Pourquoi la gestion de la chaîne d’approvisionnement et la visibilité des tiers sont-elles essentielles en 2025 ?
OpenAI a confirmé cette semaine une faille de sécurité qui s’est produite non pas dans ses systèmes, mais chez son fournisseur d’analyses Mixpanel.
Un pirate a réussi à s’introduire dans l’infrastructure du fournisseur et a exporté des données telles que des noms, des courriels et des identifiants d’utilisateurs liés à l’utilisation de l’API OpenAI.
Un courriel envoyé à certains utilisateurs a donné quelques indices :
Aucun chat, clé API ou document sensible n’a été divulgué, mais l’incident met une fois de plus en évidence un problème structurel :
Votre exposition au risque ne dépend plus seulement de votre sécurité interne, mais de tous les fournisseurs auxquels vous envoyez des données.
C’est là que Mixpanel nous donne une leçon importante.
Tout d’abord, que fait Mixpanel et pourquoi peut-il exposer plus de choses que vous ne le pensez ?
Mixpanel est une plateforme d’analyse qui surveille le comportement des utilisateurs au sein d’une application: les écrans qu’ils visitent, les boutons sur lesquels ils appuient, le temps qu’il leur faut pour terminer un processus, l’endroit où ils abandonnent, etc.
Jusqu’à présent, rien d’inhabituel. Le risque apparaît dans ce détail clé :
Mixpanel ne reçoit que les données qu’un programmeur décide de lui envoyer depuis l’application.
Cela signifie que :
1️ Le programmateur peut envoyer des données à partir de plus de
Bien que seul un identifiant technique soit nécessaire pour l’analyse, il n’est pas rare de trouver des noms, des courriels, des lieux et même des données inutiles qui violent le principe de minimisation du GDPR.
2️ Les événements comportementaux sont mélangés à des données personnelles
Une mauvaise pratique qui transforme une analyse inoffensive en un ensemble de données sensibles.
3️ De nombreuses entreprises ne disposent pas d’un inventaire des données qui sortent réellement.
La documentation est souvent obsolète :
quels sont les événements envoyés, quels sont les champs qu’ils contiennent, comprennent-ils des informations confidentielles, ont-ils été revus après chaque changement de code ?
4️ Chaque modification du code peut introduire de nouveaux risques sans supervision.
Un développeur peut ajouter un événement qui envoie plus de données que prévu… et personne ne le détecte au niveau de la sécurité ou de la protection de la vie privée.
🔍 Conséquence directe
Lorsqu’un fournisseur comme Mixpanel subit une violation,
les données exposées seront exactement celles que vous avez soumises, même si elles n’auraient jamais dû être diffusées.
C’est là que réside le cœur du problème : sans visibilité sur ce que vous partagez avec des tiers, vous ne pouvez pas évaluer et gérer votre risque réel.
Les leçons de l’affaire Mixpanel-OpenAI
Trois leçons universelles se dégagent de cet incident :
✔️ Aucune organisation n’est vraiment isolée
Même un fournisseur légitime et vérifié peut devenir votre maillon faible.
✔️ Minimiser et contrôler les données que vous communiquez à des tiers n’est pas facultatif.
Il s’agit d’une exigence du GDPR, mais aussi d’une question de survie opérationnelle.
✔️ La chaîne d’approvisionnement est un vecteur d’attaque prioritaire
NIS2, ISO 27001, ENS, SOC2 et DORA en ont fait une exigence fondamentale.
La conclusion est inévitable :
, nous avons besoin d’outils qui nous donnent de la visibilité, du contrôle et de la réactivité.
Deux outils essentiels pour le monde d’aujourd’hui
Pour gérer cet écosystème complexe, deux éléments fondamentaux sont apparus :
le Trust Centre et le Breach Manager.
Qu’est-ce qu’un centre fiduciaire ?
Un centre fiduciaire est le point central où une organisation documente et communique :
- les fournisseurs auxquels elle fait appel,
- les données qu’ils traitent,
- les garanties de sécurité qu’ils offrent,
- la façon dont il gère la vie privée,
- les certifications dont il dispose,
- et quelle est sa position en matière de conformité.
Il s’agit d’un outil de transparence, d’ordre et de contrôle, à usage interne et externe.
En résumé :
Un centre de confiance transforme un écosystème dispersé de fournisseurs en un système gouverné et vérifiable.
Vous permet de savoir :
- qui a accès à vos données,
- pour quelle raison,
- pendant combien de temps,
- sous quelles mesures de sécurité,
- et quel est son impact réglementaire.
Qu’est-ce qu’un Breach Manager ?
Le Breach Manager est l’outil qui permet de gérer de manière structurée tout incident de sécurité, qu’il s’agisse de votre propre incident ou de celui d’un fournisseur.
Fonctions principales :
- enregistrer des alertes ou des soupçons,
- la coordination de la recherche,
- la centralisation des preuves,
- l’évaluation de l’impact,
- déterminer les obligations légales (RGPD : 72h),
- documenter l’ensemble du processus à des fins d’audit.
Son objectif :
Qu’une lacune ne se transforme pas en crise et que l’ensemble de l’organisation sache ce qu’il faut faire, quand et comment.
Trust Center + Breach Manager : la réponse à un monde hyperconnecté
L’affaire Mixpanel-OpenAI le montre clairement :
- vous ne pouvez pas protéger ce que vous ne connaissez pas,
- Ce qui n’est pas documenté n’est pas fiable,
- Il n’est pas possible d’agir sans un processus défini,
- et ne peuvent être externalisés sans mécanismes de contrôle.
C’est pourquoi les organisations modernes ont besoin :
✔️ Un centre fiduciaire pour savoir qui possède quoi et pourquoi
✔️ Un Breach Manager doit savoir ce qu’il faut faire en cas de problème
Ensemble, ils permettent :
- voir votre chaîne d’approvisionnement,
- contrôler vos données,
- la réduction des risques,
- et réagir avec précision en cas d’incident.
Chez ithikios, nous aidons les organisations à prévenir, contrôler et agir rapidement face aux risques liés aux tiers. Notre Centre de confiance apporte de la visibilité et de l’ordre à l’ensemble de la chaîne d’approvisionnement, et notre Breach Manager vous permet de gérer les incidents de manière structurée, documentée et rapide.
Car dans un monde où la sécurité dépend aussi de vos fournisseurs, la maîtrise et la réactivité ne sont plus facultatives, elles sont indispensables.
