Η εφαρμογή που χρησιμοποιεί η εταιρεία σου; Οι χάκερ τη θεωρούν δώρο

Η αδυναμία που κανείς δεν κοιτάζει: Τι κρύβεται πίσω από τους συνεργάτες σου

Ας σου κάνω μια ερώτηση. Πότε ήταν η τελευταία φορά που έλεγξες τις πρακτικές ασφαλείας της εταιρείας λογισμικού που τρέχει τη μισθοδοσία σου; Ή του cloud provider που έχει τα αντίγραφα ασφαλείας της βάσης πελατών σου; Ή αυτού του εργαλείου διαχείρισης έργων που υιοθέτησε η ομάδα σου πριν τρία χρόνια επειδή κάποιος νόμισε ότι έμοιαζε χρήσιμο;

Αν δεν θυμάσαι — ή αν είσαι σχεδόν σίγουρος ότι δεν το έκανε ποτέ κανείς — καλώς ήρθες στην παρέα. Είσαι στον ίδιο χώρο με χιλιάδες επιχειρηματίες και υπεύθυνους IT που έχουν κλειδώσει τα δικά τους συστήματα σαν φρούρια, αλλά έχουν αφήσει την πίσω πόρτα ορθάνοιχτη μέσω των προμηθευτών τους.

Η άβολη αλήθεια για τον κίνδυνο τρίτων

Να τι με κρατάει ξύπνιο τη νύχτα όταν σκέφτομαι την ασφάλεια επιχειρήσεων: μπορεί να κάνεις τα πάντα σωστά από την πλευρά σου και πάλι να την πατήσεις. Δυνατοί κωδικοί; Στικ. Διπλή ταυτοποίηση παντού; Μάλιστα. Εκπαίδευση προσωπικού που θα έκανε ειδικό κυβερνοασφάλειας να κλάψει από συγκίνηση; Ναι. Και όμως, μια παραβίαση σε έναν μόνο προμηθευτή που σχεδόν δεν θυμάσαι ότι υπάρχει μπορεί να σκορπίσει τα δεδομένα πελατών σου σε όλο το dark web πριν καταλάβεις ότι κάτι πήγε στραβά.

Αυτό δεν είναι κάποιο σπάνιο, ακραίο σενάριο. Συμβαίνει διαρκώς. Η παραβίαση της Target το 2013; Ξεκίνησε από προμηθευτή κλιματισμού. Η καταστροφή SolarWinds το 2020; Οι παραβιασμένοι προμηθευτές ήταν το σημείο εισόδου για χιλιάδες οργανισμούς. Δεν είναι ιστορίες τρόμου από μια δεκαετία πριν — είναι μοτίβα που επαναλαμβάνονται γιατί εμείς συνεχίζουμε να αγνοούμε το ίδιο τυφλό σημείο.

Η άβολη πραγματικότητα είναι ότι όταν παραδίδεις τα δεδομένα σου σε κάποιον άλλο, του παραδίδεις κι ένα κομμάτι της ευθύνης ασφαλείας σου. Οι πολιτικές κωδικών τους γίνονται οι πολιτικές κωδικών σου. Τα πρότυπα κρυπτογράφησής τους γίνονται τα δικά σου. Η παραβίασή τους γίνεται η δική σου παραβίαση, μαζί με τα θυμωμένα τηλεφωνήματα, τον εφιάλτη δημοσίων σχέσεων και την εμπιστοσύνη πελατών που χρειάζεται χρόνια για να ξαναχτιστεί.

Γιατί κανείς δεν μιλάει γι' αυτό

Λοιπόν, γιατί ο κίνδυνος από προμηθευτές δεν βρίσκεται στην κορυφή κάθε συζήτησης ασφαλείας; Γιατί δεν είναι ελκυστικό. Δεν είναι το είδος του πράγματος που κλέβει τον τίτλο από μόνο του. Μοιάζει περισσότερο με εκείνη τη σιγανή φλάντζα στο αυτοκίνητό σου — ξέρεις ότι υπάρχει, συνεχίζεις να οδηγείς, και κάποια στιγμή μένεις στην άκρη του δρόμου αναρωτώμενος πώς έγινε αυτό.

Ο κίνδυνος από προμηθευτές σέρνεται στους οργανισμούς με τον πιο συνηθισμένο τρόπο. Κάποιος χρειάζεται μια λύση, βρίσκει κάτι που δουλεύει, υπογράφει συμβόλαιο και προχωράει. Έξι μήνες αργότερα, κάποιος άλλος κάνει το ίδιο με ένα διαφορετικό εργαλείο. Πριν το καταλάβεις, η εταιρεία σου είναι ραμμένη με δεκάδες συνδέσεις λογισμικού, η καθεμία ένα πιθανό αδύναμο σημείο που κανείς δεν εξέτασε ποτέ.

Και να κάτι που δεν σου λέει κανείς: αυτό δεν είναι αμέλεια. Είναι απλά αυτό που συμβαίνει όταν μεγαλώνουν οι εταιρείες. Οι ομάδες κινούνται γρήγορα, οι προτεραιότητες αλλάζουν διαρκώς, και οι έλεγχοι ασφαλείας μοιάζουν με εμπόδια παρά με αναγκαιότητες. Ο προμηθευτής εγκρίθηκε με βάση τα χαρακτηριστικά και την τιμή. Οι πρακτικές ασφαλείας αναφέρονταν κάπου σε συμβόλαιο που κανείς δεν διάβασε δύο φορές. Δεν γύρισε κανείς ένα χρόνο αργότερα να ρωτήσει "τι γίνεται με την ασφάλειά σας τελευταία;"

Οι ερωτήσεις που πραγματικά έχουν σημασία

Δεν υπονοώ να ανακρίνεις κάθε πάροχο λογισμικού με τον οποίο συνεργάζεσαι. Αυτό δεν είναι ούτε πρακτικό ούτε απαραίτητο. Αυτό που υπονοώ είναι να αρχίσεις να κάνεις μερικές καλές ερωτήσεις πριν παραδώσεις ευαίσθητες πληροφορίες, και να τις ξαναθέσεις κάποτε — επειδή τα πράγματα αλλάζουν.

Αυτά θα ήθελα να μάθω:

Πού βρίσκονται πραγματικά τα δεδομένα μας; Θα εκπλαγείς πόσες εταιρείες δεν ρωτούν αυτό. Είναι κρυπτογραφημένα όταν αποθηκεύονται; Είναι κρυπτογραφημένα όταν μετακινούνται μεταξύ συστημάτων; Αυτές δεν είναι παγίδες — είναι τα βασικά.

Έχετε παραβιαστεί στο παρελθόν, και τι μάθατε; Αυτή η ερώτηση σου λέει περισσότερα από οποιαδήποτε πιστοποίηση. Μια εταιρεία που πέρασε παραβίαση και βγήκε από την άλλη με καλύτερες πρακτικές; Αυτό είναι πιο καθησυχαστικό από κάποια που δεν δοκιμάστηκε ποτέ.

Ποιος στην ομάδα σας μπορεί να δει τις πληροφορίες μας; Οι έλεγχοι πρόσβασης έχουν σημασία. Αν η απάντηση είναι "όλοι", αυτό είναι πρόβλημα. Αν η απάντηση περιλαμβάνει συγκεκριμένους περιορισμούς ανά ρόλο και καταγραφή ελέγχων, είσαι σε καλό δρόμο.

Τι πιστοποιήσεις έχετε; SOC 2, ISO 27001, συμμόρφωση με HIPAA — αυτά δεν είναι τέλεια, αλλά σου δίνουν κάτι να δουλέψεις. Ένας προμηθευτής που παίρνει σοβαρά την ασφάλεια θα έχει την τεκμηρίωση έτοιμη.

Τι γίνεται με τα δεδομένα μας αν σταματήσουμε να χρησιμοποιούμε την υπηρεσία σας; Αυτή η ερώτηση ξαφνιάζει κόσμο. Τα διαγράφουν; Τα κρατάνε; Για πόσο; Πρέπει να ξέρεις πριν βρεθείς σε θέση που προσπαθείς να φύγεις.

Το κάνεις εφικτό

Ξέρω τι σκέφτεσαι: "Αυτό ακούγεται τεράστιο έργο, και ήδη έχω γεμάτο πρόγραμμα." Δίκιο έχεις. Αλλά να το μυστικό — η διαχείριση κινδύνου από προμηθευτές δεν χρειάζεται να σε πνίγει. Απλά πρέπει να είναι συνεπής.

Ξεκίνα από τους προμηθευτές που έχουν πρόσβαση στα πιο ευαίσθητα δεδομένα σου. Δεν χρειάζεται κάθε εργαλείο να έχει την ίδια προσοχή. Η πλατφόρμα email marketing πιθανώς χρειάζεται λιγότερη προσοχή από την υπηρεσία που αποθηκεύει τα οικονομικά στοιχεία πελατών σου. Κατέταξέ τους, εστίασε πρώτα στους κρίσιμους, και συνέχισε προς τα κάτω.

Κράτα μια λίστα με κάθε προμηθευτή που έχει πρόσβαση στα δεδομένα σου. Εννοώ όλους. Θα εκπλαγείς πόσες εταιρείες ανακαλύπτουν εργαλεία που είχαν ξεχάσει ότι χρησιμοποιούν όταν κάθονται πραγματικά να τα γράψουν όλα. Αυτή η λίστα γίνεται το σημείο αναφοράς σου για ελέγχους και το σύστημα πρώιμης προειδοποίησης όταν κάτι φαίνεται περίεργο.

Και σε παρακαλώ, για την ασφάλεια όλων, βάλε τις προσδοκίες σου γραπτώς. Οι προφορικές συμφωνίες για πρακτικές ασφαλείας είναι τόσο αξιόπιστες όσο μια σοκολατένια τσαγιέρα. Όταν γράφεις τις απαιτήσεις σου στα συμβόλαια, όλοι ξέρουν τι περιμένει ο καθένας, και έχεις κάτι συγκεκριμένο να δείξεις κατά τους ελέγχους.

Το συμπέρασμα

Η ειλικρινής μου άποψη: η ασφάλειά σου είναι τόσο δυνατή όσο ο πιο αδύναμος κρίκος στο εκτεταμένο δίκτυό σου, και αυτό το δίκτυο πιθανώς απλώνεται πολύ πιο μακριά απ' ό,τι συνειδητοποιείς. Αυτό δεν σημαίνει ότι πρέπει να πανικοβληθείς ή να σταματήσεις να χρησιμοποιείς προμηθευτές — η σύγχρονη επιχείρηση απλά δεν λειτουργεί έτσι. Σημαίνει όμως ότι το να κάνεις ερωτήσεις, να κάνεις περιστασιακούς ελέγχους και να παρακολουθείς ποιος έχει πρόσβαση σε τι δεν είναι παράνοια. Είναι απλά καλή διαχείριση.

Αυτή την εβδομάδα, άνοιξε τη λίστα προμηθευτών σου και ρίξε της μια πραγματική ματιά. Μέτρησε τις συνδέσεις. Δες αν υπάρχουν εργαλεία που ακόμα πληρώνεις αλλά κανείς δεν χρησιμοποιεί. Μπορεί να βρεις μερικές ευκαιρίες να σφίξεις τα πράγματα — και ίσως να εξοικονομήσεις και λίγα χρήματα.

Η αλυσίδα ασφαλείας σου είναι πιο μακριά απ' ό,τι νομίζεις. Καιρός να ελέγξεις αυτούς τους κρίκους.

Ετικέτες: ['third-party risk', 'vendor security', 'cybersecurity', 'data protection', 'business security', 'supply chain security', 'risk management', 'online privacy', 'security best practices']