Firmy hlásí rostoucí počet útoků přes dodavatele, ale jen málokterá z nich dokáže říct, kolik z nich ohrožuje její druhé a třetí strany. Z pohledu vedení jde o mezeru, kterou už nelze obhájit tím, že „takhle to dělá celý trh".

Loňský rok potvrdil trend, který bezpečnostní komunita sleduje už několik let: útočníci čím dál častěji nemíří přímo na cíl, ale na jeho dodavatele. Podle letošní zprávy Verizon o vyšetřování narušení dat se podíl útoků, které zahrnovaly třetí stranu, meziročně zdvojnásobil z 15 na 30 procent – největší jednorázový nárůst, jaký kdy Verizon zaznamenal. Průměrný náklad na kompromitaci přes dodavatelský řetězec dosahuje 4,91 milionu dolarů a organizacím trvá v průměru 267 dní, než takový incident odhalí a zvládnou.

Přesto podle letošního průzkumu společnosti Panorays 85 procent CISO přiznává, že nemá přehled o hrozbách, které představují jejich třetí strany. Sedmasedmdesát procent považuje riziko třetích stran za zásadní hrozbu, ale jen jedna z pěti firem má otestovaný krizový plán pro případ, že se takové riziko naplní. Šedesát procent firem hlásí rostoucí počet útoků přes dodavatele, ale jen 41 procent z nich sleduje riziko dál než k přímým dodavatelům – tedy k dodavatelům svých dodavatelů.

Rozsah problému dokresluje letošní zpráva SecurityScorecard: 78 procent organizací přiznává, že jejich bezpečnostní program pokrývá méně než polovinu skutečného ekosystému dodavatelů. U padesátky nejčastěji sdílených dodavatelů mezi firmami z žebříčku Global 2000 platí, že 70 procent z nich má alespoň jednu neopravenou zranitelnost z katalogu CISA KEV – tedy zranitelnost, o které je jisté, že ji útočníci aktivně zneužívají.

Zajímavý je i rozpor mezi vnímaným rizikem a důvěrou ve vlastní odolnost: 86 procent vedoucích pracovníků vyjadřuje hluboké obavy z rizika dodavatelského řetězce, ale 90 procent je zároveň přesvědčeno, že by jejich firma dokázala pokračovat v provozu i během narušení u dodavatele. Tato mezera mezi obavou a přesvědčením o vlastní připravenosti je přesně to, co bezpečnostní výbory a board obvykle přehlédnou, dokud se nestane incident.

Pro CISO z toho plyne, že klasický dotazníkový audit dodavatelů jednou ročně dnes nestačí. Řízení rizika třetích stran musí zahrnovat průběžné sledování bezpečnostní pozice dodavatele, ne jednorázové zaškrtnutí certifikátu při podpisu smlouvy. Zároveň je třeba rozšířit pohled za přímé dodavatele – k jejich subdodavatelům, protože právě tam podle dat zůstává riziko nejméně viditelné.

Praktickým prvním krokem je inventura: který dodavatel má přístup k jakým datům a systémům a co se stane, pokud bude kompromitován. Ne každý dodavatel nese stejné riziko a ne každý si zaslouží stejnou míru dohledu – ale bez této mapy nelze prioritizovat vůbec nic. Druhým krokem je smluvní ukotvení: požadavek na bezpečnostní standardy, právo na audit a povinnost dodavatele hlásit incident v definovaném čase patří do smlouvy, ne do dodatečné žádosti po škodě.

Dodavatelský řetězec se stal nejslabším článkem bezpečnosti nikoliv proto, že by dodavatelé byli nedbalí, ale proto, že organizace dlouho měřily vlastní bezpečnost, aniž by si přiznaly, že jejich skutečný obvod sahá daleko za vlastní síť. CISO, který tuto mezeru pojmenuje vedení dřív, než ji pojmenuje útočník, získává čas, který se v tomto případě počítá ve stovkách dnů.