Les contrôles au titre de la POPIA accentuent la pression sur les PME fournisseurs sud-africaines

Selon un article de cbn.co.za, les petites et moyennes entreprises sud-africaines qui traitent des informations à caractère personnel entrent dans une phase plus exigeante de l’application de la POPIA. L’Information Regulator est allé au-delà de la préparation et des recommandations générales : il contacte directement les entreprises et leur demande de démontrer qu’elles respectent la loi.

Cette évolution dépasse le cadre des services du régulateur. Les grandes organisations considèrent de plus en plus les petites entreprises de leur chaîne d’approvisionnement comme faisant partie de leur propre périmètre de sécurité. Les PME qui fournissent des logiciels, des services ou d’autres formes d’assistance peuvent donc devoir démontrer à la fois qu’elles sont capables de protéger les informations de leurs clients et qu’elles disposent des accords et des registres requis par la POPIA.

La pression s’intensifie alors que les attaquants ciblent des fournisseurs de confiance plutôt que de tenter de pénétrer directement dans des entreprises bien défendues. Le mécanisme de mise à jour d’un fournisseur, un système d’accès à distance, une messagerie électronique ou une facture peuvent servir de point d’entrée vers une organisation plus importante, car ces connexions sont déjà acceptées par les systèmes du client.

Les mesures d’application et les signalements de violations se multiplient

L’Information Regulator en est désormais à sa dixième année d’activité, tandis que les dispositions de la POPIA relatives à l’application de la loi sont en vigueur depuis cinq ans. Au cours de cette période, le nombre de compromissions de sécurité signalées est passé de 202 en 2021/2022 à 2 898 en 2025/2026. Plus de 1 200 signalements ont été reçus au cours du seul premier semestre de cette dernière année.

Ces chiffres sont enregistrés dans un contexte d’augmentation plus large des attaques visant les chaînes d’approvisionnement. Le Data Breach Investigations Report 2026 de Verizon a constaté que la participation de tiers dans les violations avait augmenté de 60 % par rapport à l’année précédente, apparaissant dans 48 % de l’ensemble des violations. Le World Economic Forum a quant à lui constaté que 65 % des grandes organisations considèrent l’exposition aux tiers et aux chaînes d’approvisionnement comme leur principal défi en matière de résilience.

Parmi les exemples sud-africains cités dans le rapport figurent Satrix, Bidvest Bank et EasyEquities, où l’exposition de données a été liée à des prestataires de services tiers. Ces incidents illustrent pourquoi une entreprise peut subir les conséquences de faiblesses situées en dehors de sa propre infrastructure centrale.

Chris Ogden, directeur général et fondateur de RubiBlue, a déclaré que les attaquants pouvaient utiliser les connexions de fournisseurs de confiance pour obtenir un accès, plutôt que de se confronter aux principales défenses d’une entreprise. L’évaluation de l’entreprise est que des outils et des relations commerciales ordinaires peuvent devenir des vecteurs d’attaque lorsqu’ils ne sont pas suffisamment contrôlés.

Pour une PME, cela crée un risque commercial autant que technique. Les grands clients intègrent des exigences de sécurité dans les contrats, demandent des accords de traitement des données et réclament aux fournisseurs potentiels des preuves de conformité avant d’attribuer un marché. Une entreprise incapable de fournir ces preuves pourrait avoir plus de mal à obtenir ou à conserver sa place au sein d’une chaîne d’approvisionnement établie.

Six mesures pour les petites entreprises

Le rapport identifie six domaines dans lesquels les PME peuvent renforcer leur position et constituer des preuves d’une gestion responsable des données :

• Établir une cartographie des données. Les entreprises doivent identifier les informations à caractère personnel reçues de leurs clients, l’endroit où elles sont stockées et les personnes ou systèmes qui peuvent y accéder.
• Définir les responsabilités par écrit. Les accords de traitement des données doivent couvrir chaque relation avec un client ou un sous-traitant, afin que les obligations de chaque partie soient clairement comprises.
• Sécuriser les points d’accès courants. Cela comprend l’installation des mises à jour logicielles, la gestion des outils d’accès à distance et l’obligation d’utiliser l’authentification multifacteur pour les comptes qui traitent des informations client.
• Limiter les accès et protéger les sauvegardes. Les systèmes sensibles ne doivent être accessibles qu’aux utilisateurs autorisés, tandis qu’au moins une sauvegarde doit rester inaccessible à l’aide des identifiants des fournisseurs.
• Tester les vulnérabilités. Des analyses régulières des vulnérabilités et des tests d’intrusion peuvent identifier les problèmes à corriger avant qu’ils ne soient exploités.
• Conserver les preuves et se préparer aux incidents. Les registres doivent expliquer comment les informations sont protégées, conservées et supprimées. Les entreprises doivent également disposer d’un plan pour répondre aux violations et les signaler.

Ces mesures visent à rendre la sécurité démontrable plutôt qu’à la faire reposer sur de simples assurances. La documentation peut aider une PME à répondre lorsqu’un client demande comment les informations sont gérées, ou lorsque le régulateur réclame une preuve de conformité.

La sécurité devient partie intégrante de l’activité

RubiBlue affirme appliquer de tels contrôles à des plateformes traitant des informations sensibles sur les assurés pour plus de 1 000 entreprises de pompes funèbres et touchant plus de 12 millions de titulaires de police. Elle propose également des services aux fournisseurs PME, notamment le signalement des vulnérabilités, les tests d’intrusion, la gestion des correctifs et la surveillance préventive.

L’article ne suggère pas qu’un système puisse être rendu totalement sûr. Son avertissement central est que les prestataires tiers doivent suivre de bonnes pratiques de sécurité et intégrer la protection des informations à leur culture interne. Cette responsabilité devient de plus en plus difficile à dissocier de la survie commerciale, à mesure que les clients examinent attentivement les fournisseurs connectés à leurs données.

Pour les PME, se préparer avant l’arrivée d’un questionnaire, d’un examen contractuel ou d’une demande de renseignements du régulateur peut être moins perturbant que d’essayer de mettre en place des contrôles après une violation. Alors que le suivi de la POPIA devient plus actif et que les attaques visant les chaînes d’approvisionnement gagnent en importance, la capacité à démontrer comment les informations sont protégées devient de plus en plus une condition de participation au marché.