Médias : gouvernance des prestataires & sécurité mobile

Un risque devenu systémique : l’effet « chaîne d’approvisionnement »

Les attaques via fournisseurs et sous-traitants explosent. Le DBIR 2025 observe que la part des brèches impliquant un tiers est passée d’environ 15 % à 30 % en un an. Cette dynamique va de pair avec la hausse de l’exploitation de vulnérabilités (y compris sur des équipements de périmètre et VPN). Pour des médias reposant sur des clouds, CDP/CRM, régies, SSO et outils éditoriaux, l’exposition est mécanique.

Constat des autorités françaises. Le Panorama 2024 de l’ANSSI documente la poursuite des attaques par rebond via prestataires disposant d’accès légitimes : attaques plus furtives, difficiles à détecter, avec exfiltration de données et latéralisation possibles chez plusieurs clients en cascade.

Coût financier et opérationnel. IBM – Cost of a Data Breach 2025 mesure un coût moyen mondial autour de 4,44 M$ en 2025. Moralité : une meilleure préparation réduit la facture, mais ne l’annule pas ; l’objectif est de limiter l’ampleur (blast radius) d’un incident chez un tiers.

L’angle mort : outils éditoriaux et CRM… sur mobile

Accéder aux back-offices (CMS), DAM, CRM d’abonnés, Slack/Teams, email, Drive… depuis des smartphones (reporters, JRI, pigistes, agences) est devenu la norme. Or, d’après le DBIR 2025, parmi les systèmes compromis dont les identifiants se retrouvent dans des logs d’infostealers, une large part étaient non managés (souvent BYOD), mélangeant usages pro et perso.

Les phishing mobiles explosent et touchent fortement iOS : en 2024, les expositions au phishing sur iOS ont été environ deux fois plus nombreuses que sur Android, selon Lookout (communiqué).

Cadre réglementaire : obligations RGPD et cap NIS2

RGPD (art. 33) : notification à l’autorité de contrôle dans les 72 heures après découverte d’une violation ; les sous-traitants doivent notifier sans délai le responsable de traitement. CNIL – quand notifier ? et Article 33 (texte).

NIS2 : les entités « essentielles / importantes » devront démontrer des mesures de gestion des risques, dont la sécurité de la chaîne d’approvisionnement (article 21) et des politiques fournisseurs. EUR-Lex – NIS2 ; voir également Article 21 – chaîne d’approvisionnement.

Stratégie recommandée : repenser la gestion des prestataires avec un prisme « mobile-first »

1) Cartographier et segmenter l’écosystème

• Inventorier tiers par type d’accès (données d’abonnés, outils éditoriaux, régies) et par surface mobile (app native, web, API).
• Attribuer un score de criticité : données traitées (RGPD), privilèges (admin, API), exposition (internet, edge/VPN), localisation (UE/hors UE), usage mobile (BYOD, flottes partenaires).
• Exiger MFA/FIDO2, journaux d’accès, SCIM/JIT pour le cycle de vie des comptes et journaux exportables (SIEM).

2) Contrats et preuves

• DPA (accord de sous-traitance RGPD) : délais de notification, sous-traitants ultérieurs, tests de sécurité, chiffrement, rétention et preuve d’effacement, auditabilité.
• Clauses NIS2-like : politique de sécurité supply-chain, revue de vulnérabilités, gestion des secrets, SBOM/inventaires, plan de continuité et exercices.

3) MDM/UEM comme filet anti-domino (iOS/Android)

• Accès conditionnel : bloquer / autoriser en temps réel selon posture (OS à jour, device chiffré, non-rooté/jailbreaké, code, device managé).
• Confinement applicatif : per-app VPN, SASE/ZTNA, certificats par app, « open-in » contrôlé, copies/captures interdites, conteneurs pro séparés.
• Réponse rapide : verrouillage, wipe sélectif, révocation de jetons, rotation de clés, kiosque (pour bornes, stands, régies). Référentiel : NIST SP 800-124 r2

4) Visibilité et détection sur le mobile

• Télémetrie mobile (MTD) intégrée au SOC/XDR : détection d’URL malveillantes, smishing, profils de configuration louches, malwares/spywares.
• Sensibilisation anti-phishing mobile et filtrage web ; tenir compte de la sur-exposition iOS observée par Lookout

Plan d’action 30-60-90 jours (orienté opérations)

Sous 30 jours

• Imposer MDM aux comptes à privilèges (rédaction en chef, diffusions, CRM, data/BI) et aux prestataires critiques. Basculer les accès SaaS sensibles en per-app VPN / accès conditionnel « device managé + OS à jour + MFA ».
• Cartographie rapide des tiers avec un top 10 par donnée/accès.
• Checklist RGPD : formaliser le process 72 h (qui notifie quoi, à qui, avec quelles preuves ?). CNIL – Notifier une violation

Sous 60 jours

• Clauses contractuelles : annexer au DPA un plan de contrôle (MFA, rotation des secrets, journaux), SLA d’alerte, preuve d’effacement en fin de contrat.
• Playbooks SOC : fuite via tiers → révocation tokens, restriction dynamique des apps mobiles (MDM), bloc IP/user-agents, message proactif aux abonnés si nécessaire.
• Campagne anti-phishing mobile (SMS, messageries) et mise en quarantaine auto des devices non conformes.

Sous 90 jours

• Tests de crise : exercice « sous-traitant CRM compromis » (simulation d’upload d’un lot mails/téléphones). Mesurer MTTD/MTTR, vérif traçabilité des accès.
• Normaliser les exigences NIS2-like pour tous les nouveaux appels d’offres (politique supply-chain, journaux, posture mobile, capacité de remote wipe / révocation de certificats).

10 questions à poser immédiatement à vos prestataires

• Quels identifiants et permissions vos équipes/robots possèdent-ils chez nous ?
• Vos collaborateurs accèdent-ils à nos données depuis mobile ? Si oui, MDM obligatoire (conformité, chiffrement, code, non-jailbreak).
• Pratiquez-vous MFA et FIDO2 pour tous les accès, y compris support et API ?
• Où sont stockées nos données ? Chiffrement au repos/en transit, région, rétention.
• Pouvez-vous fournir des journaux d’accès détaillés (horodatage, IP, device, user-agent) ?
• Quel est votre process de gestion des secrets (rotation, coffre-fort, Git scanning) ?
• Quel est votre délai d’alerte en cas d’incident ? (objectif < 24 h, RGPD = 72 h max pour nous)
• Disposez-vous d’un plan de continuité et d’exercices documentés (preuve / dernier test) ?
• Utilisez-vous une politique supply-chain (évaluation de vos propres sous-traitants), conforme à l’esprit NIS2 art. 21 ?
• Comment révoquez-vous un accès compromis et assurez-vous l’effacement en fin de contrat ?

KPI pour suivre la posture « tiers + mobile »

• Taux de terminaux managés parmi comptes à privilèges et comptes prestataires
• Taux de connexions SaaS conformes (device managé + OS à jour + MFA)
• Délai de révocation (jetons/appareils) lors d’un incident tiers
• Couverture des journaux (pourcentage d’apps/tiers fournissant des logs complets)
• Taux de simulation phishing mobile échouées / progrès mensuels