Supplier Shield

Risque prestataire noté, évalué et auditable.

Supplier Shield est là où le risque prestataire devient opérationnel. Analysez la posture de sécurité des fournisseurs par OSINT, notez le risque sur trois dimensions, lancez des campagnes d'évaluation assistées par IA, et offrez aux fournisseurs un portail de réponse, avec une piste d'audit immuable derrière chaque changement.

Demander l’accès

Démo interactive

Testez le workflow d'évaluation.

Fonctionnalités

Tout ce qu'il faut pour piloter le risque prestataire.

Registre fournisseurs
Registre central avec classification et import en masse.

Maintenez un registre consultable de chaque fournisseur. Créez des enregistrements avec le nom légal, la classification (Critique, Important, Standard), la description du service, le contact principal et la fréquence de revue. Importez des listes de prestataires existants en quelques minutes via import CSV avec correspondance de champs.

Notation de risque pondérée
Notation sur trois dimensions avec niveaux colorés.

Chaque fournisseur est noté automatiquement: Dépendance (x0,4), Pénétration (x0,3) et Exposition (x0,3). Le score composite de 1 à 5 est codé par couleur (vert, jaune, rouge) afin que les achats, les risques et la conformité s'accordent sur le niveau sans tableurs. Les scores sont actualisés annuellement ou lors de changements de périmètre.

Scanner de sécurité OSINT
Analyse automatique de la sécurité sur cinq dimensions.

Acuna analyse la présence en ligne de chaque fournisseur sur la configuration DNS, les certificats TLS, les en-têtes de sécurité web, l'exposition aux violations de données et la réputation. Chaque fournisseur reçoit une note composite de A à F visible dans la liste et les vues de détail. Les analyses s'exécutent automatiquement lors de l'enregistrement d'un fournisseur avec un domaine, ou se déclenchent manuellement depuis l'onglet Exposition aux risques. Forez dans les constatations individuelles avec les niveaux de gravité et les preuves.

Campagnes d'évaluation
Lancement en lot avec planification et évaluation IA.

Lancez le même questionnaire auprès de plusieurs fournisseurs à la fois. Sélectionnez des fournisseurs avec un filtrage complet, choisissez un modèle, prévisualisez l'e-mail et lancez. Définissez une date de début planifiée pour programmer des campagnes en lancement automatique futur. Le tableau de bord de campagne suit la progression avec des badges de statut, des pourcentages d'achèvement et des synthèses de notation. Choisissez quel contact reçoit l'e-mail pour chaque fournisseur avant le lancement.

Aiko: Évaluation IA des évaluations
Analyse IA des réponses et preuves fournisseurs.

Lors de la revue des réponses d'évaluation, cliquez sur Demander à Aiko d'évaluer pour que l'IA analyse toutes les questions, y compris les documents de preuve téléchargés, les images et les PDF. Aiko fournit des suggestions d'évaluation avec des scores de confiance que vous pouvez examiner et ajuster avant de finaliser. La progression en temps réel est affichée pendant qu'Aiko traite chaque question, et vous pouvez annuler à tout moment.

Portail fournisseurs
Réponses externes sans relances par e-mail.

Les fournisseurs complètent des questionnaires et téléchargent des documents via un portail dédié. Aucun compte Acuna n'est nécessaire. Les soumissions entrent directement dans le PIR avec une piste défendable. Les preuves restent hors des boîtes de réception, et les auditeurs obtiennent une chaîne de réponses documentée qu'ils peuvent suivre. Les liens de portail sont conservés lors du renvoi d'évaluations pour corrections.

Profils de risque individuels (PIR)
Détail complet du fournisseur avec piste d'audit immuable.

Chaque fournisseur s'ouvre dans un panneau de détail unifié, identique qu'on y accède depuis Supplier Shield ou Implement, Tiers. Affiche les informations de base, les résultats d'analyse OSINT, les contrôles de dimensions de risque, les contacts de l'espace de travail, tous les objets liés (processus, risques, contrôles, KPI) groupés par type avec des badges de santé, les données d'évaluation et le journal d'activité immuable.

Gestion des contacts
Plusieurs contacts par fournisseur avec attribution de rôles.

Stockez un nombre illimité de contacts par prestataire avec des désignations de rôle: Principal, Technique, Facturation et Support. Les contacts alimentent les listes de distribution des notifications d'évaluation. Choisissez quel contact reçoit les e-mails de campagne avant le lancement. Archivez les contacts obsolètes au lieu de les supprimer pour préserver la piste d'audit.

Objets liés et cartographie des processus
Visualisez tous les objets liés et les dépendances fournisseurs.

Les fournisseurs affichent tous les objets liés (processus, risques, contrôles, KPI) groupés par type avec des badges de santé et de statut. La cartographie interactive des processus affiche les noeuds fournisseurs avec des badges de niveau colorés, bascule plein écran et mode sombre. Les processus critiques sont signalés pour une surveillance prioritaire.

Workflows d'approbation
Imposez des validations sur les modifications critiques de prestataires.

Les fournisseurs critiques peuvent nécessiter une approbation pour les ajustements de score de risque. Configurez des workflows d'approbation dans Admin, Concepteur de workflows afin que les modifications sur les prestataires de niveau élevé passent par des approbateurs désignés avant de prendre effet, vous offrant un processus encadré de reclassification des risques.

Cycle de vie et réévaluation
La fraîcheur des évaluations, auditable.

Chaque fournisseur a une date de prochaine revue basée sur la fréquence de revue et la dernière évaluation. Les fournisseurs en retard sont mis en évidence dans le registre et dans les évaluations de risque des contrôles qui en dépendent. Filtrez les fournisseurs arrivant à échéance et lancez une nouvelle campagne directement. Les réponses d'évaluation historiques sont conservées pour l'analyse des tendances et la conformité aux audits. Établissez un rythme piloté par le calendrier afin que les prestataires critiques soient évalués au moins annuellement.

Fonctionnement

De l'enregistrement à la réévaluation annuelle en six étapes.

01

Enregistrez vos fournisseurs

Créez des enregistrements un par un ou importez en masse via CSV. Définissez la classification (Critique, Important, Standard), la description du service, le contact principal et la fréquence de revue.

02

L'OSINT analyse leur posture de sécurité

Acuna analyse automatiquement le domaine de chaque fournisseur sur DNS, TLS, en-têtes web, exposition aux violations et réputation. Une note composite de A à F apparaît dans la liste et la vue de détail du fournisseur. Forez dans les constatations individuelles pour la gravité et les preuves.

03

Notez le risque sur trois dimensions

Évaluez chaque fournisseur sur la Dépendance, la Pénétration et l'Exposition. Acuna calcule le composite pondéré et attribue un niveau coloré. Configurez des workflows d'approbation pour les changements de score de niveau critique.

04

Lancez des campagnes d'évaluation

Sélectionnez un modèle de questionnaire, choisissez des fournisseurs, définissez des délais (ou planifiez une date future) et lancez. Acuna distribue automatiquement, suit le statut des réponses et vous permet de renvoyer des rappels aux non-répondants.

05

Les fournisseurs répondent, Aiko évalue

Les prestataires complètent les questionnaires via le portail externe. Lorsque les réponses arrivent, cliquez sur Demander à Aiko d'évaluer pour une analyse IA des réponses et des preuves téléchargées (y compris PDF et images), avec des scores de confiance que vous examinez avant de finaliser.

06

Surveillez, réévaluez, recommencez

Suivez la fraîcheur des évaluations avec les dates de prochaine revue. Les fournisseurs en retard sont signalés dans le registre et dans les évaluations de risque des contrôles liés. Lancez des campagnes de suivi directement. Conservez toutes les réponses historiques pour l'analyse des tendances.

Notation du risque

Trois dimensions. Un score.

40%

Dépendance

Dans quelle mesure ce fournisseur est-il critique pour la continuité d'activité? Les services essentiels obtiennent un score élevé; les fournisseurs de commodités ou facilement remplaçables obtiennent un score bas.

30%

Pénétration

Dans quelle mesure le fournisseur est-il intégré dans votre SI, vos données ou vos processus? Un accès système profond obtient un score élevé; les services isolés obtiennent un score bas.

30%

Exposition

Quel est l'impact potentiel d'une violation, d'une interruption ou d'une défaillance du fournisseur? L'impact financier, opérationnel et réputationnel détermine le score.

1 - 2
Risque faible
2,5 - 3,5
Risque moyen
4 - 5
Risque élevé

Score composite = (Dépendance x 0,4) + (Pénétration x 0,3) + (Exposition x 0,3).

Scanner OSINT

Cinq dimensions. Une note de sécurité.

Acuna analyse automatiquement la présence en ligne de vos fournisseurs et attribue une note composite de A à F. Les analyses se déclenchent lors de l'enregistrement d'un fournisseur avec un domaine, ou à la demande depuis l'onglet Exposition aux risques.

🌐

Configuration DNS

Vérifie les enregistrements SPF, DKIM, DMARC, DNSSEC et MX pour évaluer l'authentification des e-mails et la posture de sécurité du domaine.

🔒

Certificats TLS

Valide la chaîne de certificats, les dates d'expiration, les versions de protocole et la robustesse des chiffres pour signaler les chiffrements faibles ou expirés.

🛡

En-têtes de sécurité web

Analyse HSTS, Content-Security-Policy, X-Frame-Options et d'autres en-têtes de sécurité HTTP qui protègent contre les attaques web courantes.

Exposition aux violations de données

Vérifie si le domaine du fournisseur ou les adresses e-mail associées apparaissent dans des bases de données de violations connues, avec classification de gravité et chronologie d'exposition.

📊

Réputation

Agrège les signaux de réputation provenant de sources de renseignement sur les menaces, de listes de blocage et d'indicateurs de confiance web pour évaluer la fiabilité globale du fournisseur.

A
Excellent
B
Bon
C
Correct
D
Faible
F
Critique

Cliquez sur n'importe quelle dimension dans le détail du fournisseur pour accéder aux constatations individuelles avec les niveaux de gravité et les preuves à l'appui.

Profil de risque individuel

Chaque fournisseur, un panneau.

Le PIR consolide tout ce qui concerne un fournisseur (identité, note de sécurité OSINT, posture de risque, contacts, objets liés, historique des évaluations avec évaluation IA et journal d'activité complet) dans un panneau de détail unifié.

Informations de base

Nom du fournisseur, classification et score de risque actuel (codé par couleur)
Description du service et fréquence de revue
Notations de Dépendance, Pénétration et Exposition avec contrôles d'ajustement
Statut d'évaluation et date de prochaine revue

Contacts de l'espace de travail

Nom, titre et adresse e-mail du contact principal
Téléphone et coordonnées de contact alternatif
Attribution de rôles: Principal, Technique, Facturation, Support
Édition en ligne (toutes les modifications sont tracées dans le journal d'activité)

Note de sécurité OSINT

Note composite de A à F issue de l'analyse OSINT automatisée
Cinq dimensions: DNS, TLS, en-têtes, exposition aux violations, réputation
Forage dans les constatations individuelles avec gravité et preuves
Déclenchement d'une nouvelle analyse depuis l'onglet Exposition aux risques

Objets liés

Tous les objets liés: processus, risques, contrôles, KPI et plus
Groupés par type avec badges de santé et de statut
Indicateurs d'impact en cas d'indisponibilité du fournisseur
Liaison et déliaison directes sans quitter le panneau de détail

Données d'évaluation et évaluation IA

Nom du modèle, date de distribution et statut de réponse par questionnaire
Évaluation IA Aiko avec scores de confiance pour chaque question
Analyse des preuves incluant documents téléchargés, images et PDF
Lancement de nouveaux cycles d'évaluation ou renvoi de questionnaires en ligne

Journal d'activité immuable

Une piste chronologique et inviolable suivant chaque action sur l'enregistrement du fournisseur. Toutes les entrées incluent le nom réel de l'utilisateur ayant effectué la modification, permettant une pleine imputabilité.

Mises à jour de champs
Changements de nom, ajustements de niveau de risque, modifications de dépendance, ajouts de notes, changements de fréquence de revue
Modifications de contacts
Contact ajouté, mis à jour ou archivé avec horodatage et attribution d'utilisateur
Actions d'évaluation
Évaluations lancées, réponses reçues, évaluations finalisées, liaisons de processus modifiées

Registres complémentaires

Supplier Shield + registre des Tiers.

Les deux vues servent votre programme TPRM. Utilisez-les ensemble pour une couverture complète.

Supplier Shield

Workflows TPRM structurés

Analyse de sécurité OSINT automatisée avec notation de A à F
Notation pondérée du risque (Dépendance, Pénétration, Exposition)
Campagnes d'évaluation en lot avec planification et évaluation IA
Portail fournisseurs externe pour la soumission de documents
Journaux d'activité immuables pour la gouvernance d'audit
Tiers (Implement)

Liens de contexte de conformité

Documenter toute entité externe pertinente pour votre référentiel
Classification par type: Prestataire, Fournisseur de services, Sous-traitant, Partenaire
Niveaux de risque: Critique, Élevé, Moyen, Faible
Lien vers les actifs, risques, contrôles et exigences
Cycle de vie du statut: Actif, Inactif, En revue, Retraité

Qui l'utilise

Conçu pour les praticiens qui gèrent le risque prestataire.

RSSI / Responsable sécurité

Centraliser le risque prestataire aux côtés de votre dispositif de contrôle.

Pour les responsables sécurité qui ont besoin du risque tiers visible aux côtés des contrôles, référentiels et registre des risques, et non dans un tableur déconnecté.

Obtenir des notes OSINT automatisées sur DNS, TLS, en-têtes, violations et réputation
Noter chaque fournisseur sur la dépendance, la pénétration et l'exposition
Lier les fournisseurs aux processus métier et objets liés pour voir les chaînes d'impact
Configurer des workflows d'approbation pour les modifications de score de niveau critique
Responsable des risques tiers

Piloter les cycles d'évaluation sans relances manuelles.

Pour les responsables TPRM qui ont besoin de workflows de campagne répétables (de la distribution des questionnaires aux réponses évaluées par IA) sans gérer des fils d'e-mails.

Lancer des campagnes en lot avec des modèles, des délais et des dates de début planifiées
Laisser Aiko IA évaluer les réponses et les preuves téléchargées avec des scores de confiance
Utiliser le portail fournisseurs afin que les prestataires répondent en externe avec une piste défendable
Importer des listes de prestataires existants en masse via CSV avec correspondance de champs
Équipe conformité / Audit

Démontrer la gouvernance prestataire aux régulateurs et auditeurs.

Pour les équipes de conformité qui doivent démontrer un programme TPRM structuré avec des fournisseurs notés, des évaluations documentées et une piste d'audit claire.

Afficher les notes OSINT et la fraîcheur des évaluations en un coup d'oeil
Conserver les réponses d'évaluation historiques et les évaluations IA pour l'analyse des tendances
Exporter des preuves de gouvernance prestataire pour les audits NIS2, DORA, ISO 27001
Consulter les journaux d'activité immuables lorsque les auditeurs sondent la gouvernance prestataire

FAQ

Questions fréquentes sur Supplier Shield.

Comment le score de risque prestataire est-il calculé dans Supplier Shield?

Acuna calcule un score composite à partir de trois dimensions pondérées: la Dépendance (x0,4) mesure le caractère critique du fournisseur pour la continuité d'activité, la Pénétration (x0,3) mesure le degré d'intégration du fournisseur dans votre SI, vos données ou vos processus, et l'Exposition (x0,3) mesure l'impact potentiel d'une violation ou défaillance du fournisseur. Le résultat est un score de 1 à 5 codé par couleur: vert (1-2), jaune (2,5-3,5), rouge (4-5). Les scores sont revus annuellement ou lors de changements de périmètre significatifs.

Comment fonctionnent les campagnes d'évaluation?

Vous créez une campagne en sélectionnant un modèle de questionnaire et en choisissant les fournisseurs à inclure. Définissez un délai de réponse et un calendrier de rappels, puis lancez. Acuna envoie les questionnaires aux contacts fournisseurs automatiquement, suit les taux de réponse et vous permet de renvoyer des rappels aux non-répondants. Les campagnes consolident l'évaluation des tiers dans un rythme répétable aligné sur votre calendrier d'audit.

Qu'est-ce qu'un Profil de risque individuel (PIR)?

Le panneau de détail de chaque fournisseur affiche le PIR complet: informations de base (nom, classification, score de risque, fréquence de revue), contacts de l'espace de travail (principal, technique, facturation, support), processus métier liés avec indicateurs d'impact, données d'évaluation avec statut de réponse, et un journal d'activité immuable. Le journal suit chaque mise à jour de champ, modification de contact, action d'évaluation et liaison de processus avec le nom réel de l'utilisateur et l'horodatage.

Les fournisseurs peuvent-ils répondre aux évaluations sans compte Acuna?

Oui. Les fournisseurs utilisent un portail dédié pour compléter les questionnaires et télécharger des documents. Ils reçoivent un lien, répondent en externe, et leurs soumissions entrent dans le PIR avec une piste de soumission défendable. Aucun identifiant ni licence séparé n'est nécessaire pour le fournisseur.

Puis-je exiger une approbation pour les modifications de score sur les fournisseurs critiques?

Oui. Les fournisseurs critiques peuvent nécessiter une approbation pour les ajustements de score de risque. Configurez des workflows d'approbation dans Admin, Concepteur de workflows afin que les modifications de score sur les prestataires de niveau élevé passent par des approbateurs désignés avant de prendre effet.

Combien de contacts puis-je enregistrer par fournisseur?

Il n'y a pas de limite. Chaque enregistrement fournisseur prend en charge plusieurs contacts avec des attributions de rôles (Principal, Technique, Facturation ou Support). Les contacts alimentent les listes de distribution des notifications d'évaluation, et l'archivage des contacts obsolètes préserve la piste d'audit au lieu de supprimer l'historique.

Quels statuts d'évaluation Supplier Shield suit-il?

Chaque réponse à un questionnaire progresse en Non envoyé, En cours, Soumis, Complet. Les tableaux de bord de campagne affichent les taux de réponse par statut afin que vous puissiez identifier les non-répondants en un coup d'oeil et renvoyer des rappels sans quitter la vue.

Que vérifie le scanner OSINT?

Le scanner vérifie cinq dimensions: la configuration DNS (SPF, DKIM, DMARC, DNSSEC, MX), les certificats TLS (validité de la chaîne, expiration, protocole, chiffre), les en-têtes de sécurité web (HSTS, CSP, X-Frame-Options et autres), l'exposition aux violations de données (domaine et adresses e-mail dans des bases de violations connues) et la réputation (sources de renseignement sur les menaces, listes de blocage, signaux de confiance web). Les résultats produisent une note composite de A à F avec forage dans les constatations individuelles.

Quand l'analyse OSINT s'exécute-t-elle?

Les analyses s'exécutent automatiquement lors de l'enregistrement d'un fournisseur avec un domaine web. Vous pouvez également déclencher une nouvelle analyse manuelle à tout moment depuis l'onglet Exposition aux risques dans le panneau de détail du fournisseur. Les résultats d'analyse sont conservés historiquement afin que vous puissiez suivre les améliorations ou régressions dans le temps.

Comment fonctionne l'évaluation IA Aiko?

Lors de la revue des réponses d'évaluation fournisseurs, cliquez sur Demander à Aiko d'évaluer pour que l'IA d'Acuna analyse toutes les questions, y compris les documents de preuve téléchargés, les images et les PDF. Aiko fournit des suggestions d'évaluation avec des scores de confiance que vous pouvez examiner et ajuster avant de finaliser. La progression en temps réel est affichée pendant qu'Aiko traite chaque question, et vous pouvez annuler à tout moment.

Puis-je planifier des campagnes d'évaluation à une date future?

Oui. Lors de la création d'une campagne, vous pouvez définir une date de début planifiée. La campagne affiche un badge Planifiée dans la liste. Lorsque la date arrive, le système la lance automatiquement et envoie des e-mails à tous les contacts fournisseurs. Les campagnes sans fournisseurs assignés sont ignorées jusqu'à l'ajout de fournisseurs.

Réponses associées

Questions que les praticiens se posent.

Qu’est-ce que Supplier Shield ?

Supplier Shield est le module de gestion des risques tiers (TPRM) d’Acuna. Il fournit un registre de fournisseurs centralisé avec un scoring des risques automatisé selon trois dimensions pondérées : dépendance (×0,4), pénétration (×0,3) et exposition (×0,3), produisant un score codé par couleur de 1 à 5. Les fonctionnalités comprennent des campagnes d’évaluation avec distribution de questionnaires et suivi des délais, des profils de risques individuels avec journaux d’activité immuables, un portail fournisseur pour les réponses externes, et la gestion du cycle de vie avec surveillance des expirations et import CSV en masse.

Comment fonctionne le scoring de sécurité OSINT dans Supplier Shield ?

Supplier Shield inclut un scanner OSINT automatisé qui évalue six dimensions de sécurité de l’empreinte internet publique d’un fournisseur : la configuration DNS (SPF, DKIM, DMARC), la validité du certificat TLS et la robustesse du protocole, les en-têtes de sécurité web (HSTS, CSP, X-Frame-Options), l’exposition aux violations de données connues, la réputation du domaine et l’exposition aux ports ouverts. Chaque dimension reçoit une note de A à F. Le score OSINT composite alimente le profil de risque global du fournisseur aux côtés du scoring manuel dépendance/pénétration/exposition. Les scans peuvent être déclenchés à la demande ou planifiés automatiquement à des intervalles configurables.

Prêt à voir Supplier Shield en action?

Notre équipe vous présentera Supplier Shield et l’ensemble de la plateforme Acuna.

Demander l’accès