Tiesitkö? Yrityksesi sovellus on hakkereiden takaportti

Toimittajariskit: Tietoturvan unohtunut lenkki

Haluan kysyä sinulta jotain. Milloin viimeksi tarkistit sen ohjelmistoyrityksen tietoturvakäytännöt, joka käsittelee palkanmaksunne? Entä sen pilvitallennuspalvelun, joka varmuuskopioi asiakastietokantanne? Tai sen kätevän projektinhallintatyökalun, jonka tiimisi otti käyttöön kolme vuotta sitten, koska joku piti sitä hyödyllisenä?

Jos et muista – tai jos olet melko varma, ettei kukaan ole koskaan tehnyt niin – tervetuloa seuraan. Istut samassa huoneessa tuhansien yritysjohtajien ja IT-vastaavien kanssa, jotka ovat lukittaneet omat järjestelmänsä timanttisen tiukasti ja jättäneet takaoven selkeästi auki toimittajien kautta.

Epämukava totuus toimittajariskeistä

Tässä on se asia, joka pitää minua yöllä hereillä, kun mietin yritysten tietoturvaa: voit tehdä kaiken oikein omalta osaltasi ja silti palaa pahasti. Vahvat salasanat? Tarkistettu. Kahden tekijän todennus kaikkialla? Totta kai. Tietoturvakoulutus, joka saa kyberturvallisuusasiantuntijan itkemään ylpeydestä? Sitäkin. Ja silti yhden ainoan tuskin ajattelemasi toimittajan tietomurto voi levittää asiakastietosi pimeään verkkoon ennen kuin edes huomaat, että jotain on vialla.

Tämä ei ole harvinainen poikkeustapaus. Se tapahtuu koko ajan. Targetin murto vuonna 2013? Alkoi HVAC-toimittajasta. SolarWindsin katastrofi vuonna 2020? Vaarantuneet toimittajat olivat sisäänpääsyportti tuhansille organisaatioille. Nämä eivät ole kauhutarinoita vuosikymmenen takaa – ne ovat kaavoja, jotka toistuvat, koska me jatkamme saman sokean pisteen ohittamista.

Epämukava totuus on, että kun luovutat tietosi jollekulle toiselle, luovutat samalla osan tietoturvavastuustasi heille. Heidän salasanakäytäntönsä ovat sinun salasanakäytäntösi. Heidän salausstandardinsa ovat sinun salausstandardisi. Heidän tietomurtonsa on sinun tietomurrosi, ja sen mukana tulevat vihaiset puhelut, PR-katastrofi ja asiakast luottamus, jonka rakentamiseen menee vuosia.

Miksi kukaan ei puhu tästä

Miksi toimittajariski ei sitten ole jokaisen tietoturvakeskustelun kärjessä? Koska se ei ole seksikästä. Se ei ole sellaista, joka pääsee otsikoihin omatoimisesti. Se on enemmänkin kuin hitaasti tyhjentynyt rengas autossa – tiedät, että se on siellä, jatkat ajamista, ja lopulta olet tiensuojassa ihmettelemässä, miten tässä näin kävi.

Toimittajariskit hiipivät organisaatioihin kaikkein arkisimmalla tavalla. Joku tarvitsee ratkaisun, löytää jotain toimivaa, allekirjoittaa sopimuksen ja siirtyy eteenpäin. Kuusi kuukautta myöhemmin joku muu tekee saman toisella työkalulla. Ennen kuin huomaatkaan, yrityksesi on ommeltu kasaan kymmenillä ohjelmistoyhteyksillä, joista jokainen on mahdollinen heikko lenkki, jota kukaan ei ole koskaan tarkistanut.

Ja tässä on se juttu, jota kukaan ei kerro sinulle: tämä ei ole laiminlyöntiä. Se on vain sitä, mitä tapahtuu yritysten kasvaessa. Tiimit liikkuvat nopeasti, prioriteetit vaihtuvat jatkuvasti, ja tietoturvatarkistukset tuntuvat esteiltä eikä välttämättömyyksiltä. Toimittaja hyväksyttiin ominaisuuksien ja hinnan perusteella. Tietoturvakäytännöt mainittiin jossakin sopimuksessa, jota kukaan ei lukenut kahta kertaa. Kukaan ei palannut vuoden päästä kysymään "miten tietoturvanne tällä hetkellä?"

Kysymykset, joilla on oikeasti väliä

En ehdotta, että kuulustelet jokaista ohjelmistopalveluntarjoajaa, jonka kanssa työskentelet. Se ei ole käytännöllistä eikä tarpeen. Mitä ehdotan, on että alat kysyä muutamia teräviä kysymyksiä ennen kuin luovutat arkaluonteisia tietoja – ja kysyt niitä sitten uudelleen aika ajoin, koska asiat muuttuvat.

Tässä on mitä haluaisin tietää:

Missä tietomme oikeasti sijaitsevat? Hämmästyttäisi sinua, kuinka monet yritykset eivät kysy tätä. Onko se salattu tallennuksen aikana? Entä kun se liikkuu järjestelmien välillä? Nämä eivät ole pilkkakysymyksiä – ne ovat perusasioita.

Onko teitä murrettu aiemmin, ja mitä opitte? Tämä kertoo enemmän kuin mikään sertifikaatti. Yritys, joka on käynyt tietomurron läpi ja tullut toiselta puolelta paremmilla käytännöillä? Se on itse asiassa rauhoittavampaa kuin sellainen, jota ei ole koskaan testattu.

Keillä tiimissänne on pääsy tietoihimme? Pääsyoikeuksien hallinta on tärkeää. Jos vastaus on "kaikilla", se on ongelma. Jos vastaus sisältää tietyt roolipohjaiset rajoitukset ja lokituksen, olet oikealla tiellä.

Mitä sertifikaatteja teillä on? SOC 2, ISO 27001, HIPAA-yhteensopivuus – nämä eivät ole täydellisiä, mutta ne antavat jotain, mistä lähteä liikkeelle. Toimittaja, joka ottaa tietoturvan vakavasti, pitää dokumentaation valmiina.

Mitä tapahtuu tiedoillemme, jos lopetamme palvelunne käytön? Tämä yllättää monet. Poistavatko ne tiedot? Pitävätkö ne niitä? Kuinka kauan? Sinun täytyy tietää tämä ennen kuin olet tilanteessa, jossa yrität päästä ulos.

Tee siitä hallittavaa

Tiedän mitä ajattelet: "Tämä kuulostaa valtavalta projektilta, ja minulla on jo täysi työlistaus." Reilu pointtu. Mutta tässä on salaisuus – toimittajariskien hallinta ei ole ylivoimaista. Sen pitää vain olla johdonmukaista.

Aloita niistä toimittajista, joilla on pääsy arkaluonteisimpiin tietoihisi. Jokainen työkalu ei ansaitse samaa tarkastelutasoa. Sähköpostimarkkinointialustasi tarvinnee vähemmän huomiota kuin palvelu, joka tallentaa asiakkaidesi taloustiedot. Aseta ne tärkeysjärjestykseen, keskity kriittisimpiin ensin ja etene alaspäin.

Pidä jatkuvaa listaa jokaisesta toimittajasta, jolla on pääsy tietoihisi. Tarkoitan niitä kaikkia. Hämmästyisit, kuinka monta työkalua yritykset unohtavat käyttävänsä, kun he oikeasti istuvat alas ja kirjoittavat kaiken ylös. Tästä listasta tulee tarkistusten referenssipiste ja varhaisvaroitusjärjestelmäsi, kun jokin vaikuttaa oudolta.

Ja pyydän – tietoturvan nimissä – laita odotuksesi kirjallisesti. Suulliset sopimukset tietoturvakäytännöistä ovat yhtä luotettavia kuin suklaateekannu. Kun kirjoitat vaatimuksesi sopimuksiin, kaikki tietävät, mitä odotetaan, ja sinulla on jotain konkreettista, johon osoittaa tarkistusten aikana.

Johtopäätös

Tässä on rehellinen näkemykseni: tietoturvanne on yhtä vahva kuin heikoin lenkki laajennetussa verkostossanne, ja tuo verkosto ulottuu todennäköisesti pidemmälle kuin olette tajunnutkaan. Se ei tarkoita, että kannattaisi panikoida tai lopettaa toimittajien käyttö kokonaan – moderni liiketoiminta ei yksinkertaisesti toimi niin. Mutta se tarkoittaa, että kysymysten kysyminen, satunnaiset tarkistukset ja sen seuraaminen, kenellä on pääsy mihinkin, eivät ole paranoiaa. Se on vain hyvää liiketoimintaa.

Tällä viikolla avaa toimittajalistasi ja katso sitä oikeasti. Laske yhteydet. Katso, onko työkaluja, joista maksat edelleen mutta joita kukaan ei enää käytä. Saatat löytää muutamia tilaisuuksia tiukentaa langoitus – ja ehkä säästää samalla rahaa.

Tietoturvaketjusi on pidempi kuin luulet. On aika tarkistaa ne lenkit.

Tagit: ['third-party risk', 'vendor security', 'cybersecurity', 'data protection', 'business security', 'supply chain security', 'risk management', 'online privacy', 'security best practices']