Zaščita podjetja pred napadi na dobavno verigo: Kaj storiti, ko pride do vdora v sisteme poslovnih partnerjev?

V današnjem medsebojno povezanem in prepletenem digitalnem ekosistemu se podjetja pri različnih orodjih, tehnologijah in storitvah v veliki meri zanašajo na partnerstvo s tretjimi osebami. Čeprav ta partnerstva podjetju prinašajo dodatno učinkovitost in strokovno znanje, pa prinašajo tudi tveganja. Vdor v sistem partnerja ali dobavitelja lahko razkrije tudi zaupne podatke in onemogoči delovanje podjetja, s katerimi sodeluje, kar lahko partnerskemu podjetju povzroči precejšnjo škodo.

Eno največjih tveganj predstavlja napad v dobavni verigi, pri katerem hekerji v podjetje vdrejo prek ranljivosti v programski opremi, storitvah ali orodjih tretjih oseb (partnerjev ali dobaviteljev). Kako se lahko podjetja zaščitijo pred omenjenimi posrednimi grožnjami?

Razumevanje napadov v dobavni verigi

Napad v dobavni verigi se zgodi, ko heker kompromitira sistem zaupanja vrednega zunanjega partnerja oz. dobavitelja. To povezavo izkoristi za vdor ali na druge načine vpliva na njegove stranke (npr. zavrnitev storitve, uhajanje zaupnih podatkov itd.). Ta vrsta napada je pogosto prikrita in prefinjena, usmerjena pa je na množično uporabljena orodja ali storitve. Ko hekerji pridobijo dostop, lahko manipulirajo s posodobitvami, v sistem vnašajo zlonamerno kodo ali pa izkoriščajo občutljive podatke podjetij, ki uporabljajo izdelke ali storitve ogroženega partnerja oz. vendorja.

Napadi v dobavni verigi predstavljajo poseben izziv, saj podjetja pogosto domnevajo, da imajo njihovi zaupanja vredni partnerji (dobavitelji, vendorji, izvajalci itd.) v dobavni verigi vzpostavljene stroge varnostne ukrepe, zaradi česar so morebitne ranljivosti žal pogosto spregledane. Velja, da je lahko tudi dobro zavarovano podjetje ranljivo, če je ogrožena tretja oseba, ki ima dostop do njegovega sistema.

Pogosto beremo o zaščitnih ukrepih pred incidentom, redko pa zasledimo vsebine, ki obravnavajo ukrepe po incidentu ali odzivanje na sam incident, ko se takšen kibernetski napad zgodi. V tem članku se želimo osredotočiti na to, kaj lahko podjetje stori, če se zgodi vdor na podjetje, ki predstavlja njegovega partnerja.

Kaj storiti ob vdoru v organizacijo, ki predstavlja poslovnega partnerja?

Do vdora lahko pride kljub močnim preventivnim ukrepom. Ko je ogrožen vaš partner in to vpliva na vaše podjetje, je ključnega pomena hitro in strateško ukrepanje. V nadaljevanju podajamo usmeritve za ključne ukrepe:

1. Aktivirajte svoj načrt odziva na incidente
   Če pride do kršitve s strani tretje osebe, takoj aktivirajte svoj načrt odziva na incidente (Incident Response Plan – IRP). Ta načrt naj vključuje vnaprej določene ukrepe za obravnavo varnostnih incidentov na strani tretjih oseb, ki predstavljajo partnerja. Začnite z oceno obsega kršitve in določite, ali so bili vaši podatki ali sistemi ogroženi. Zelo pomembno je, da ukrepate hitro, da zmanjšate morebitno škodo.
2. Komunicirajte s partnerjem oz. dobaviteljem
   Vzpostavite jasno komunikacijo z prizadetim dobaviteljem oz. partnerjem. Zahtevajte preglednost informacij v zvezi z incidentom, vključno s tem, kako je prišlo do njega, kateri podatki ali sistemi so prizadeti in kakšne ukrepe sprejema dobavitelj, da bi obvladal težavo. Zahtevajte seznanitev s podrobnosti o časovnici vdora ter zagotovite, da boste pravočasno obveščeni o poteku dogajanja.
3. Omejite vdor
   Ko je varnostni incident identificiran, sodelujte s svojimi notranjimi ekipami, da izolirate vse morebitne povezave med vašimi sistemi in sistemi partnerskega podjetja. Omenjeno lahko vključuje preklic ali omejitev dostopa dobavitelja do vaših sistemov, uporabo varnostnih popravkov ali odklop prizadetih sistemov. Hitro omejevanje vdora je ključno za preprečevanje nadaljnjega širjenja ali škode.
4. Izvedite forenzično preiskavo
   Sodelujte z dobaviteljem in morebitnimi zunanjimi strokovnjaki za kibernetsko varnost pri izvedbi forenzične preiskave. To bo pomagalo ugotoviti, ali so bili vaši sistemi ali podatki med samim vdorom ogroženi. Preiskava lahko ponudi vpogled v to, kako je prišlo do napada in ali so potrebni nadaljnji ukrepi za zaščito vaših sredstev.
5. Ocenite izpostavljenost podatkov in obvestite prizadete strani
   Če so bili med varnostnim vdorom izpostavljeni občutljivi ali zaupni podatki, je ključno oceniti obseg škode. Določite, kateri tipi podatkov so bili prizadeti ter ali vključujejo osebne ali občutljive informacije o strankah, partnerjih ali zaposlenih. Glede na resnost incidenta ste morda pravno zavezani, da obvestite prizadete strani, regulatorje in deležnike. Zagotovite, da je ta komunikacija pravočasna in pregledna, da ohranite zaupanje.
6. Sodelujte z organi pregona
   V primerih, ko vdor vključuje kaznivo dejavnost, kot je napad z izsiljevalsko programsko opremo ali krajo intelektualne lastnine, sodelujte z organi pregona. To lahko pomaga pri uspešnem iskanju napadalcem in morebitnem okrevanju ogroženih podatkov.

Predstavili smo usmeritve o tem, kako ravnati ob varnostnem incidentu partnerskega podjetja, sedaj pa se poglobimo v najbolj bistven del – načrt odzivanja na incident.

Načrt odziva na incidente: Priprava na kršitve s strani tretjih oseb

Načrt odziva na incidente (Incident Response Plan – IRP) je ključna komponenta za vsako podjetje, ki želi omiliti vpliv varnostnih incidentov, vključno s tistimi, ki izhajajo iz kršitev s strani tretjih oseb. Robustni Načrt odziva na incidente natančno opisuje specifične korake, ki jih mora podjetje sprejeti, ko pride do kršitve, kar zagotavlja hitro in organizirano reakcijo, ki omejuje škodo, obvladuje kršitev in ščiti kritične vire.

Ko gre za kršitve s strani tretjih oseb—kjer so vaši dobavitelji ali ponudniki storitev ogroženi—je nujno imeti dobro dokumentiran in v praksi preizkušen načrt. Ta se ne sme osredotočati le na notranje procese, temveč mora vključevati tudi usklajevanje s partnerjem oz. dobaviteljem, jasno komunikacijo z deležniki ter ukrepe za okrevanje.

Kaj naj vsebuje Načrt odziva na incidente, zasnovan za obravnavo vdorov na strani tretjih oseb:

1. Priprava in preprečevanje

Preden pride do incidenta, mora IRP postaviti temelje za zmanjšanje potencialnih groženj s strani tretjih dobaviteljev. To vključuje:

• Oceno tveganj dobaviteljev: Nenehno ocenjujte tretje dobavitelje glede potencialnih tveganj. Preglejte njihove varnostne prakse, certifikate skladnosti in zmožnosti odziva na incidente.
• Pogodbeni varnostni mehanizmi: Poskrbite, da pogodbe s tretjimi osebami vključujejo določila o odgovornosti za varnost podatkov, časovnih rokih za obveščanje o kršitvah in odgovornosti za incidente. Ti dogovori naj jasno opredelijo, kaj pomeni kršitev ter specifične ukrepe, ki jih mora dobavitelj sprejeti v primeru ogroženosti.
• Usposabljanje in ozaveščenost: Redno usposabljajte svoje notranje ekipe o IRP, da bodo razumele, kako prepoznati kršitev in katere takojšnje korake je treba sprejeti. Poskrbite, da so vaši dobavitelji tretjih oseb seznanjeni s svojo vlogo v vašem procesu odziva na incidente.

2. Identifikacija in odkrivanje

Ko pride do potencialnega vdora, je zgodnja identifikacija ključna za omejevanje škode. IRP naj določa, kako se kršitev odkrije in poroča, bodisi s strani partnerja oz. dobavitelja bodisi interno:

• Nadzor in opozorila: Zagotovite nenehen nadzor nad sistemi in storitvami tretjih oseb, ki so vključeni v vaše okolje. Uvedite avtomatizirana opozorila za nenavadno dejavnost, anomalije pri dostopu ali poslabšanje delovanja, ki lahko signalizirajo kršitev.
• Obveščanje o kršitvah s strani dobaviteljev: V načrt vključite jasne protokole o tem, kako vas morajo dobavitelji obvestiti o kršitvi. Dobavitelji naj vas takoj obvestijo, ko je kršitev identificirana. Ta časovnica naj bo določena v vaših pogodbah.
• Interni postopek poročanja: Določite uraden postopek za svoje zaposlene, da poročajo o sumljivih incidentih na strani tretjih oseb. Prepričajte se, da načrt natančno določa, koga v vaši organizaciji (npr. varnostne ekipe, pravni svetovalci) najprej obvestiti.

3. Omejevanje vpliva vdora

Ko je vdor na strani tretje osebe odkrit, je naslednji korak njegova zajezitev, da zmanjšate vpliv na vaše podjetje. To vključuje izolacijo prizadetih sistemov in prekinitev nadaljnjega dostopa:

• Nadzor dostopa partnerja oz. tretje osebe: Takoj začasno prekličite ali prekličite privilegije dostopa za ogroženega prodajalca, dokler kršitev ni v celoti ocenjena. To lahko vključuje omejitev dostopa do občutljivih sistemov ali podatkov in deaktiviranje vseh integracijskih točk med vašim omrežjem in partnerjem.
• Segmentacija omrežja: Če ima prizadeta organizacija dostop do različnih delov vašega omrežja, zagotovite, da so vaši sistemi ustrezno segmentirani, da preprečite širjenje vdora. Ločitev kritičnih sistemov od tistih, do katerih dostopa partner, bo zmanjšala radij napada.
• Nujni popravki in posodobitve: če je kršitev povezana z ranljivostjo programske opreme ali ogroženim orodjem partnerja, poskrbite, da bodo nujni popravki in varnostne posodobitve hitro sprejeti, da zmanjšate nadaljnjo izpostavljenost.

4. Izkoreninjenje in sanacija

Ko je incident obvladan, mora IRP določiti korake za popolno odpravo grožnje in odpravo morebitne škode:

• Forenzična preiskava: Izvedite temeljito forenzično preiskavo, da ugotovite celoten obseg kršitve. To bi moralo vključevati ugotavljanje, kako je napadalec pridobil dostop prek partnerja, ali je bil kateri od vaših sistemov ali podatkov ogrožen in ali je bila kršitev v celoti omejena.
• Sodelovanje s partnerjem: tesno sodelujte z njim, da boste razumeli, kako namerava odpraviti grožnjo iz svojih sistemov. Vztrajajte pri popolni preglednosti glede ukrepov, ki jih izvajajo za odpravo temeljnega vzroka kršitve.
• Obnovitev podatkov: če so bili kateri koli podatki med vdorom izgubljeni ali ogroženi, vzpostavite postopek za njihovo obnovitev iz varnostnih kopij in zagotovite njihovo celovitost. Pred obnovitvijo preverite, ali so varnostne kopije čiste in nanje kršitev ne vpliva.
• Utrjevanje sistema: Prepoznajte morebitne ranljivosti v svojih sistemih, ki jih je izpostavil vdor in ukrepajte, da jih odpravite. To lahko vključuje uporabo popravkov, izboljšanje šifriranja ali zapiranje varnostnih vrzeli, ugotovljenih med preiskavo.

5. Obnova in komunikacija

Ko je grožnja izkoreninjena, se osredotočite na okrevanje – povrnitev poslovanja v normalno stanje – in komunikacijo s ključnimi deležniki:

• Obnovite poslovne funkcije: koordinirajte varno ponovno uvedbo prizadetih sistemov nazaj v proizvodnjo. Ta postopek bi moral potekati postopoma in ga natančno spremljati, da bi zagotovili, da je grožnja resnično odpravljena.
• Obvestite prizadete strani: Če je vdor povzročil razkritje občutljivih podatkov (npr. podatkov o strankah ali zaposlenih), boste morda morali zakonsko obvestiti prizadete strani. IRP bi moral vključevati podroben komunikacijski načrt, ki opisuje, kako obvestiti regulativne organe, stranke, partnerje in zaposlene o kršitvi in njenem vplivu. Pri teh komunikacijah so ključni čas, preglednost in vzpostavitev zaupanja.
• Zunanje komuniciranje: skrbno negujte svoje odnose z javnostmi. V nekaterih primerih lahko varnostni incidenti tretjih oseb povzročijo škodo ugledu. Pripravite izjave za javnost za obravnavo kakršnih koli vprašanj javnosti, zlasti če so bili razkriti občutljivi podatki.

6. Pregled po incidentu in pridobljene izkušnje

Ko je okrevanje končano, mora IRP vključevati pregled po incidentu, da se analizira, kaj je šlo dobro in kaj bi lahko naredili bolje:

• Interno poročilo: Opravitepregled s ključnimi zainteresiranimi stranmi, vključno z vašimi IT, varnostnimi, pravnimi in PR skupinami, da se pogovorite o tem, kako je bila obravnavana grožnja. Ocenite učinkovitost svojih odzivnih prizadevanj in ugotovite morebitne vrzeli v vaši trenutni varnostni drži ali odzivnih protokolih.
• Ponovna ocena partnerja: Ponovno ocenite varnostne kontrole in prakse ogroženega partnerja. Ugotovite, ali morate uvesti strožje zahteve ali v skrajnem primeru prekiniti razmerje. Poskrbite, da bodo vsi novi ukrepi vključeni v prihodnje pogodbe ali varnostne preglede.
• Posodobite IRP: Na podlagi pridobljenih izkušenj posodobite svoj IRP, da odpravite vse pomanjkljivosti, ugotovljene med kršitvijo. To lahko vključuje prilagajanje vlog in odgovornosti skupin, izboljšanje komunikacijskih kanalov ali izboljšanje orodij za nadzor varnosti.

7. Stalne izboljšave

Odziv na incident ni statičen proces. Vaš IRP bi moral biti živ dokument, ki se razvija na podlagi novih groženj, izkušenj, pridobljenih iz incidentov in sprememb v vašem podjetju:

• Redno testiranje in simulacija: Občasno preizkusite svoj IRP z vajami na namizju ali simulacijami kršitev. Te vaje bi morale vključevati scenarije, v katerih so ponudniki tretjih oseb kršeni, da zagotovite, da je vaša ekipa pripravljena ukrepati v takih primerih.
• Revizije partnerjev in izboljšave varnosti: redno preverjajte svoje prodajalce tretjih oseb, da zagotovite, da še naprej izpolnjujejo vaša varnostna pričakovanja. Spodbujajte prodajalce, da izboljšajo lastne zmogljivosti odzivanja na incidente, izvajajo vaje in posodabljajo svoje postopke na podlagi najboljših praks v industriji.

Pripravljeni na neizogibno