Co to jest naruszenie zabezpieczeń przez osoby trzecie? Definicja i wskazówki dotyczące zmniejszania ryzyka

Naruszenie danych przez osobę trzecią odnosi się do naruszenia danych, do którego doszło za pośrednictwem firmy zewnętrznej. W przypadku naruszenia danych przez osobę trzecią system sprzedawcy lub dostawcy został naruszony i wykorzystany do kradzieży danych należących do Ciebie.

Osoba trzecia może być zdefiniowana jako organizacja, z którą organizacja nawiązała relację biznesową w celu dostarczania towarów, dostępu lub usług na użytek użytkownika. Krytyczne strony trzecie to firmy, które wymagają dostępu do poufnych danych w celu świadczenia tej usługi, co zwiększa powierzchnię ataku firmy i może narazić ją na ekstremalne ryzyko, jeśli dostawca zostanie naruszony lub zaatakowany.

Ważne jest, aby przewidywać i przygotowywać się na naruszenia danych przez osoby trzecie, ponieważ prawie wszystkie nowoczesne firmy działają w łańcuchu dostaw. Firmy zlecają outsourcing, aby jak najlepiej wykorzystać wydajność oraz zapewnić infrastrukturę i usługi IT, które zapewniają ich ciągłość działania. Ta konieczność zwiększa powierzchnie ataku i zwiększa ryzyko cybernetyczne.

Firmy muszą patrzeć poza "cztery ściany swojego przedsiębiorstwa". "W związku z outsourcingiem i rosnącym ryzykiem związanym z cyfryzacją i wzajemnymi połączeniami, firmy muszą rozważyć swój ekosystem biznesowy w celu ochrony wrażliwych danych przed cyberatakami i wyciekami danych.

Dowiedz się, jak UpGuard usprawnia zarządzanie ryzykiem dostawców >

Wyzwania związane z zarządzaniem ryzykiem przez strony trzecie

W 2022 r. stwierdzono, że co najmniej jedna strona trzecia była zaangażowana w około 20% wszystkich naruszeń danych. Co więcej, odkryto, że wpływ finansowy tych naruszeń bezpieczeństwa jest większy niż w przypadku zwykłego naruszenia, biorąc pod uwagę koszty utraty reputacji, zakłóceń w działalności i wartości cen akcji.

Poważnym wyzwaniem stojącym przed dostawcami zewnętrznymi jest to, że są oni masowymi celami hakerów. Zewnętrzni dostawcy usług zazwyczaj przetwarzają i przechowują dane klientów dla dużej liczby klientów. Dane te mogą obejmować dane finansowe, informacje o karcie kredytowej i numery ubezpieczenia społecznego.

Zarządzanie ryzykiem przez strony trzecie (TPRM) może być trudne, ponieważ uzyskanie wglądu w przepływ pracy i operacje innej firmy może być trudne. Zewnętrzni dostawcy usług nie zawsze muszą podlegać tym samym standardom zgodności, co firma, która z nimi współpracuje. Korzystając z usług specjalistycznej firmy zajmującej się cyberbezpieczeństwem, firma może jednak przeprowadzić wstępną ocenę, aby uzyskać informacje na temat stanu bezpieczeństwa potencjalnego partnera bez konieczności uzyskania jego zgody lub działań ze strony dostawcy.

Jest to przydatne, ponieważ czasami firmy upierają się, że mają doskonałe standardy bezpieczeństwa, podczas gdy tak nie jest. Bez pełnej przejrzystości w zakresie kontroli bezpieczeństwa, Twoja firma będzie musiała przeprowadzić pewne monitorowanie lub polegać na wiedzy specjalistycznej zewnętrznego audytora ryzyka, aby upewnić się, że potencjalni partnerzy mogą bezpiecznie zintegrować się z Twoim ekosystemem biznesowym.

Firma zajmująca się cyberbezpieczeństwem może przeprowadzić dokładną, praktyczną ocenę strony trzeciej bez konieczności skanowania i oceny luk w zabezpieczeniach, testów penetracyjnych i tradycyjnych kwestionariuszy bezpieczeństwa.

Ryzyko związane z osobami trzecimi to obszar, w którym firmy zewnętrzne mają ograniczoną kontrolę, dlatego program zarządzania ryzykiem stron trzecich jest niezbędny do zmniejszenia ryzyka cybernetycznego stron trzecich.

Jak zmniejszyć ryzyko naruszenia bezpieczeństwa przez osoby trzecie

Aby zapobiec prawdopodobieństwu naruszeń ze strony osób trzecich, firmy muszą zacząć podejmować kroki w celu zmniejszenia ryzyka związanego z osobami trzecimi. Oto kilka najlepszych wskazówek dla firm, które chcą obniżyć ryzyko potencjalnego naruszenia lub ataku ze strony osób trzecich:

Tworzenie programów zarządzania ryzykiem stron trzecich (TPRM)

Podobnie jak dążenie do silnej kultury cyberbezpieczeństwa, stworzenie programu zarządzania ryzykiem przez strony trzecie (TPRM) jest wysoce skuteczną metodą zmniejszania ryzyka naruszenia bezpieczeństwa przez osoby trzecie. Procesy TPRM obejmują wszystko, od kompleksowego zarządzania, w tym zmniejszanie obszaru ataków, zarządzanie zgodnością, analizę kosztów i wydajność zabezpieczeń.

Raport Ponemon zatytułowany "Ryzyko danych w ekosystemie stron trzecich" wskazuje, że ponad połowa respondentów badania w organizacjach o wysokiej wydajności zaangażowała się w zarządzanie ryzykiem przez strony trzecie na poziomie zarządu i kadry kierowniczej, co oznacza, że bezpieczeństwo stron trzecich musi być priorytetem dla liderów firm i biznesu, a nie tylko dla zespołu IT.

Firmy, które doceniają znaczenie ryzyka osób trzecich, pamiętają, aby wziąć pod uwagę cały ekosystem biznesowy. Pomaga im to przygotować się na potencjalny wpływ cyberataków na ich partnerów biznesowych i łańcuchy dostaw.

Ustanowienie minimalnych środków kontroli bezpieczeństwa dla osób trzecich

Firmy muszą ustanowić zestaw minimalnych środków kontroli bezpieczeństwa cybernetycznego dla swoich zewnętrznych sprzedawców i dostawców. Ustalenie wymagań dotyczących pożądanych standardów lub ram bezpieczeństwa cybernetycznego może znacznie zmniejszyć ryzyko ewentualnego naruszenia przez osoby trzecie.

W przypadku dostawców, którzy nie spełniają minimalnych standardów bezpieczeństwa, firmy mogą współpracować z nimi w celu poprawy ochrony przed cyberbezpieczeństwem lub przejść do bezpieczniejszych stron trzecich o niższym ryzyku.

Większość firm posiada systemy do wdrażania dostawców, ale jeśli chodzi o zarządzanie ryzykiem związanym ze stronami trzecimi, rozsądnie jest opracować procesy zwalniania dostawców zewnętrznych. Chociaż może to poprawić stan zabezpieczeń i zmniejszyć narażenie, firma musi być w stanie zrobić to w sposób, który nie powoduje kosztownych zakłóceń w działalności.

Zbuduj odpowiedzialność stron trzecich

Gdy firmy ustalą swoje standardy bezpieczeństwa cybernetycznego dla partnerów, muszą pociągnąć do odpowiedzialności strony trzecie. Oznacza to nałożenie na stronę trzecią odpowiedzialności za utrzymanie ustalonych minimalnych środków bezpieczeństwa i stosowanie kluczowych wskaźników bezpieczeństwa na mocy umowy w ramach procesu corocznego przeglądu.

Należy pamiętać, że strony trzecie powinny być zobowiązane do utrzymania tych minimalnych standardów bezpieczeństwa cybernetycznego. Chociaż istnieją cele do osiągnięcia, stale zmieniający się krajobraz zagrożeń cybernetycznych sprawia, że cyberbezpieczeństwo wymaga ciągłego audytu, monitorowania, oceny i dostosowań, aby zapewnić ciągłą minimalizację ryzyka związanego z dostawcami i ochronę informacji o klientach.

Mając to na uwadze, firmy powinny zawrzeć w swoich umowach z partnerami biznesowymi klauzule, które wymagają od nich rozwiązania problemów związanych z bezpieczeństwem w określonym czasie.

Przeprowadzanie ocen należytej staranności dostawców

Czas na ocenę zewnętrznego dostawcy lub dostawcy rozwiązań przypada na okres zamówień i oceny. Przeprowadzenie analizy due diligence dostawcy jest niezbędne, aby zminimalizować ryzyko, że partner narazi na szwank Twoją firmę i klientów oraz zidentyfikować największe ryzyka i obszary potencjalnego naruszenia bezpieczeństwa.

Ocena ryzyka określa najbardziej prawdopodobne zagrożenia i te, które mogą wyrządzić najwięcej szkód. Dzięki tym informacjom firmy mogą podejmować lepsze decyzje dotyczące rozwiązywania problemów i ochrony poufnych informacji. Jeśli okaże się, że potencjalny dostawca ma zbyt wiele krytycznych zagrożeń, które mogą poważnie wpłynąć na firmę, najlepszym rozwiązaniem może być unikanie tego dostawcy lub intensywna współpraca z nim w celu zaradzenia tym zagrożeniom.

Korzystanie z ocen zabezpieczeń

Przydatne jest posiadanie ustandaryzowanego systemu oceny stron trzecich. Standardy bezpieczeństwa są pomocne, ponieważ pozwalają asesorowi porównać potencjalnych partnerów i zrozumieć, w jaki sposób każdy z nich mógłby potencjalnie wpłynąć na stan bezpieczeństwa firmy.

Dzięki ocenom bezpieczeństwa dyrektor ds. bezpieczeństwa informacji (CISO) może szybko uzyskać przegląd stanu bezpieczeństwa strony trzeciej i zidentyfikować największe zagrożenia, na które każda firma zewnętrzna jest najbardziej podatna, oraz to, co zrobiła, aby zaradzić swoim lukom w zabezpieczeniach. Ma to kluczowe znaczenie, ponieważ problemy te stanowią ryzyko dla ich łańcucha dostaw.

Oceny bezpieczeństwa zapewniają jasny sposób wyjaśniania ryzyka związanego z cyberbezpieczeństwem interesariuszom i decydentom niezwiązanym z kwestiami technicznymi, w tym kadrze zarządzającej, która coraz bardziej angażuje się w cyberbezpieczeństwo, uznając je za problem operacyjny, a nie problem IT.

Co więcej, dostępne, udokumentowane i przejrzyste standardy bezpieczeństwa sprawiają, że wszyscy są na bieżąco. Firmy, które chcą z Tobą współpracować, wiedzą, co muszą zrobić, aby zarobić na Twój biznes i utrzymać Twoje zaufanie. Podobnie, firmy, które prezentują swoje standardy bezpieczeństwa, wyraźnie chcą chronić swój ekosystem biznesowy przed zakłóceniami i naruszeniami danych przez cyberprzestępców.

Dowiedz się więcej o systemie ocen bezpieczeństwa UpGuard >

Prowadź dokładny spis dostawców

Wiele firm ma problemy ze śledzeniem i monitorowaniem swoich dostawców zewnętrznych, co sprawia, że są one bardziej narażone na ryzyko dostawców. Są mniej zdolni do obrony, jeśli nie wiedzą, skąd pochodzi ich ryzyko.

Chociaż ważne jest, aby wyznaczyć granicę i upewnić się, że firma dochowa należytej staranności w przyszłości, ważne jest również, aby zapanować nad istniejącymi dostawcami. Może to być stosunkowo proste dla małej firmy, ale może być znacznie bardziej skomplikowane dla organizacji na poziomie przedsiębiorstwa.

Ryzyko, na jakie narażeni są sprzedawcy i na jakie są narażeni, jest zmienne. Pojawiające się zagrożenia i zmiany w operacjach biznesowych oznaczają, że stan zabezpieczeń nie jest stały. W związku z tym wymagany jest system ciągłego monitorowania ryzyka stron trzecich w czasie, aby upewnić się, że dostawcy pozostają w akceptowalnych parametrach, jeśli chodzi o możliwość naruszenia danych przez osoby trzecie. Inspekcja to tylko migawka stanu bezpieczeństwa organizacji.

Niemniej jednak, a raczej z powodu tych wyzwań, tworzenie i utrzymywanie spisu stron trzecich, ich postaw bezpieczeństwa i profili ryzyka jest niezbędne do ochrony firmy, jej pracowników oraz klientów i kontrahentów.

Pomiar ryzyka czwartej strony

Rozszerzenie ryzyka stron trzecich leży po stronie dostawców dostawców, co jest inaczej znane jako ryzyko strony czwartej. Czwarte strony są często nieznane firmom, co może stwarzać ryzyko naruszenia, jeśli są ważną częścią łańcucha dostaw dla dostawcy zewnętrznego. Jeśli czwarta strona ma dostęp nawet do niewielkiej części krytycznych danych, firmy te muszą przestrzegać tych samych minimalnych wymogów bezpieczeństwa, których przestrzegają strony trzecie.

Dowiedz się więcej o zarządzaniu ryzykiem przez czwartą stronę (FPRM) >

Sugestie dotyczące wymagań bezpieczeństwa innych firm

Pomocne jest korzystanie z ustalonych ram bezpieczeństwa cybernetycznego lub korzystanie z ram bezpieczeństwa cybernetycznego w celu informowania o zasadach bezpieczeństwa informacji dla stron trzecich. Jest to doskonały sposób na uczynienie wymagań przejrzystymi i wyjaśnienie, dlaczego są one konieczne.

Na przykład NIST jest doskonałym przykładem ram bezpieczeństwa cybernetycznego. Cieszący się zaufaniem firm na całym świecie, NIST jest elastyczny i można go dostosować do wielu sektorów i firm o różnej wielkości. Wśród środków kontroli bezpieczeństwa wymaganych przez NIST, następujące są kluczowe dla każdej strony trzeciej, z którą firma rozważa partnerstwo.

Pobierz nasz bezpłatny przewodnik po zgodności z NIST >

Kontrola dostępu

Kontrola dostępu jest głównym składnikiem struktury NIST, pomagającym firmom określić, kto ma dostęp do poufnych danych. Ograniczając dostęp do poufnych informacji, firmy mogą radykalnie zmniejszyć ryzyko wycieków danych i naruszeń danych, przenosząc te korzyści na swoich partnerów biznesowych. Nie każdy potrzebuje dostępu do krytycznych lub wrażliwych danych. System, który zapewnia i monitoruje uprzywilejowany dostęp, może pomóc w utrzymaniu odpowiedzialności firm i ograniczeniu ich wektorów ataków.

Identyfikacja i uwierzytelnianie

Dla tych, którzy mają dostęp do cennych danych, systemy identyfikacji i uwierzytelniania są niezbędne do zminimalizowania zagrożeń cybernetycznych.

Firmom zarządzającym ryzykiem związanym z osobami trzecimi zaleca się, aby nalegały, aby ich strony korzystały z solidnych systemów uwierzytelniania, takich jak uwierzytelnianie wieloskładnikowe (MFA). Uwierzytelnianie wieloskładnikowe może znacznie zmniejszyć zdolność hakerów do uzyskiwania dostępu, modyfikowania i/lub kradzieży cennych danych.

Odpowiedzialność i audyt

Aby egzekwować minimalne standardy bezpieczeństwa cybernetycznego, strony trzecie mogą być zmuszone do wyrażenia zgody na system audytu, regularnie udowadniając swoim partnerom lub innym zainteresowanym stronom, że przestrzegają minimalnych realnych standardów bezpieczeństwa cybernetycznego w celu ochrony danych.

Monitoring

Ciągłe monitorowanie bezpieczeństwa może zapewnić firmom dokładny wgląd w czasie rzeczywistym w luki w zabezpieczeniach stron trzecich. Jest to dobry pomysł, ponieważ chociaż tradycyjne audyty są przydatne, zapewniają statyczny obraz stale zmieniającej się sytuacji.

Krajobraz cyberzagrożeń zmienia się z chwili na chwilę, a cyberprzestępcy szukają nowych luk w zabezpieczeniach i opracowują nowe metody ich wykorzystania. Zmieniają się też firmy. Ich zasady ewoluują, personel i dostawcy mogą się zmieniać, a także mogą wprowadzać nowe technologie przepływu pracy. Dodanie pojedynczego urządzenia z niezatwierdzonym oprogramowaniem może obniżyć ocenę bezpieczeństwa firmy.

Z tych powodów niezbędne jest ciągłe monitorowanie, zwłaszcza biorąc pod uwagę złożoność ryzyka związanego z osobami trzecimi i czwartymi w całym łańcuchu dostaw. Firmy skorzystają na tym, że będą na bieżąco informowane o zmianach w poziomach zagrożeń swoich partnerów biznesowych i ich zdolności do zarządzania ryzykiem cybernetycznym.

Reagowanie na incydenty

Zapewnienie, że strony trzecie posiadają plany reagowania na incydenty, powinno być kluczowym elementem każdej strategii zarządzania ryzykiem przez strony trzecie. Dzięki szczegółowemu planowi reagowania na incydenty firma wie, co zrobić w przypadku coraz bardziej prawdopodobnego ataku cybernetycznego lub innych incydentów cybernetycznych.

Plan reagowania na incydenty powinien jasno określać dane kontaktowe i obowiązki zespołu reagowania na incydenty. Niemniej jednak musi być napisany tak, aby każdy mógł postępować zgodnie z instrukcjami.

Przejrzystość i przygotowanie zapewniają, że firma może reagować szybko, profesjonalnie i przy użyciu wystarczających środków bezpieczeństwa, aby ograniczyć szkody, zminimalizować zakłócenia w działalności i zapewnić profesjonalną twarz opinii publicznej, współpracownikom i mediom, które mogą zgłosić incydent, z których wszystkie odgrywają rolę w potencjalnym zakresie utraty reputacji w wyniku naruszenia danych.

Konserwacja

Upewnienie się, że zasady dotyczące ryzyka cybernetycznego i bezpieczeństwa stron trzecich obejmują koncepcję konserwacji, gwarantuje, że strony trzecie spełniają standardy cyberbezpieczeństwa i utrzymują je w czasie.

Ochrona fizyczna

Rozwiązania technologiczne często przyćmiewają fizyczne środki bezpieczeństwa. Ochrona fizyczna jest jednak ważna, ponieważ strony trzecie często mogą wprowadzić skuteczne środki przy stosunkowo niewielkim nakładzie czasu lub kosztów w porównaniu z oprogramowaniem lub sieciowymi rozwiązaniami w zakresie cyberbezpieczeństwa.

Ochrona fizyczna może obejmować zapewnienie, że urządzenia, które przechowują i przetwarzają krytyczne dane, nie są pozostawione bez nadzoru. Może to oznaczać zamknięcie drzwi lub szuflady lub użycie fizycznych identyfikatorów w celu identyfikacji personelu i zapewnienia uprzywilejowanego dostępu do niektórych obszarów budynku.

Osoby trzecie, takie jak te z sektora handlu detalicznego, mogą zwiększyć wykorzystanie kamer i ochroniarzy wokół systemów POS.

Monitoring CCTV wjazdów i parkingów w sklepach stacjonarnych może zwiększyć bezpieczeństwo i możliwość identyfikacji każdego, kto próbował wedrzeć się do bezpiecznego obszaru lub fizycznie ukraść urządzenie. Takie fizyczne środki bezpieczeństwa mogą poprawić oceny bezpieczeństwa firmy i chronić jej klientów i dane klientów.

Świadomość i szkolenia w zakresie cyberbezpieczeństwa

Szkolenia w trakcie procesu onboardingu mogą pomóc firmom w lepszym zarządzaniu ryzykiem cybernetycznym i rozwoju kultury cyberbezpieczeństwa. Niezależnie od tego, czy odbywają się osobiście, czy za pośrednictwem webinariów, trenerzy mogą pomóc pracownikom docenić gesty i techniki, które mogą mieć ogromny wpływ na stan bezpieczeństwa firmy.

Prosta czynność, taka jak pozostawienie imienia i nazwiska klienta oraz numeru telefonu na karteczce samoprzylepnej, może wydawać się nieszkodliwa, ale może stanowić zagrożenie dla bezpieczeństwa informacji i narazić organizację na naruszenie zgodności z przepisami.

Zapewnienie, że każdy pracownik jest świadomy, że jest interesariuszem w zakresie bezpieczeństwa danych, nigdy nie było ważniejsze niż teraz, w erze coraz bardziej rygorystycznych i wymagających przepisów, takich jak ogólne rozporządzenie o ochronie danych (RODO), ustawa o przenośności i odpowiedzialności w ubezpieczeniach zdrowotnych (HIPAA), suplement do federalnego rozporządzenia w sprawie zakupów obronnych (DFARS) oraz certyfikacja modelu dojrzałości cyberbezpieczeństwa (CMMC) dla agencji rządowych i wykonawców obronnych.

Polityki bezpieczeństwa informacji

Doskonałe środki i procedury bezpieczeństwa mogą ucierpieć z powodu niekonsekwentnego stosowania. Na przykład procedury i technologia mogą się różnić w zależności od działu, zwłaszcza w większej organizacji, co prowadzi do luk w zabezpieczeniach, problemów z odpowiedzialnością i problemów ze zgodnością.

Udokumentowane zasady bezpieczeństwa informacji pomagają zapewnić, że każdy pracownik przestrzega tego samego zbioru zasad. Ułatwia to zespołowi ds. zabezpieczeń ochronę integralności sieci i skuteczniejsze zarządzanie całymi powierzchniami ataku.

Ocena ryzyka

Strony trzecie firmy powinny upewnić się, że spełnia ona minimalne wymagania w zakresie cyberbezpieczeństwa i dołożyć należytej staranności, aby poznać jej słabe punkty i zagrożenia cybernetyczne. Oznacza to, że firma może nadać priorytet rozwojowi dojrzałości w zakresie cyberbezpieczeństwa.

Firmy muszą zdać sobie sprawę, że to, co działa dla jednej firmy, niekoniecznie jest skutecznym podejściem dla wszystkich firm. Ze względu na różnice w kulturze, wielkości, sektorze, lokalizacji geograficznej, klienteli, wieku biznesowym, dojrzałości w zakresie cyberbezpieczeństwa, stosunku do ryzyka, umiejętności personelu i wielu innych czynników, wszystkie firmy muszą spojrzeć na zagrożenia cybernetyczne ze swojej unikalnej perspektywy, aby określić, jak zaradzić lukom w zabezpieczeniach i którymi zająć się w pierwszej kolejności.

Zasady, procesy i procedury dotyczące nabywania

Dzięki udokumentowanej polityce przejęć firmy mogą mieć pewność, że gdy wdrażają nowych dostawców lub korzystają z nowej technologii, spotkają się one z aprobatą ich partnerów biznesowych i nie zwiększą ich ekspozycji na ryzyko do niedopuszczalnego poziomu.

Atak na łańcuch dostaw za pośrednictwem dostawcy oprogramowania może być niszczycielski i dalekosiężny, dlatego zabezpieczenie procesu przejęcia może pomóc w zmniejszeniu ryzyka w całym ekosystemie biznesowym.

Oprócz udzielania porad dotyczących zakupu nowego oprogramowania i sprzętu, takie zasady mogą również obejmować wymagania szkoleniowe w celu zapewnienia, że personel może prawidłowo korzystać z nowych systemów bez znacznego zwiększania ryzyka błędnej konfiguracji i wycieku danych.

Przykłady naruszeń ze strony osób trzecich

Wiele z najgorszych na świecie naruszeń ze strony osób trzecich jest związanych z branżą opieki zdrowotnej, ale występuje we wszystkich sektorach, w tym w instytucjach finansowych, agencjach rządowych i infrastrukturze krytycznej.

Zdrowie Trinity (2020 i 2021)

Trinity Health ucierpiało z powodu poważnych naruszeń danych stron trzecich przez dwa kolejne lata w 2020 i 2021 roku.

W 2020 r. dane 3,3 miliona pacjentów zostały naruszone, gdy Blackbaud, dostawca, który zajmował się tworzeniem kopii zapasowej bazy danych dawców Trinity Health, padł ofiarą ataku ransomware.

Podczas gdy Trinity Health zdołało powstrzymać atak, cyberprzestępcy byli w stanie wydobyć poufne dane. Dostawca opieki zdrowotnej zapłacił okup, aby uniknąć sprzedaży lub udostępnienia danych, ale, jak to zawsze bywa w takich sytuacjach, nie ma gwarancji, że pliki te nie pojawią się w ciemnej sieci lub w innym miejscu.

W 2021 roku Trinity Health doznało drugiego poważnego naruszenia danych osób trzecich w wyniku cyberataku na firmę Accellion, która obsługiwała transfery plików.

Zagrożone dane obejmowały poufne informacje i chronione informacje zdrowotne (PHI), w tym:

• Imiona i nazwiska oraz dane kontaktowe
• Daty urodzenia
• Informacje finansowe
• Numery dokumentacji medycznej
• Wyniki testów laboratoryjnych
• Świadczeniodawców
• Leki
• Roszczenia medyczne

Zdrowie Broward (2022)

To naruszenie bezpieczeństwa dotknęło 1,3 miliona pacjentów. Uważa się, że można było temu zapobiec, gdyby zewnętrzny dostawca usług medycznych użył uwierzytelniania wieloskładnikowego (MFA) na zaatakowanym urządzeniu.

Incydent związany z bezpieczeństwem doprowadził do naruszenia bezpieczeństwa danych osobowych, w tym:

• Nazwy i adresy
• Daty urodzenia
• Informacje medyczne
• Informacje o ubezpieczeniu
• Numery praw jazdy

Firmy Morley (2022)

Morley Companies to zewnętrzny dostawca usług, który współpracuje z wieloma firmami, w tym z sektora medycznego. Atak ransomware w lutym 2022 r. naruszył dane ponad pół miliona osób.

W tym przypadku naruszone dane osobowe i chronione informacje zdrowotne obejmowały:

• Nazwy i adresy
• Numery identyfikacyjne klienta
• Daty urodzenia
• Numery ubezpieczenia społecznego
• Informacje o ubezpieczeniu zdrowotnym
• Medyczne informacje diagnostyczne
• Informacje o leczeniu

Mercedes-Benz (2014 - 2017)

Nie tylko firmy z sektora opieki zdrowotnej muszą zarządzać ryzykiem związanym z osobami trzecimi. Wszystkie firmy we wszystkich sektorach muszą zarządzać ryzykiem związanym z dostawcami, aby chronić informacje umożliwiające identyfikację.

W czerwcu 2021 r. firma Mercedez-Benz opublikowała informacje o naruszeniu danych, które trwało w latach 2014-2017 i dotknęło około 1,6 miliona rekordów. Wektorem ataku była platforma pamięci masowej w chmurze należąca do zewnętrznego dostawcy.

Informacje o klientach i potencjalnych nabywcach wyciekły ze stron internetowych, narażając na szwank poufne informacje 1000 osób. Naruszone informacje mogły obejmować:

• Imiona i nazwiska
• Wiadomości e-mail
• Numery telefonów
• Numery praw jazdy
• Informacje o karcie kredytowej
• Daty urodzenia
• Dane dotyczące zakupionych pojazdów

Wiatry słoneczne (2020)

Naruszenie łańcucha dostaw SolarWinds jest kolejnym doskonałym przykładem dalekosiężnego wpływu, jaki cyberprzestępcy mogą osiągnąć za pośrednictwem dostawców zewnętrznych.

Włamanie do SolarWinds dotknęło ponad 18 000 użytkowników oprogramowania. Agencje rządowe dotknięte włamaniem obejmowały:

• Departament Handlu
• Departament Obrony
• Departament Energii
• Departament Bezpieczeństwa Wewnętrznego
• Departament Skarbu

Wpłynęło to również na funkcjonalność wielu dużych firm prywatnych, w tym Microsoft, Intel i Cisco. Incydent związany z cyberbezpieczeństwem wpłynął na bezpieczeństwo narodowe i zainspirował administrację Trumpa do modernizacji krajowych zdolności w zakresie cyberbezpieczeństwa.