Μια επιχείρηση μπορεί να προστατεύει σωστά τους δικούς της υπολογιστές και λογαριασμούς, αλλά να εξακολουθεί να εξαρτάται από δεκάδες εξωτερικούς παρόχους: cloud και SaaS υπηρεσίες, λογιστικά συστήματα, MSPs, web developers, προμηθευτές λογισμικού, τηλεπικοινωνιακούς παρόχους και άλλους συνεργάτες.
Αν ένας από αυτούς έχει πρόσβαση σε εταιρικά δεδομένα, λογαριασμούς ή κρίσιμα συστήματα, η ασφάλειά του μπορεί να επηρεάσει και τη δική σας επιχείρηση. Το Third-Party Risk Management (TPRM) οργανώνει τον τρόπο με τον οποίο εντοπίζετε, αξιολογείτε και διαχειρίζεστε αυτούς τους κινδύνους σε όλη τη διάρκεια της συνεργασίας.
Τι είναι το Third-Party Risk Management;
Third-Party Risk Management είναι η διαδικασία διαχείρισης κινδύνων που προκύπτουν από εξωτερικούς οργανισμούς, προϊόντα και υπηρεσίες από τα οποία εξαρτάται μια επιχείρηση.
Στην κυβερνοασφάλεια, το ενδιαφέρον επικεντρώνεται μεταξύ άλλων στο ποια δεδομένα και συστήματα μπορεί να προσπελάσει ένας τρίτος, τι θα συμβεί αν παραβιαστεί, πόσο κρίσιμη είναι η υπηρεσία του και αν υπάρχουν κατάλληλοι μηχανισμοί πρόληψης, εντοπισμού, ενημέρωσης και αποκατάστασης.
Η ευρύτερη έννοια του Cybersecurity Supply Chain Risk Management (C-SCRM) καλύπτει επίσης κινδύνους σε προϊόντα και υπηρεσίες τεχνολογίας σε όλο τον κύκλο ζωής τους. Το NIST Cybersecurity Framework 2.0 Quick-Start Guide για C-SCRM παρέχει πρακτική προσέγγιση για την οργάνωση αυτής της διαδικασίας.
Γιατί ένας προμηθευτής μπορεί να γίνει κίνδυνος για τη δική σας επιχείρηση;
Ο κίνδυνος δεν περιορίζεται στο αν ένας συνεργάτης «είναι ασφαλής». Σημασία έχει κυρίως η σχέση που έχει με τη δική σας υποδομή.
Ένας εξωτερικός πάροχος μπορεί, για παράδειγμα, να:
- διαχειρίζεται εταιρικά ή προσωπικά δεδομένα,
- διαθέτει administrative ή remote access,
- φιλοξενεί κρίσιμη εφαρμογή ή υπηρεσία,
- παρέχει λογισμικό που εγκαθίσταται στο περιβάλλον σας,
- συνδέεται μέσω API ή άλλης integration με εταιρικά συστήματα,
- διατηρεί credentials ή άλλα secrets,
- αποτελεί κρίσιμη εξάρτηση για τη συνέχιση μιας επιχειρησιακής λειτουργίας.
Επομένως, μια παραβίαση ή σοβαρή διακοπή στον τρίτο οργανισμό μπορεί να δημιουργήσει πρόβλημα ακόμη και αν το περιστατικό δεν ξεκίνησε μέσα στη δική σας υποδομή.
Μην αξιολογείτε όλους τους προμηθευτές με τον ίδιο τρόπο
Ένα από τα βασικά λάθη είναι η εφαρμογή του ίδιου ερωτηματολογίου και της ίδιας διαδικασίας σε κάθε συνεργάτη. Ένας προμηθευτής αναλώσιμων γραφείου και ένας cloud provider που αποθηκεύει κρίσιμα εταιρικά δεδομένα δεν δημιουργούν τον ίδιο κυβερνοκίνδυνο.
Ξεκινήστε καταγράφοντας τους τρίτους και ταξινομώντας τους ανάλογα με παράγοντες όπως:
- το είδος και την ευαισθησία των δεδομένων που επεξεργάζονται,
- την πρόσβαση που διαθέτουν σε εταιρικά συστήματα,
- τα privileges που έχουν οι λογαριασμοί τους,
- την κρισιμότητα της υπηρεσίας για τη λειτουργία της επιχείρησης,
- τη δυνατότητα αντικατάστασης του provider,
- την εξάρτηση από συγκεκριμένο προϊόν ή πλατφόρμα,
- τις πιθανές συνέπειες μιας παραβίασης ή μεγάλης διακοπής.
Η προσέγγιση αυτή επιτρέπει στην επιχείρηση να αφιερώνει περισσότερο έλεγχο στους προμηθευτές που δημιουργούν μεγαλύτερη πραγματική έκθεση.
1. Δημιουργήστε inventory προμηθευτών και υπηρεσιών
Το πρώτο βήμα είναι να γνωρίζετε από ποιους τρίτους εξαρτάστε. Ένα πρακτικό inventory μπορεί να καταγράφει τον provider, την υπηρεσία που παρέχει, τον εσωτερικό owner της συνεργασίας, τα δεδομένα που χρησιμοποιούνται και το επίπεδο πρόσβασης.
Μην περιορίζετε την καταγραφή μόνο στις μεγάλες συμβάσεις. Μια μικρή SaaS εφαρμογή που ενεργοποιήθηκε από ένα τμήμα μπορεί να έχει πρόσβαση σε σημαντικές πληροφορίες ή να είναι συνδεδεμένη με άλλες εταιρικές υπηρεσίες.
2. Ελέγξτε τι πρόσβαση χρειάζεται πραγματικά ο τρίτος
Η πρόσβαση ενός προμηθευτή πρέπει να ακολουθεί την αρχή του least privilege: μόνο τα δικαιώματα που απαιτούνται για τη συγκεκριμένη εργασία και μόνο για όσο χρειάζονται.
Ελέγξτε ιδιαίτερα:
- administrative accounts,
- remote-access εργαλεία,
- VPN ή άλλες δικτυακές συνδέσεις,
- API credentials και tokens,
- shared accounts,
- πρόσβαση σε cloud και Microsoft 365 environments,
- πρόσβαση σε repositories, backups και κρίσιμα δεδομένα.
Όπου είναι τεχνικά εφικτό, χρησιμοποιήστε προσωπικούς λογαριασμούς αντί για κοινά credentials, ισχυρό authentication και κατάλληλο logging. Η πρόσβαση που δεν χρειάζεται πλέον πρέπει να ανακαλείται.
Η ευρύτερη λογική περιορισμού της εμπιστοσύνης και συνεχούς ελέγχου πρόσβασης αναλύεται και στον οδηγό της DataShield για το Zero Trust και το ZTNA.
3. Αξιολογήστε τον provider πριν αποκτήσει κρίσιμη πρόσβαση
Η αξιολόγηση πρέπει να είναι ανάλογη με τον κίνδυνο. Για έναν κρίσιμο τεχνολογικό provider μπορεί να χρειάζεται να εξεταστούν θέματα όπως:
- πολιτικές και πρακτικές κυβερνοασφάλειας,
- identity και access management,
- MFA και προστασία privileged accounts,
- vulnerability και patch management,
- προστασία και κρυπτογράφηση δεδομένων όπου απαιτείται,
- logging και monitoring,
- incident response και διαδικασία ειδοποίησης πελατών,
- backup, recovery και business continuity,
- ασφαλής ανάπτυξη λογισμικού όταν ο provider αναπτύσσει προϊόντα ή εφαρμογές,
- χρήση δικών του κρίσιμων subcontractors.
Η CISA διαθέτει οδηγίες ειδικά για την αξιολόγηση vendors και suppliers από μικρομεσαίες επιχειρήσεις. Ο στόχος δεν είναι η μηχανική συλλογή απαντήσεων, αλλά η κατανόηση του πραγματικού κινδύνου πριν δοθεί κρίσιμη πρόσβαση ή δημιουργηθεί σημαντική εξάρτηση.
4. Μην βασίζεστε μόνο σε ένα security questionnaire
Ένα ερωτηματολόγιο μπορεί να βοηθήσει, αλλά δεν αποδεικνύει από μόνο του ότι ένας provider παραμένει ασφαλής. Οι απαντήσεις πρέπει να εξετάζονται με βάση την κρισιμότητα της υπηρεσίας και, όπου δικαιολογείται, να συνοδεύονται από κατάλληλη τεκμηρίωση ή άλλες μορφές assurance.
Παράλληλα, η επιχείρηση πρέπει να καταγράφει τα σημαντικά findings και να αποφασίζει αν απαιτείται remediation, compensating control, αποδοχή του κινδύνου ή διαφορετική λύση.
5. Βάλτε τις απαιτήσεις ασφάλειας στη συνεργασία
Οι σημαντικές απαιτήσεις δεν πρέπει να υπάρχουν μόνο σε ένα εσωτερικό checklist. Ανάλογα με τον provider, την υπηρεσία και τις νομικές απαιτήσεις, η σύμβαση ή άλλη συμφωνία μπορεί να χρειάζεται να καλύπτει θέματα όπως:
- προστασία και επιτρεπόμενη χρήση δεδομένων,
- security requirements για την υπηρεσία,
- διαχείριση και γνωστοποίηση περιστατικών,
- χρονική και πρακτική διαδικασία ενημέρωσης σε περίπτωση συμβάντος,
- διαχείριση ευπαθειών,
- χρήση subcontractors όπου είναι σχετικό,
- business continuity και recovery,
- επιστροφή ή ασφαλής διαχείριση δεδομένων όταν λήξει η συνεργασία,
- κατάλληλα δικαιώματα assurance ή audit όπου δικαιολογούνται.
Οι ακριβείς συμβατικές απαιτήσεις εξαρτώνται από τη σχέση, τα δεδομένα και το εφαρμοστέο νομικό πλαίσιο και χρειάζονται κατάλληλη νομική αξιολόγηση όπου απαιτείται.
6. Σχεδιάστε τι θα γίνει αν παραβιαστεί ο προμηθευτής
Ένα third-party incident δεν πρέπει να αντιμετωπίζεται για πρώτη φορά όταν φτάσει το email του provider που ανακοινώνει παραβίαση.
Η επιχείρηση πρέπει να γνωρίζει:
- ποιος αξιολογεί την ειδοποίηση,
- ποια δεδομένα και συστήματα μπορεί να επηρεάζονται,
- ποια credentials ή integrations πρέπει ενδεχομένως να ανακληθούν,
- αν χρειάζεται απομόνωση κάποιας σύνδεσης,
- ποια logs πρέπει να διατηρηθούν και να εξεταστούν,
- ποιοι εσωτερικοί ή εξωτερικοί υπεύθυνοι πρέπει να ενημερωθούν,
- πώς θα συνεχιστεί μια κρίσιμη λειτουργία αν η υπηρεσία του provider δεν είναι διαθέσιμη.
Η διαδικασία αυτή πρέπει να συνδέεται με το υπάρχον Incident Response Plan και, για κρίσιμες εξαρτήσεις, με το Business Continuity Plan.
7. Επανεξετάζετε τους κρίσιμους providers
Η αξιολόγηση κατά το onboarding δεν αρκεί για μια πολυετή συνεργασία. Μπορεί να αλλάξει η υπηρεσία, τα δεδομένα που επεξεργάζεται, η πρόσβαση, η αρχιτεκτονική, οι subcontractors ή η σημασία του provider για την επιχείρηση.
Η επανεξέταση πρέπει να γίνεται με βάση τον κίνδυνο και συγκεκριμένα triggers, όπως σημαντική αλλαγή υπηρεσίας, νέα κρίσιμη πρόσβαση, σοβαρό security incident ή ουσιώδης αλλαγή της επιχειρηματικής εξάρτησης.
8. Προσέξτε το concentration risk και τα single points of failure
Μερικές φορές ο κίνδυνος δεν βρίσκεται στην αδύναμη ασφάλεια ενός provider, αλλά στην υπερβολική εξάρτηση από αυτόν.
Αν πολλές κρίσιμες λειτουργίες βασίζονται στον ίδιο προμηθευτή ή σε κοινή τεχνολογική υποδομή, μια μεγάλη διακοπή μπορεί να επηρεάσει ταυτόχρονα μεγάλο μέρος της επιχείρησης.
Για τις σημαντικότερες υπηρεσίες, εξετάστε αν υπάρχουν ρεαλιστικές εναλλακτικές, διαδικασίες export δεδομένων, recovery options και σχέδιο για την περίπτωση που ο provider δεν μπορεί προσωρινά ή μόνιμα να συνεχίσει την υπηρεσία.
Third-Party Risk και NIS2
Η ασφάλεια της εφοδιαστικής αλυσίδας έχει και κανονιστική σημασία για οργανισμούς που εμπίπτουν στο σχετικό πλαίσιο. Το άρθρο 21 της Οδηγίας NIS2 περιλαμβάνει την supply chain security στα μέτρα διαχείρισης κυβερνοκινδύνου και αναφέρεται στις σχέσεις μιας οντότητας με τους άμεσους προμηθευτές και παρόχους υπηρεσιών της.
Αυτό δεν σημαίνει ότι κάθε ΜΜΕ έχει αυτομάτως τις ίδιες υποχρεώσεις. Η εφαρμογή της NIS2 εξαρτάται από το αν ο συγκεκριμένος οργανισμός εμπίπτει στο πεδίο εφαρμογής και από το ισχύον εθνικό πλαίσιο.
Για το ελληνικό πλαίσιο, δείτε τον ξεχωριστό οδηγό της DataShield για τη NIS2 στην Ελλάδα.
Πρακτικό Third-Party Risk Checklist για ΜΜΕ
- Υπάρχει ενημερωμένο inventory κρίσιμων προμηθευτών και SaaS υπηρεσιών;
- Γνωρίζουμε ποια δεδομένα και συστήματα μπορεί να προσπελάσει κάθε κρίσιμος τρίτος;
- Έχουμε ταξινομήσει τους providers με βάση τον πραγματικό κίνδυνο;
- Ελέγχουμε τους κρίσιμους providers πριν αποκτήσουν πρόσβαση;
- Η πρόσβασή τους ακολουθεί least privilege;
- Υπάρχει ισχυρό authentication για κρίσιμη ή administrative πρόσβαση;
- Οι σημαντικές security απαιτήσεις καλύπτονται κατάλληλα στη συνεργασία;
- Γνωρίζουμε πώς θα ενημερωθούμε και τι θα κάνουμε αν παραβιαστεί ένας provider;
- Υπάρχει σχέδιο για κρίσιμη υπηρεσία που παύει να είναι διαθέσιμη;
- Ανακαλούνται accounts, integrations και credentials όταν τελειώνει η συνεργασία;
- Επανεξετάζονται οι σημαντικότεροι providers όταν αλλάζει ουσιαστικά ο κίνδυνος;
Πώς μπορεί να βοηθήσει η DataShield
Το Third-Party Risk Management δεν χρειάζεται να μετατραπεί σε τεράστια γραφειοκρατική διαδικασία. Για μια ΜΜΕ, το σημαντικό είναι να γνωρίζει ποιες εξωτερικές εξαρτήσεις είναι πραγματικά κρίσιμες και να εφαρμόζει ελέγχους ανάλογους με την πρόσβαση, τα δεδομένα και το επιχειρηματικό impact.
Η DataShield μπορεί να βοηθήσει στην αξιολόγηση της τεχνικής έκθεσης που δημιουργούν εξωτερικοί providers, privileged access, cloud integrations και κρίσιμες υπηρεσίες και να εντοπίσει πού χρειάζονται ισχυρότερα security controls. Ένα Free IT Audit μπορεί να αποτελέσει το πρώτο βήμα για την καταγραφή αυτών των εξαρτήσεων και των σημαντικότερων τεχνικών κινδύνων.
Συμπέρασμα
Η κυβερνοασφάλεια μιας επιχείρησης δεν σταματά στα όρια του δικού της δικτύου. Προμηθευτές, cloud υπηρεσίες, SaaS εφαρμογές και εξωτερικοί συνεργάτες μπορούν να αποτελούν απαραίτητο μέρος της λειτουργίας της και ταυτόχρονα να δημιουργούν πρόσθετη έκθεση.
Ένα πρακτικό Third-Party Risk Management πρόγραμμα ξεκινά με inventory, ταξινόμηση κινδύνου και έλεγχο πρόσβασης. Συνεχίζει με κατάλληλη αξιολόγηση, απαιτήσεις ασφάλειας, incident planning και επανεξέταση των κρίσιμων συνεργασιών. Ο στόχος δεν είναι να εξαλειφθεί κάθε εξωτερική εξάρτηση, αλλά να είναι γνωστή και διαχειρίσιμη.
