Des allégations qui deviennent un signal de risque
The Register rapporte que plusieurs États américains ont engagé une action contre le fabricant de routeurs TP-Link. Celle-ci porte sur des allégations relatives à la manière dont l’entreprise aurait présenté la protection des acheteurs et sa dépendance envers des fournisseurs chinois. TP-Link rejette ces accusations.
Il convient donc de les considérer comme contestées, et non comme des faits établis. L’affaire pose néanmoins une question très concrète aux équipes réseau : combien de temps faudrait-il à l’organisation pour mesurer les conséquences d’une perte de confiance envers un fournisseur de routeurs et y répondre ?
Le sujet ne se limite pas au pays d’origine d’une marque. Le risque peut aussi dépendre des fournisseurs, de la provenance des firmwares, de l’exposition aux vulnérabilités, de l’intégrité des configurations, du niveau de support et de la difficulté opérationnelle d’un remplacement.
Ne pas réduire l’analyse à la nationalité du fournisseur
Une évaluation défendable doit reposer sur des éléments vérifiables, et non sur la seule géographie. Elle peut couvrir les points suivants :
Éléments relatifs aux fournisseurs et aux achats. Conserver les déclarations des fabricants, les dossiers d’achat, les décisions d’approbation et les informations disponibles sur la fabrication ou la dépendance à certains composants.
Provenance des firmwares. Consigner l’origine de chaque image approuvée, la méthode utilisée pour contrôler son intégrité ou sa signature, et la liste des équipements concernés.
Concentration par fournisseur. Identifier le nombre de routeurs dépendant d’un même fabricant, les fonctions réseau qu’ils assurent et les endroits où leur remplacement serait le plus perturbateur.
Exposition de sécurité. Examiner les vulnérabilités connues pour chaque actif et vérifier la disponibilité de correctifs, de mises à jour ou de mesures compensatoires.
Intégrité des configurations. Comparer les configurations en production aux références approuvées et analyser tout changement inattendu.
État du cycle de vie. Suivre le support et les fins de vie afin qu’un débat géopolitique ne masque pas un problème de maintenance déjà urgent.
Transformer l’inventaire en plan de réponse
Un inventaire n’a de valeur que s’il permet de décider et d’agir. Les équipes réseau et sécurité doivent définir à l’avance la réponse à une évolution juridique, réglementaire, technique ou liée au fournisseur.
Fixer les critères déclenchant une surveillance renforcée, une suspension des achats, un isolement, un remplacement accéléré ou un maintien assorti de mesures compensatoires.
Classer les routeurs selon leur rôle et leur impact métier, plutôt que de remplacer indistinctement tous les équipements.
Sauvegarder les configurations avant chaque mise à jour ou opération de remplacement.
Tester des équipements alternatifs et les procédures de migration avant l’apparition d’une échéance urgente.
Documenter la personne ou l’instance qui accepte le risque résiduel lié à la chaîne d’approvisionnement et au contexte géopolitique.
Cette méthode distingue une réponse maîtrisée d’une simple réaction à l’actualité. Elle produit également une piste d’audit expliquant pourquoi un équipement a été conservé, restreint, mis à jour ou remplacé.
Comment ConnectMyAssets peut aider
ConnectMyAssets fournit une base sur site et indépendante des constructeurs pour gérer la dimension opérationnelle de cette évaluation :
La CMDB dynamique recense les actifs multiconstructeurs et aide à repérer une concentration autour d’un fabricant ou d’une famille d’équipements.
Le module Backup & History conserve les versions des configurations et permet une restauration en un clic lorsqu’un changement approuvé provoque un incident.
Le suivi des CVE par actif relie les informations de vulnérabilité aux équipements réellement déployés.
Le suivi de fin de vie ajoute l’état du support et du cycle de vie aux décisions de remplacement.
Le moteur de conformité aide à structurer les contrôles et les preuves associés notamment à NIS2, ISO 27001, PCI, CISA et NIST.
Les fonctions Automation & ZTP permettent de standardiser les actions approuvées de configuration ou de migration sur les équipements concernés.
ConnectMyAssets ne détermine pas si des allégations judiciaires contestées sont fondées. La plateforme ne remplace pas non plus l’évaluation des fournisseurs ni la validation cryptographique des firmwares. Elle aide en revanche à conserver les données sur les actifs, les configurations, les vulnérabilités, la conformité et le cycle de vie nécessaires à une décision maîtrisée lorsque le niveau de risque d’un fournisseur évolue.
Source : The Register
