Amit a céged használ, azon be is törnek

A láthatatlan gyenge láncszem: Miért veszélyeztetik a beszállítóid a céged biztonságát?

Hadd tegyek fel egy kérdést. Mikor ellenőrizted utoljára annak a szoftvercégnek a biztonsági gyakorlatát, amelyik a bérszámfejtést intézi nálad? Vagy a felhőszolgáltatót, ahol az ügyféladatbázisodat tárolod? Esetleg azt a projektmenedzsment eszközt, amit három éve kezdett el használni a csapatod, mert valaki úgy gondolta, hogy jól néz ki?

Ha nem emlékszel erre – vagy meg vagy győződve arról, hogy ezt még soha senki nem csinálta meg –, akkor üdvözöllek a klubban. Ott ülsz ugyanabban a teremben, ahol thousands of üzletember és IT-vezető, akik gyönyörűen megerősítették a saját rendszereiket, miközben a beszállítóikon keresztül tárva-nyitva hagyták a hátsó ajtót.

Az a kellemetlen igazság a beszállítói kockázatról

Ez az, ami miatt rosszul alszom, amikor a vállalati biztonságra gondolok: megtehetsz mindent helyesen, és mégis bajba kerülhetsz. Erős jelszavak? Megvannak. Kétfaktoros azonosítás mindenhol? Abszolút. Alkalmazotti képzés, ami egy kiberbiztonsági szakértőt is büszkeséggel töltene el? Határozottan. És mégis, egyetlen alig ismert beszállítónál történt incidens elég ahhoz, hogy az ügyféladataid a dark weben kössenek ki, még mielőtt egyáltalán észrevennéd, hogy valami nincs rendben.

Ez nem valami ritka, szélsőséges eset. Folyamatosan megtörténik. A Target 2013-as adatszivárgása? Egy HVAC beszállítónál kezdődött. A SolarWinds 2020-as katasztrófája? A kompromittált beszállítók jelentették a belépési pontot thousands of szervezet számára. Ezek nem egy évtizeddel ezelőtti horror történetek – minták, amelyek folyamatosan ismétlődnek, mert ugyanazt a vakfoltot hagyjuk figyelmen kívül.

Az kellemetlen valóság az, hogy amikor az adataidat átadod valaki másnak, egyben a biztonsági felelősséged egy részét is átadod. Az ő jelszókezelési szabályaik a te jelszókezelési szabályaid lesznek. Az ő titkosítási standardjaik a te titkosítási standardjaid. Az ő incidensük a te incidensed lesz, az összes dühös telefonhívással, a PR-katasztrófával és az ügyfélbizalommal, amelynek helyreállítása évekig tart.

Miért NEM Beszél Erről Senki?

Szóval miért nincs a beszállítói kockázat minden biztonsági beszélgetés élén? Mert nem vonzó. Nem olyan téma, ami önmagában címlapra kerül. Inkább olyan, mint egy lassan defektes gumik – tudod, hogy ott van, továbbra is vezetsz, és egyszer csak az út szélén állsz, és azon töprengsz, hogyan történhetett ez meg.

A beszállítói kockázat a leg ordinariobb módon lopakodik be a szervezetekbe. Valakinek megoldásra van szüksége, talál valamit, ami működik, aláírja a szerződést, és továbblép. Hat hónap múlva valaki más ugyanezt teszi egy másik eszközzel. Mire észrevennéd, a céged tucatnyi szoftveres kapcsolattal van összefűzve, mindegyik egy potenciális gyenge pont, amelyet senki sem vizsgált meg soha.

És itt van valami, amit senki nem mond el neked: ez nem gondatlanság. Egyszerűen ez történik, amikor a cégek nőnek. A csapatok gyorsan haladnak, az prioritások folyamatosan változnak, és a biztonsági felülvizsgálatok akadályoknak tűnnek, nem szükségszerűségeknek. A beszállítót a funkciók és az ár alapján hagyták jóvá. A biztonsági gyakorlatok valahol szerepeltek egy szerződésben, amelyet senki nem olvasott el kétszer. Senki nem tért vissza egy évvel később azzal, hogy „szóval, hogy áll a biztonsági helyzetetek mostanában?"

A Kérdések, Amelyek Valójában Számítanak

Nem azt javaslom, hogy hallgass ki minden szoftverszolgáltatót, akivel dolgozol. Az sem praktikus, sem szükséges. Amit viszont javaslok, az az, hogy kezdj el néhány éles kérdést feltenni, mielőtt érzékeny információkat adsz át, és aztán időnként tedd fel újra őket – mert a dolgok változnak.

Ezeket szeretném tudni:

Hol vannak ténylegesen az adataink? Hihetetlen, hány cég nem teszi fel ezt a kérdést. Titkosítva vannak tároláskor? Titkosítva vannak, amikor rendszerek között mozognak? Ezek nem csípős kérdések – ezek az alapok.

Volt már incidensetek korábban, és mit tanultatok belőle? Ez többet elárul, mint bármelyik tanúsítvány. Egy cég, amely átment egy adatszivárgáson és jobb gyakorlatokkal jött ki a másik oldalon? Ez valójában megnyugtatóbb, mint egy, amelyet soha nem teszteltek.

Ki férhet hozzá az információinkhoz a csapatotokból? A hozzáférés-vezérlés számít. Ha a válasz az, hogy „mindenki", az probléma. Ha a válasz specifikus szerepalapú korlátozásokat és naplózást tartalmaz, akkor jó irányban haladsz.

Milyen tanúsítványokkal rendelkeztek? SOC 2, ISO 27001, HIPAA megfelelőség – ezek nem tökéletesek, de van mit alapul venni rajtuk. Egy beszállító, aki komolyan veszi a biztonságot, rendelkezésre bocsátja a dokumentációt.

Mi történik az adatainkkal, ha nem használjuk tovább a szolgáltatásokat? Ez az, ami meglepi az embereket. Törlik? Megtartják? Meddig? Ezt tudnod kell, mielőtt abba a helyzetbe kerülsz, hogy ki akarsz lépni.

Hogyan Lehet Kezelhető?

Tudom, mire gondolsz: „Ez egy hatalmas projektnek hangzik, és már így is tele van a pohár." Értem. De itt van a titok – a beszállítói kockázatkezelés nem kell, hogy elsöprő legyen. Csak következetesnek kell lennie.

Kezdd azokkal a beszállítókkal, akik a legérzékenyebb adataidhoz férnek hozzá. Nem minden eszköz érdemel ugyanolyan szintű vizsgálatot. Az email marketing platformod valószínűleg kevesebb figyelmet igényel, mint az a szolgáltatás, amely ügyfél pénzügyi nyilvántartásait tárolja. Sorba rendezed őket, először a kritikusakra koncentrálsz, és haladsz lefelé.

Tarts karban egy folyamatosan frissülő listát minden beszállítóról, aki hozzáfér az adataidhoz. Mindegyikről. Meglepő, hány cég fedez fel eszközöket, amelyeket már el is felejtettek, hogy használnak, amikor tényleg leülnek és végigírják az összeset. Ez a lista lesz a referenciapontod a felülvizsgálatokhoz és a korai figyelmeztető rendszered, ha valami gyanúsnak tűnik.

És kérlek, a biztonság szerelméért, írd le az elvárásaidat. A szóbeli megállapodások a biztonsági gyakorlatokról éppolyan megbízhatatlanok, mint egy csokiból készült teáskanna. Amikor az követelményeket szerződésekbe írod, mindenki tudja, mi várható el, és van valami konkrétum, amihez ragaszkodni lehet a felülvizsgálatok során.

A Lényeg

Íme az őszinte véleményem: a biztonságod csak olyan erős, mint a leggyengébb láncszem a kiterjesztett hálózatodban, és ez a hálózat valószínűleg sokkal tovább nyúlik, mint gondolnád. Ez nem azt jelenti, hogy pánikolnod kell, vagy hogy egyáltalán ne használj beszállítókat – a modern üzleti élet egyszerűen nem így működik. De azt jelenti, hogy kérdezni, időnként felülvizsgálni, és nyilvántartani, ki fér hozzá mihez, nem paranoia. Ez egyszerűen jó üzlet.

Ezen a héten nyisd meg a beszállítói listádat, és tényleg nézd meg. Számold meg a kapcsolatokat. Nézd meg, vannak-e eszközök, amelyekért még mindig fizetsz, de senki nem használja őket. Lehet, hogy találsz néhány lehetőséget, hogy szigoríts a dolgokon – és miközben ezt csinálod, talán még pénzt is megtakarítasz.

A biztonsági lánc hosszabb, mint gondolnád. Ideje ellenőrizni azokat a láncszemeket.

Címkék: ['third-party risk', 'vendor security', 'cybersecurity', 'data protection', 'business security', 'supply chain security', 'risk management', 'online privacy', 'security best practices']