immédiatement dans les volets de contrôle concernés.
La génération de SSP, de POA&M et de rapports de posture en marque partagée permet au FSG de remettre des livrables destinés aux clients sans travail manuel dans des documents Word chaque trimestre. Conçu et utilisé à l’interne par ThreeShield, une firme d’audit dont le personnel détient les titres CISSP et CISA, Lavawall® reflète ce que les évaluateurs recherchent réellement.
Questions fréquentes
- La GRC est-elle la même chose que la cybersécurité?
- Non. La cybersécurité est le travail qui consiste à prévenir les attaques, à les détecter et à y répondre. La GRC est le travail qui consiste à démontrer que le programme de cybersécurité existe et fonctionne efficacement, en l’associant à un cadre reconnu. La plupart des FSG ont besoin des deux, et Lavawall® offre les deux dans une seule plateforme.
- Ai-je besoin d’un outil de GRC distinct si je fais l’objet d’un audit SOC 2?
- Oui, si vous voulez une couverture entre les audits. Un audit SOC 2 couvre une période précise. Un outil de GRC assure une collecte continue de preuves entre les audits, appuie l’échantillonnage de preuves du prochain audit et vous aide à couvrir des cadres autres que SOC 2 (CMMC 2.0, NIST CSF, HIPAA, LPRPDE, etc.) sans refaire le travail.
- En quoi la GRC pour FSG diffère-t-elle de la GRC d’entreprise?
- La GRC d’entreprise est à locataire unique : une organisation, une limite, une bibliothèque de contrôles. La GRC pour FSG est multilocataire : de nombreuses organisations clientes, chacune avec ses propres besoins de cadres, le tout livré à partir d’une seule console avec des rapports en marque partagée et une facturation par client.
- En combien de temps puis-je ajouter un locataire à une plateforme de GRC?
- Avec Lavawall®, un nouveau locataire peut être intégré en quelques minutes. Les agents se déploient par le RMM existant, les connecteurs M365, Entra et Google Workspace s’activent en un clic par locataire, et le profil de contrôles standard s’applique automatiquement. Sans plateforme multilocataire, l’intégration d’un locataire prend généralement de quelques heures à quelques jours.