Tu aplikaci máte v práci rádi? A taky je to zadní vrátka pro hackery

Kdy jste naposledy zkontrolovali bezpečnostní praktiky firmy, která zpracovává vaše výplatní pásky? Nebo poskytovatele cloudového úložiště, kam se zálohují vaše zákaznická data?

Jestli si na to nevzpomínáte — nebo máte podezření, že to nikdo nikdy neudělal — nejste sami. Sedíte ve stejné místnosti jako tisíce podnikatelů a IT manažerů, kteří krásně zabezpečili vlastní systémy, ale nechali dokořán otevřená zadní vrata přes své dodavatele.

Nepříjemná pravda o riziku dodavatele

Tohle mi nedá spát, když přemýšlím o zabezpečení firem: můžete dělat všechno správně a stejně se spálit. Silná hesla? Jasně. Dvoufaktorová autentizace všude? Samozřejmě. Školení zaměstnanců, že by z toho měl radost i bezpečnostní expert? Rozhodně. A přesto může únik dat u jediného dodavatele, o kterého se téměř nestaráte, vysypat vaše zákaznická data na dark web dřív, než vůbec zjistíte, že něco není v pořádku.

Nejde o žádný vzácný okrajový scénář. Děje se to neustále. Únik dat u Targetu v roce 2013? Začal u dodavatele HVAC systémů. SolárníWinds katastrofa v roce 2020? Kompromitovaní dodavatelé byli vstupním bodem pro tisíce organizací. Tohle nejsou hrůzostrašné příběhy z minulého desetiletí — jsou to vzorce, které se opakují, protože ignorujeme stejný slepý úhel.

Když předáte data někomu jinému, vpodstatě mu předáváte i kus své bezpečnostní odpovědnosti. Jejich heslová politika se stává vaší heslovou politikou. Jejich šifrovací standardy se stávají vašimi standardy. Jejich únik se stává vaším únikem, včetně naštvaných telefonátů, krizové komunikace a důvěry zákazníků, kterou budete budovat roky.

Proč o tom nikdo nemluví

Tak proč není riziko dodavatele na vrcholu každé bezpečnostní diskuze? Protože to není sexy. Nejsou to titulky, které by samy o sobě upoutaly pozornost. Spíš to je jako pomalá pneumatika — víte, že je něco špatně, jedete dál, a nakonec stojíte u cesty a ptáte se, jak se to stalo.

Riziko dodavatele se vkrádá do organizací úplně obyčejně. Někdo potřebuje řešení, najde něco funkčního, podepíše smlouvu a jde dál. Za šest měsíců někdo jiný udělá totéž s jiným nástrojem. Než se nadějíte, vaše firma je sešita z desítek softwarových propojení, z nichž každé je potenciálním slabým místem, které nikdo nikdy nezkontroloval.

A tady je něco, co vám nikdo neřekne: nejde o nedbalost. Prostě se to děje, když firmy rostou. Týmy jednají rychle, priority se neustále mění a bezpečnostní audity působí jako překážky, ne jako nutnost. Dodavatel byl schválen na základě funkcí a ceny. Bezpečnostní praktiky byly někde zmíněny ve smlouvě, kterou nikdo nečetl dvakrát. Nikdo se o rok později nevrátil s otázkou „jak to vlastně vypadá s vaším bezpečnostním postojem?"

Otázky, které opravdu záleží

Nenavrhuju, abyste vyslýchali každého poskytovatele softwaru, se kterým spolupracujete. To není praktické ani nutné. Co navrhuju, je začít klást pár ostrých otázek, než předáte citlivé informace — a pak se k nim občas vracet, protože věci se mění.

Tady je to, co bych chtěl vědět:

Kde naše data vlastně jsou? Divili byste se, kolik firem se neptá. Jsou šifrovaná při uložení? Šifrovaná při přenosu mezi systémy? Nejsou to žádné chytáky — jsou to základy.

Byli jste už někdy prolomeni a co jste se z toho naučili? Tahle otázka vám řekne víc než jakýkoli certifikát. Firma, která si prošla únikem a vyšla z toho s lepšími postupy? To je ve skutečnosti uklidňující víc než něco, co nikdy nebylo testováno.

Kdo z vašeho týmu má přístup k našim informacím? Přístupová oprávnění jsou důležitá. Když je odpověď „kdokoli", je to problém. Když zahrnuje konkrétní omezení podle rolí a auditní záznamy, jste na správné cestě.

Jaké certifikáty máte? SOC 2, ISO 27001, HIPAA compliance — nejsou dokonalé, ale dávají vám něco, od čeho se odrazit. Dodavatel, který bere bezpečnost vážně, bude mít dokumentaci připravenou.

Co se stane s našimi daty, když přestaneme používat vaši službu? Tahle otázka lidi zaskočí. Smažou je? Uchovají si je? Jak dlouho? Potřebujete to vědět předem, než se ocitnete v situaci, kdy se snažíte odejít.

Jak to zvládnout

Vím, co si myslíte: „To zní jako obrovský projekt a já už mám plnou pracovní desku." Srozumitelné. Ale tady je tajemství — správa rizika dodavatele nemusí být ohromující. Musí být jen důsledná.

Začněte s dodavateli, kteří mají přístup k vašim nejcennějším datům. Ne každý nástroj si zaslouží stejnou pozornost. Vaše e-mailová marketingová platforma pravděpodobně potřebuje míň pozornosti než služba ukládající finanční záznamy zákazníků. Seřaďte je, soustřeďte se na kritické nejdřív a pracujte postupně dolů.

Vedte si průběžný seznam všech dodavatelů s přístupem k vašim datům. Myslím opravdu všech. Žasli byste, kolik firem objeví nástroje, na které zapomněly, že je vůbec používají, když si sednou a všechno sepíšou. Ten seznam se stane vaším referenčním bodem pro audity a raným varovným systémem, když se něco zdá divné.

A prosím, proboha, dejte svá očekávání na papír. Ústní dohody o bezpečnostních praktikách jsou spolehlivé asi jako čokoládová konvice. Když své požadavky sepíšete do smluv, každý ví, co se čeká, a máte při auditech co ukázat.

Závěr

Tady je můj upřímný názor: vaše bezpečnost je jen tak silná, jak je silný nejslabší článek vaší rozšířené sítě — a ta síť sahá dál, než si uvědomujete. Neznamená to, že byste měli panikařit nebo přestat používat dodavatele úplně — moderní podnikání prostě jinak nefunguje. Ale znamená to, že pokládat otázky, občas provádět kontroly a sledovat, kdo má přístup k čemu, není paranoia. Je to prostě zdravý rozum.

Tento týden si otevřete seznam dodavatelů a opravdu se na něj podívejte. Spočítejte propojení. Podívejte se, jestli tam jsou nástroje, za které pořád platíte, ale už je nikdo nepoužívá. Možná najdete pár příležitostí, jak věci utáhnout — a možná při tom i ušetříte.

Váš bezpečnostní řetězec je delší, než si myslíte. Je čas zkontrolovat ty články.

Štítky: ['third-party risk', 'vendor security', 'cybersecurity', 'data protection', 'business security', 'supply chain security', 'risk management', 'online privacy', 'security best practices']