Tiekimo grandinės ir trečiųjų šalių rizikos modeliavimas: kodėl jūsų didžiausia kibernetinė rizika gali būti ne jūsų sistemoje

Kibernetinio saugumo diskusijos ilgą laiką buvo orientuotos į vidinę infrastruktūrą: sistemas, naudotojus, pažeidžiamumus. Tačiau pastaraisiais metais vis aiškiau matyti viena tendencija – didžiausios rizikos vis dažniau ateina per trečiąsias šalis.

Tiekimo grandinės kompromitai tampa vis labiau automatizuoti, koordinuoti ir sunkiau pastebimi. Užpuolikai nebesirenka tiesioginio kelio – jie ieško silpniausio tiekimo grandinės taško.

Kodėl tiekimo grandinė tapo patraukliu taikiniu?

Modernios organizacijos veikia per ekosistemas:

• debesijos paslaugų teikėjai,

• IT paslaugų partneriai,

• programinės įrangos gamintojai,

• sistemų integratoriai, konsultantai, valdomų paslaugų teikėjai.

Kiekvienas jų turi techninę arba procesinę prieigą prie jūsų aplinkos.
Užpuolikams tai reiškia viena: nebūtina laužtis į stipriausiai apsaugotą sistemą, jei galima pasinaudoti silpnesniu tiekimo grandinės dalyviu.

Rezultatas – antrinės įtakos efektas. Vienas kompromituotas tiekėjas gali paveikti dešimtis ar šimtus organizacijų vienu metu.

Pagrindinė klaida: „mes jais pasitikime“

Daugelyje organizacijų trečiųjų šalių rizika vis dar valdoma formaliai:

• pasirašyta sutartis,

• įtrauktas punktas apie saugumą,

• užpildyta anketa projekto pradžioje.

Tačiau pasitikėjimas nėra kontrolė.
Ypač kai:

• tiekėjų kibernetinio saugumo brandos lygis labai skirtingas,

• paslaugos keičiasi greičiau nei sutartys,

• reali prieiga dažnai viršija tai, kas aprašyta dokumentuose.

Ką reiškia brandus tiekimo grandinės rizikos valdymas?

Brandžios organizacijos pereina nuo „tiekėjų sąrašo“ prie tiekimo grandinės rizikos modeliavimo.

Tai apima tris esminius praktinius elementus.

1. Tiekėjų kibernetinio saugumo auditas (ne tik „checkbox“)

Ne visi tiekėjai yra vienodai rizikingi.
Pirmas žingsnis – klasifikuoti tiekėjus pagal realų poveikį:

• ar turi prieigą prie informacinių sistemų?

• ar apdoroja jautrius duomenis?

• ar gali paveikti veiklos tęstinumą?

Tik po to prasideda auditas:

• vertinamos ne tik politikos,

• bet ir realios techninės bei organizacinės kontrolės,

• incidentų valdymo gebėjimai,

• pažeidžiamumų ir atnaujinimų valdymas.

Svarbu, kad auditas būtų periodinis, o ne vienkartinis.

2. SLA su kibernetinio saugumo KPI, o ne bendromis frazėmis

Formuluotė „tiekėjas užtikrina kibernetinį saugumą“ nėra reikalavimas.
Brandūs SLA apima matuojamus kibernetinio saugumo KPI, pavyzdžiui:

• incidentų pranešimo laiką,

• kritinių pažeidžiamumų šalinimo terminus,

• prieigos valdymo taisykles,

• saugumo testavimo ir auditų periodiškumą.

Tai leidžia:

• objektyviai vertinti tiekėjų riziką,

• turėti pagrindą sprendimams,

• sumažinti netikėtumų incidento metu.

3. Tiekimo grandinės „atakos kelio“ analizė

Vienas svarbiausių, bet dažnai ignoruojamų žingsnių – atakos kelių analizė.

Klausimas nėra „ar tiekėjas saugus“.
Klausimas – kaip per jį galima pasiekti jūsų organizaciją.

Atakos kelio analizė padeda:

• identifikuoti netiesiogines prieigas,

• suprasti, kaip kompromitas galėtų plisti per sistemas,

• prioritetizuoti rizikas pagal realų poveikį verslui.

Tai keičia požiūrį iš teorinio į operacinį.

Kodėl tai svarbu dabar, o ne „vėliau“?

Reguliacinė aplinka, grėsmės ir technologijos juda viena kryptimi – atsakomybė už tiekimo grandinės rizikas tenka pačiai organizacijai, ne tiekėjui.

Klausimas nebėra:

„ar mūsų tiekėjai atitinka reikalavimus?“

Klausimas yra:

„ar mes suprantame, kaip per juos galime būti paveikti?“

Esminė mintis

Tiekimo grandinės saugumas nėra atskira tema.
Tai – jūsų bendros kibernetinės rizikos dalis.

Organizacijos, kurios:

• audituoja tiekėjus pagal realų poveikį,

• įtvirtina kibernetinio saugumo KPI sutartyse,

• analizuoja atakos kelius,

pereina nuo reaktyvaus incidentų gesinimo prie kontroliuojamos rizikos.

Ir būtent tai tampa konkurenciniu pranašumu.