Jak zarządzać ryzykiem związanym z osobami trzecimi w świecie naruszeń

Ryzyko związane z osobami trzecimi jest nieuniknione w relacjach z dostawcami. Bez niezawodnego planu zarządzania ryzykiem (TPRM) przez strony trzecie niemożliwe jest wdrożenie dostawców bez narażania organizacji na zagrożenia cybernetyczne.

Naruszenie danych Target w 2013 r. jest ważnym przykładem tego, jak mały dostawca może ujawnić dane dużej organizacji. To, co zaczęło się od podwykonawcy HVAC, zakończyło się ujawnieniem ponad 40 milionów klientów.

Obecnie każda organizacja stara się zbudować skuteczne ramy zarządzania ryzykiem stron trzecich (TPRM), ale tylko 16% twierdzi, że może skutecznie ograniczyć ryzyko cyfrowe spowodowane relacjami z dostawcami.

Czytaj dalej, aby dowiedzieć się, jak skutecznie zarządzać ryzykiem związanym z firmami zewnętrznymi, aby móc bez obaw wdrażać nowych dostawców.

Dlaczego zarządzanie ryzykiem związanym z osobami trzecimi jest ważne?

Ostatecznie to zarząd organizacji i kierownictwo wyższego szczebla są odpowiedzialne za zarządzanie relacjami z osobami trzecimi. Identyfikacja i kontrola powiązanych ryzyk powinna być prowadzona zgodnie z tymi samymi standardami, co działania, które były obsługiwane z wewnątrz organizacji.

Niestety, nie jest to status quo pomimo licznych zagrożeń, które wynikają z relacji z osobami trzecimi w całym cyklu życia dostawcy. Tak, pewne ryzyko wynika z samej działalności podstawowej i istniałoby niezależnie od outsourcingu.

Pojawiają się jednak inne potencjalne zagrożenia, które są zwiększane przez zaangażowanie osoby trzeciej. Brak zarządzania tym ryzykiem może narazić organizacje na działania regulacyjne, finansowe, spory sądowe, utratę reputacji i może osłabić zdolność organizacji do pozyskiwania nowych lub obsługi istniejących klientów. Dlatego tak ważne jest zarządzanie ryzykiem ze strony osób trzecich.

Jakie są najczęstsze zagrożenia wprowadzane przez strony trzecie?

Nie wszystkie z poniższych zagrożeń mają zastosowanie do każdej relacji z osobą trzecią, ani nie jest to lista wyczerpująca. To powiedziawszy, większość relacji biznesowych z osobami trzecimi wprowadzi pewną kombinację poniższych:

Ryzyko związane z bezpieczeństwem: Ryzyko ujawnienia lub straty wynikające z cyberataków, naruszenia bezpieczeństwa lub innego incydentu związanego z bezpieczeństwem. Ryzyko to jest często ograniczane poprzez przeprowadzenie analizy due diligence przed dołączeniem nowych dostawców i ciągłe monitorowanie cyklu życia dostawcy.
Ryzyko operacyjne: Ryzyko, że strona trzecia spowoduje zakłócenia w działalności biznesowej. Zazwyczaj jest to zarządzane za pomocą umów o gwarantowanym poziomie usług (SLA) zawartych w umowie. W zależności od krytyczności dostawcy możesz zdecydować się na dostawcę kopii zapasowych, aby zapewnić ciągłość działania. Jest to powszechna praktyka w instytucjach finansowych.
Ryzyko prawne, regulacyjne i związane ze zgodnością: ryzyko, że strona trzecia wpłynie na zgodność organizacji z lokalnymi przepisami, regulacjami lub umowami. Jest to szczególnie ważne dla organizacji świadczących usługi finansowe, opieki zdrowotnej i rządowych, a także ich partnerów biznesowych.
Ryzyko utraty reputacji: Ryzyko wynikające z negatywnej opinii publicznej spowodowanej przez stronę trzecią. Niezadowoleni klienci, nieodpowiednie interakcje i kiepskie rekomendacje to tylko wierzchołek góry lodowej. Najbardziej szkodliwymi zdarzeniami są naruszenia danych osób trzecich wynikające ze słabych kontroli bezpieczeństwa.
Ryzyko finansowe: Ryzyko, że strona trzecia będzie miała szkodliwy wpływ na sukces finansowy Twojej organizacji. Na przykład Twoja organizacja może nie być w stanie sprzedać nowego produktu z powodu złego zarządzania łańcuchem dostaw.
Ryzyko strategiczne: Ryzyko, że organizacja nie osiągnie swoich celów biznesowych z powodu dostawcy zewnętrznego.

Dowiedz się, jak zmniejszyć wpływ naruszeń bezpieczeństwa przez osoby trzecie.

Ograniczanie zagrożeń związanych z podszywaniem się pod wiadomości e-mail i wyłudzaniem informacji

Phishing jest powszechną i skuteczną formą socjotechniki, w szczególności spear phishing połączony z podszywaniem się pod pocztę elektroniczną.

Phishing ma miejsce, gdy atakujący próbuje uzyskać nieautoryzowany dostęp do poufnych danych lub danych logowania, nakłaniając ofiarę do podania ich za pośrednictwem poczty elektronicznej, telefonu lub wiadomości tekstowej.

Spear phishing ma miejsce, gdy te próby są wymierzone w konkretną osobę.

Jedną z najbardziej udanych form phishingu jest spear phishing w połączeniu z podszywaniem się pod pocztę e-mail.

Podszywanie się pod pocztę elektroniczną ma miejsce, gdy atakujący wykorzystuje słabe zabezpieczenia poczty e-mail i fałszuje adres nadawcy, aby wyglądało na to, że wiadomość e-mail pochodzi od zaufanej strony.

Szczególnie narażeni są sprzedawcy, którzy mają nieodpowiednie ustawienia SPF, DKIM i DMARC.

Wyobraź sobie, że masz dostawcę, który ma dostęp do Twojego CRM i ma słabe zabezpieczenia poczty e-mail.

Osoba atakująca może podszyć się pod swoją domenę, wysyłając wiadomość e-mail do pracowników z prośbą o utworzenie nowego konta w CRM. Twój pracownik zgadza się, myśląc, że w rzeczywistości jest dostawcą, a to skutkuje ujawnieniem danych osobowych (PII) Twoich klientów.

Najlepszym sposobem, aby temu zapobiec, jest zapobieżenie tego typu atakom, jest upewnienie się, że wiadomość e-mail nigdy nie dotrze do skrzynki odbiorczej ofiary.

Aby tak się stało, musisz być w stanie uwierzytelnić e-maile swoich dostawców w różnych źródłach, aby upewnić się, że pochodzą one od tych, za których się podają.

Trzy najpopularniejsze metody uwierzytelniania wiadomości e-mail to:

Sender Policy Framework (SPF): SPF weryfikuje, czy wiadomość e-mail pochodzi z serwera zaufanego przez domenę nadawcy. Sam SPF może uwierzytelnić tylko źródło wiadomości, a nie oryginalnego autora. Nic nie stoi na przeszkodzie, aby atakujący założył własną skrzynkę pocztową i domenę z rekordem SPF, który upoważnia adres IP atakującego do wysłania wiadomości e-mail w imieniu tej domeny.
DomainKeys Identified Mail (DKIM): DKIM weryfikuje, czy wiadomość e-mail pochodzi z organizacji nadawcy. Prawidłowy podpis DKIM weryfikuje jedynie, czy podpis DKIM został utworzony przez organizację nadawcy. Nie oznacza to, że wiadomość e-mail nie jest sfałszowana. Osoba atakująca może łatwo utworzyć prawidłowy podpis DKIM dla domeny, którą kontroluje, jednocześnie podszywając się pod domenę.
Domain-based Message Authentication, Reporting & Conformance (DMARC): DMARC określa sposób obsługi wiadomości e-mail z walidacją SPF i DKIM. W połączeniu z SPF i DKIM, DMARC pozwala uwierzytelnić, że wiadomość e-mail jest wiarygodna, ponieważ SPF sprawdza, czy wiadomość e-mail została wysłana z zaufanego źródła, a DKIM weryfikuje, że pochodzi z organizacji nadawcy.

Wszystkie te mechanizmy opierają się na działaniu DNS, co oznacza, że należy również sprawdzić, czy dostawcy mają włączone DNSSEC, aby zapobiec spoofingowi DNS, znanemu również jako zatruwanie pamięci podręcznej DNS.

Ograniczanie ryzyka związanego z ujawnianiem danych i ryzykiem typu man-in-the-middle

Witryna internetowa dostawcy jest często dobrą reprezentacją jego ogólnego stanu bezpieczeństwa.

Niezaszyfrowane strony internetowe i te, które nie mają odpowiedniej konfiguracji SSL, mogą spowodować wyciek danych klientów lub przechwycenie ich w wyniku ataku typu man-in-the-middle.

Co więcej, serwery internetowe z podatnym na ataki oprogramowaniem lub kodem wskazują na nieskuteczne procesy hartowania i konserwacji serwerów.

Zalecamy przyjrzenie się następującym, niezależnie weryfikowalnym atrybutom witryny internetowej dostawcy:

Szczegóły szyfrowania SSL: w tym informacje o tym, czy protokół SSL jest włączony, egzekwowany i obejmuje całą witrynę. Może to również obejmować zestaw szyfrów, siłę szyfrowania i datę wygaśnięcia.
Typ i wersja oprogramowania: Bez zaciemniania anonimowa osoba w Internecie może dowiedzieć się, jakie oprogramowanie jest uruchomione na stronie internetowej, w tym w jakiej wersji. Dzięki temu mogą skanować w poszukiwaniu znanych luk w zabezpieczeniach, takich jak te wymienione w CVE, i sondować potencjalne wektory ataku.
Nagłówki serwerów: Wiele serwerów sieci Web anonsuje informacje o sobie w Internecie. Podobnie jak w przypadku oprogramowania, brak zasłonięcia tych nagłówków może ujawnić poufne informacje.
Ustawienia plików cookie: Nawet sposób, w jaki witryna obsługuje pliki cookie, może wykazywać oznaki ogólnego bezpieczeństwa danych. Zezwolenie plikom cookie na przesyłanie przez nieszyfrowane połączenia może prowadzić do ujawnienia poświadczeń i tokenów uwierzytelniających. Dodatkowo, brak oznaczenia plików cookie jako HttpOnly pozwala na ich wykorzystanie przez skrypty po stronie klienta, które mogą być następnie wykorzystane do podszywania się pod użytkownika na stronie internetowej.

Te skomplikowane szczegóły bezpieczeństwa prawdopodobnie zostaną przeoczone przez dostawców. Jest to niepokojąca możliwość, biorąc pod uwagę poziom dostępu do poufnych danych, który jest powszechnie wymagany w relacjach z osobami trzecimi.

Ograniczanie ryzyka związanego z otwartymi portami

Zasada najmniejszych uprawnień sugerowałaby, że dostawca powinien mieć jak najmniej portów otwartych dla Internetu, aby zminimalizować potencjalną powierzchnię ataku.

W przypadku serwera WWW typowe są porty 80 i 443, jednak gdy obce porty pozostają otwarte, mogą pojawić się liczne zagrożenia, w tym ransomware za pośrednictwem robaków, takich jak WannaCry i Petya, które wykorzystywały lukę EternalBlue w portach SMB firmy Microsoft (135-139, 445).

Inne niebezpieczne porty, na które należy zwrócić uwagę, to:

Telnet (23): Otwarty port Telnet zwykle oznacza aktywny serwer Telnet. Problem polega na tym, że telnet jest bardzo niebezpieczny i nigdy nie powinien być używany w przedsiębiorstwie.
FTP (21): FTP jest nieszyfrowanym protokołem przesyłania plików, co oznacza, że informacje przekazywane przez niego są podatne na ataki typu man-in-the-middle. Obecnie istnieje SFTP i wiele innych opcji, które mogą go zastąpić.
MSSQL (1433, 1434): Bazy danych nigdy nie powinny być udostępniane bezpośrednio w Internecie. Wszystkie manipulacje bazami danych muszą odbywać się za pośrednictwem starannie kontrolowanych front-endów. Bezpośredni dostęp do bazy danych spoza sieci dostawcy powinien wymagać połączenia VPN.
MySQL (3306): Uwidocznione bazy danych mogą być błędnie skonfigurowane, aby umożliwić anonimowy dostęp do wszystkich zawartych w nich danych. Niezależnie od tego, czy jest to system Linux, czy Windows, te porty bazy danych powinny być niedozwolone w Internecie.
SSH (22): SSH jest szyfrowanym protokołem i są chwile, kiedy właściwe jest ujawnienie Internetu, ale w większości przypadków powinno być ograniczone do serwerów bram używanych przez uwierzytelnionych użytkowników do przeskakiwania do innego systemu w sieci. Uwidocznienie portów administracji zdalnej w Internecie może prowadzić do naruszenia bezpieczeństwa systemu w przypadku słabych, pustych lub domyślnych haseł, nieudanych zestawów uprawnień lub luk w oprogramowaniu.
LDAP/AD (389): Jeśli informacje z katalogu są ujawniane w Internecie, powinny być przekazywane przez szyfrowane połączenie (636), ale zazwyczaj nie są w ogóle ujawniane w Internecie. Bez starannego rozważenia może to doprowadzić do masowego wycieku struktury korporacyjnej, nazw kont użytkowników i innych informacji katalogowych.

Przynajmniej otwarte lub niebezpieczne porty są czymś, o co Twój zespół ds. ryzyka dostawcy powinien zapytać dostawcę.

Bez dowodów empirycznych pozostawiasz to słowu swoich dostawców, co jest kiepskim sposobem mierzenia ryzyka nowych i istniejących dostawców, którzy są zaangażowani w przesyłanie poufnych informacji przez Internet.

Przeczytaj nasz pełny post na temat otwartych portów tutaj.

Jak mierzyć ryzyko związane z osobami trzecimi za pomocą ocen bezpieczeństwa

Żaden z tych czynników sam w sobie nie mówi wiele o produkcie, ale po zsumowaniu mogą dostarczyć kontekstu na temat tego, jak ważne jest bezpieczeństwo dla dostawcy.

Oceny bezpieczeństwa uwzględniają te dane i określają je ilościowo, zapewniając wynik w postaci oceny literowej lub liczbowej.

Wynik ten można wykorzystać do porównania jednego dostawcy z drugim, pomocy w podejmowaniu decyzji i przyspieszenia procesu należytej staranności.

Pomyśl o ocenach zabezpieczeń jako o opartej na danych, obiektywnej i dynamicznej miarze stanu bezpieczeństwa organizacji.

Oceny bezpieczeństwa zapewniają członkom zespołu technicznego szczegółowe informacje na temat zagrożeń, jakie stwarza każdy dostawca, jednocześnie zapewniając interesariuszom nietechnicznym zrozumiałą dla nich ocenę.

Ponadto wypełniają luki pozostawione w tradycyjnych metodach oceny ryzyka przez strony trzecie, takich jak testy penetracyjne, wizyty na miejscu i kwestionariusze bezpieczeństwa. Metody te są nie tylko niezwykle czasochłonne, ale oferują jedynie ocenę profilu ryzyka dostawcy w określonym momencie.

Są to duże luki, które musiały zostać wypełnione w tradycyjnych programach zarządzania ryzykiem stron trzecich.

Tak jak ratingi kredytowe eliminują subiektywizm i ocenę ryzyka kredytowego w określonym momencie, zapewniając niezależną, obiektywną i ilościową ocenę zdolności kredytowej, tak ratingi bezpieczeństwa robią to samo w przypadku ryzyka związanego z cyberbezpieczeństwem.

Prawdziwą zaletą ocen bezpieczeństwa w porównaniu z tradycyjnymi procesami zarządzania ryzykiem przez strony trzecie jest to, że są one generowane automatycznie i często aktualizowane.

Tak długo, jak osoba trzecia posiada Twoje dane, powinny one być oceniane. Jeśli pracujesz w branży usług finansowych, prawdopodobnie jest to wymóg prawny.

Oceny powinny być kontynuowane przez cały okres relacji z dostawcą, aby upewnić się, że oczekiwania dotyczące ryzyka nie zostaną źle spełnione, gdy po wstępnych ocenach pojawią się nowe wektory ataku.

UpGuard to jedna z najpopularniejszych platform oceny bezpieczeństwa. Nasze oceny wygenerowaliśmy za pomocą zastrzeżonych algorytmów, które pobierają i analizują zaufane źródła zagrożeń komercyjnych i open source, a także nieinwazyjnych metod gromadzenia danych w celu ilościowej oceny ryzyka związanego z dostawcami.

Nasze oceny bezpieczeństwa mieszczą się w zakresie od 0 do 950 i składają się ze średniej ważonej oceny ryzyka wszystkich domen bazowych Twojego dostawcy, a także ocen ich dostawców.

W szczególności oceny bezpieczeństwa UpGuard mogą pomóc w zrozumieniu kontroli bezpieczeństwa dostawcy (lub jej braku), co pozwoli Ci skupić się w pierwszej kolejności na najwyższych zagrożeniach.

Ponadto możesz wymagać, aby dostawca spełniał określone środki kontroli technicznej w celu obsługi Twoich danych. Na przykład możesz potrzebować:

Ochrona poczty e-mail: Wymagaj, aby dostawcy wdrożyli wystarczające środki kontroli w celu ograniczenia ryzyka podszywania się pod wiadomości e-mail i wyłudzania informacji
Szyfrowanie witryn internetowych: Wymagaj od dostawców stosowania najlepszych praktyk w zakresie protokołu SSL i szyfrowania, aby zapobiec atakom typu man-in-the-middle
Zarządzanie portami: Wymagaj od dostawców, aby nie otwierali określonych portów, zwłaszcza tych przeznaczonych do baz danych i transferów plików.

Korzystając z UpGuard Vendor Risk, będziesz w stanie szybko zobaczyć, których elementów sterujących brakuje, i niezależnie zweryfikować, czy zostały one wdrożone, zanim dołączysz dostawcę.

Nie zapomnij o kwestionariuszach dla sprzedawców

Oprócz monitorowania zewnętrznie obserwowalnych środków kontroli bezpieczeństwa ważne jest, aby zapytać dostawców o ich wewnętrzne praktyki i procedury obsługi danych.

Dobry szablon kwestionariusza oceny ryzyka dostawcy może pomóc w usprawnieniu wykrywania zagrożeń. Oto kilka przykładów, które możesz uwzględnić:

Czy przechowujecie dane w chmurze? Jeśli tak, jakie kroki należy podjąć, aby chronić te dane?
Ile kopii danych będzie przechowywanych przez dostawcę? Czy wszystkie z nich będą bezpieczne?
Czy kopie danych będą przechowywane na laptopach lub innych stacjach roboczych i urządzeniach mobilnych?
Czy dane będą kiedykolwiek przesyłane przez nieszyfrowane połączenie?
W jaki sposób segregowany jest dostęp do danych klientów dla pracowników dostawcy?

To dopiero początek, pobierz nasz bezpłatny szablon kwestionariusza oceny ryzyka tutaj lub przeczytaj nasz przewodnik po najlepszych kwestionariuszach dla dostawców.