Generix nomme Jimmy Anidjar Président non exécutif du Conseil d’administration Lire le communiqué de presse
L’article en bref
En matière de cybersécurité, ce sont les petites entreprises qui constituent le maillon le plus faible et que les attaquants cherchent à faire tomber en priorité pour atteindre des cibles plus importantes. Face à ce phénomène, certaines entreprises font appel à des sociétés de rating pour estimer le niveau de sécurité de leurs fournisseurs et éventuellement sélectionner ceux-ci en fonction de leur note dans les appels d’offres. Extrêmement coûteuse, une telle démarche reste néanmoins réservée à quelques grandes entreprises internationales.
Une étude [1] menée par la société spécialisée en cybersécurité BlueVoyant montre que parmi les 1 500 entreprises interrogées, 77 % des CISO et DSI pointent un manque total de visibilité sur la sécurité de leurs fournisseurs. Dans le même temps, 82 % d’entre eux ont eu à déplorer au moins une violation de données au cours des 12 derniers mois. Ce manque de contrôle sur la sécurité des tierces parties s’explique car les ressources cyber des entreprises ont bien évidemment pour priorité de sécuriser leur propre système d’information. Certaines entreprises font parvenir un questionnaire de sécurité à leurs partenaires afin d’évaluer leurs pratiques, mais le nombre de fournisseurs d’une entreprise, de l’ordre de 1 000 partenaires en moyenne, bride la capacité de l’entreprise à les contrôler. Les cybermenaces et les systèmes de protection évoluent en permanence et même les systèmes qui peuvent apparaître comme les plus matures, et notamment l’EDI (Échange de Données Informatisées), ne sont pas toujours les plus sûrs.
Depuis les années 2010, les flux réseaux de l’EDI initialement portés par le réseau spécialisé X25 ont fait place à l’IP et aux connexions Internet. De même, l’usage de l’EDI s’est élargi notamment auprès de PME, grâce au développement des solutions de type Web-EDI, accessibles à tous. N’importe quelle entreprise peut ainsi communiquer des données EDI via un simple navigateur Web et cette démocratisation accroît notablement le risque de piratage informatique. Les flux EDI transportent des données sensibles : commandes, factures, bons de livraison ou données bancaires. La cybersécurité supply chain exige donc une vigilance renforcée sur l’ensemble de cet écosystème.
Par conception, les flux EDI sont protégés : le protocole assure l’intégrité des données EDI et la traçabilité des échanges, tandis que les données sont chiffrées pour garantir leur confidentialité. Une désorganisation de l’activité par l’envoi de données falsifiées est donc improbable. En revanche, des pirates peuvent exploiter ces flux pour s’introduire dans le système d’information de l’entreprise ou de son prestataire EDI, et dérober des données de manière indirecte.
L’attaque de type “Man in the Middle” (MITM) illustre ce risque. Un cyberattaquant intercepte le flux reliant la plateforme du fournisseur à celle de son client, sans altérer le trafic apparent, et accède aux données en transit pour les lire, les copier ou les modifier. Dans le cas d’un fournisseur qui récupère des listes d’adresses pour préparer des livraisons, son système interroge celui du client via un flux encadré par des droits d’accès. En compromettant le fournisseur, le pirate ouvre une brèche vers le système de l’entreprise cliente.
Le fournisseur doit protéger ses clients, mais l’entreprise cliente doit aussi encadrer la confiance qu’elle lui accorde. Les tentatives d’intrusion étant polymorphes, limitez le volume de données sensibles échangées avec vos partenaires.
La protection des flux repose sur des protocoles de transport éprouvés et un chiffrement robuste des données. Plusieurs standards coexistent, chacun adapté à un contexte d’usage :
| Protocole | Usage | Niveau de protection | Idéal pour |
|---|---|---|---|
| AS2 | Échange point-à-point sur Internet | Chiffrement + signature | Transactions B2B structurées |
| AS4 | Évolution d’AS2 avec services web | Chiffrement + accusés de réception | Échanges multi-partenaires |
| FTPS | Transfert de fichiers sur FTP + SSL/TLS | Chiffrement du canal | Transferts de fichiers volumineux |
| SFTP | Transfert sur SSH | Chiffrement + authentification par clé | Transferts via tunnel chiffré |
| HTTPS | Web-EDI via navigateur | Chiffrement TLS | Portails fournisseurs en ligne |
Le protocole AS2 s’impose pour l’échange direct de documents commerciaux entre partenaires. Le chiffrement asymétrique garantit la confidentialité et l’intégrité des données, en transit et au repos. La traçabilité et l’horodatage, associés à la signature électronique, assurent la non-répudiation : aucun partenaire ne peut nier avoir envoyé ou reçu un message.
Un contrôle d’accès basé sur les rôles limite chaque partenaire aux seules données dont il a besoin. L’authentification multifacteur s’impose pour les connexions aux portails fournisseurs et portails clients, et réduit fortement le risque d’usurpation d’identité.
Chaque ouverture de flux doit suivre le principe de moindre privilège : un fournisseur accède uniquement aux commandes qui le concernent, sans visibilité sur les autres flux. Cette discipline limite le risque qu’une compromission d’un partenaire se propage à l’ensemble du système d’information.
Le support de tous les formats et protocoles EDI du marché est le premier critère de choix d’une solution EDI. La plateforme doit supporter EANCOM, EDIFACT, XML, UBL, HL7, JSON, PDF ou X12, mais aussi offrir des interfaces avec les ERP et progiciels métiers de type SAP, Microsoft, Oracle ou Sage. Enfin, le prestataire EDI doit bien évidemment disposer de capacités d’interopérabilité des systèmes EDI vers tous les pays avec qui devra échanger l’entreprise. Mais aujourd’hui il faut aussi choisir son prestataire EDI en fonction de sa maturité et de ses investissements en matière de cybersécurité.
Le rôle du prestataire EDI a évolué ; il est devenu un acteur clé pour protéger les entreprises de ces attaques et l’entreprise elle-même doit s’assurer du sérieux des protections mises en place par son prestataire EDI avant de se connecter à son service.
Les certifications et normes sont un moyen de s’assurer du sérieux de ses processus. Une certification ISO 27001 apparaît ainsi comme un critère de choix essentiel dans la sélection d’un prestataire EDI. C’est à lui de s’assurer que le flux de données n’est pas l’objet d’une attaque de type « Man in the Middle », c’est aussi lui qui stocke les données échangées entre les partenaires EDI. Ce stockage doit donc être nécessairement chiffré afin de s’assurer que, même si un attaquant parvient à percer les défenses mises en place, il ne pourra exploiter la donnée exposée à son attaque. Le chiffrement asymétrique est la solution la plus sûre pour protéger ses données, mais certains acteurs se tournent même aujourd’hui vers la technologie Blockchain pour accroître encore le niveau de sécurité de leur EDI.
La certification ne dispense pas du respect des exigences légales. Le RGPD encadre le traitement des données personnelles qui transitent par l’EDI, comme les coordonnées de contacts ou les données salariés. Le règlement eIDAS règle la confiance dans les transactions électroniques et la signature électronique au sein de l’Union européenne. Un prestataire EDI qui respecte ces textes garantit une dématérialisation sécurisée de vos flux.
Notre logiciel EDI en mode SaaS prend en charge tous les formats du marché (EANCOM, EDIFACT, XML, UBL) et s’interface nativement avec les ERP majeurs (SAP, Microsoft, Oracle). Nous hébergeons vos flux dans un environnement certifié ISO 27001, avec un chiffrement des données en transit et au repos, afin de garantir l’intégrité et la confidentialité de vos échanges.
Nos capacités d’interopérabilité multi-protocoles et nos technologies de protection avancées, dont la Blockchain, renforcent la résilience de votre Supply Chain face aux attaques visant vos partenaires. Notre plateforme de dématérialisation PDP applique ces mêmes exigences à vos factures.
Demandez une démo de notre plateforme EDI sécurisée pour évaluer concrètement les protections appliquées à vos flux.
Protéger votre écosystème Supply Chain contre le risque tiers exige une plateforme EDI certifiée et des protocoles stricts. L’EDI demeure sûr par conception, mais la vulnérabilité de vos partenaires PME impose une vigilance continue : chiffrement, contrôle d’accès, conformité réglementaire et certification du prestataire. En optimisant pour un partenaire certifié ISO 27001, vous réduisez la surface d’attaque de l’ensemble de votre chaîne de valeur.
La sécurité EDI regroupe les mécanismes techniques (chiffrement, protocoles de transport) et organisationnels (contrôle d’accès, certifications) qui protègent la confidentialité, l’intégrité et la disponibilité des données échangées entre partenaires commerciaux, contre les intrusions et les fuites de données.
Les protocoles de référence sont AS2 et AS4 pour les échanges structurés point-à-point, FTPS et SFTP pour les transferts de fichiers chiffrés, et HTTPS pour les portails Web-EDI. Tous s’appuient sur le chiffrement des données en transit et la signature électronique pour garantir la non-répudiation.
Le taux de rotation mesure la fréquence de renouvellement de votre stock sur une période donnée, généralement un an. Le taux de couverture indique quant à lui le nombre de jours de stock disponible pour répondre à la demande. Un taux de rotation de 6 correspond à un taux de couverture d’environ 60 jours.
La certification ISO 27001 atteste que le prestataire applique un système de management de la sécurité de l’information audité et contrôlé. Elle garantit des processus rigoureux pour le stockage chiffré des données au repos, la gestion des accès et la protection contre les attaques, réduisant le risque de violation via la supply chain.
Le chiffrement asymétrique, la signature électronique et sécurité des messages et l’authentification multifacteur constituent les principales barrières contre l’interception des flux. Limiter les droits d’accès de chaque partenaire au strict nécessaire réduit également la surface d’attaque exploitable par un pirate ayant compromis un fournisseur.
Les flux EDI transportent des données commerciales et financières stratégiques : bons de commande, factures, avis d’expédition, données bancaires, coordonnées de clients et de fournisseurs. Toutes ces informations peuvent faire l’objet de détournement, d’altération ou de fuite, justifiant un niveau de protection élevé.
[1] BlueVoyant, Third-Party Supply Chain Cyber Risk – CISO Report, novembre 2020
11
articles publiés
Rédigé par
Christophe Viry
Product & Marketing Director / E-Invoicing Program Lead chez Generix
Christophe Viry est Product & Marketing Director et pilote le programme de facturation électronique de Generix. Expert de l’e-invoicing, de l’EDI et de l’intégration B2B, il accompagne les entreprises dans leur mise en conformité fiscale, la dématérialisation de leurs échanges et l’interopérabilité de leurs systèmes, en conciliant exigences réglementaires et performance opérationnelle.
Votre client impose un raccordement EDI à date fixe ? Cadrez les conditions de faisabilité, chiffrez les adaptations et construisez un rétroplanning assorti de preuves de recette pour décider de la bascule.
Identifiez les responsabilités, les durées et les formats applicables à l’archivage de vos factures électroniques. Préparez les clauses de réversibilité et les contrôles nécessaires pour récupérer vos archives.
Travaillez avec nos équipes pour concevoir et mettre en œuvre la Supply Chain qui accompagnera votre croissance, adaptée à vos spécificités métier.
