SecurityScorecard, Inc. est une entreprise américaine de cybersécurité spécialisée dans la notation de la posture de sécurité et la gestion du risque lié aux tiers. Établie à New York, elle transforme des observations techniques externes en indicateurs destinés aux équipes de sécurité, aux responsables des risques et aux acheteurs. Son site, securityscorecard.com, présente une plateforme conçue pour suivre l’exposition numérique d’une organisation et de son écosystème.
Une entreprise née du besoin de mesurer le risque
SecurityScorecard a été fondée en 2013 par Aleksandr Yampolskiy et Sam Kassoumeh, deux professionnels de la sécurité informatique. Leur point de départ : les entreprises dépendent de prestataires nombreux, mais disposent rarement d’une vision homogène et actualisée de leur niveau de protection. Les questionnaires et les audits périodiques restent utiles, sans toujours rendre compte des changements intervenant entre deux évaluations.
L’entreprise s’est développée autour d’une approche complémentaire : observer les traces techniques accessibles depuis Internet pour produire une évaluation renouvelée dans le temps. Ce positionnement inscrit SecurityScorecard dans le marché des notations de cybersécurité, à la croisée de la veille sur les menaces, de la gestion des fournisseurs et du pilotage des risques.
Des signaux techniques à la décision opérationnelle
La plateforme analyse notamment des éléments concernant la sécurité réseau, la configuration de services exposés et la présence de signaux associés à des activités malveillantes. Elle cherche à rattacher ces observations aux actifs numériques des organisations évaluées, puis les synthétise sous forme de scores et de notes allant de A à F. L’objectif est de rendre comparables des situations techniques complexes et d’orienter les investigations.
Pour un client, les usages comprennent l’évaluation d’un fournisseur avant sa sélection, la surveillance d’un portefeuille de partenaires et le suivi de sa propre surface d’attaque externe. Les tableaux de bord, alertes et interfaces d’intégration permettent d’insérer ces informations dans des processus de gestion du risque. La plateforme facilite aussi le dialogue avec une organisation évaluée, afin d’examiner les constats et de suivre les corrections.
Cette lecture extérieure comporte toutefois des limites. Une note ne constitue ni un audit exhaustif des systèmes internes, ni une garantie contre une intrusion. La pertinence des résultats dépend notamment de l’attribution des actifs et de la contextualisation des observations. Ces indicateurs gagnent donc à être rapprochés des contrôles internes, des audits et des échanges avec les fournisseurs.
Et maintenant ?
La dépendance aux services numériques et l’attention réglementaire portée aux chaînes de sous-traitance créent un contexte favorable à la surveillance continue des tiers. Pour SecurityScorecard, l’enjeu est de relier davantage la mesure à l’action : aider à hiérarchiser les risques, documenter les remédiations et vérifier leur effet. La confiance dans les notations restera également déterminante, avec des attentes fortes sur l’explicabilité des scores, la qualité des données et la possibilité de corriger une attribution erronée.