הספק שלכם מאובטח? כי הוא יכול להיות הדלת לארגון שלכם

ארגון יכול להשקיע ב־Firewall, ב־MFA, ב־EDR, בגיבויים, בנהלים ובהדרכות. ואז להעניק לספק חיצוני גישה ישירה למערכת קריטית.

המציאות העסקית בנויה על ספקים, וזה בסדר. אבל המשמעות היא שגבולות הסייבר של הארגון כבר אינם זהים לגבולות הפיזיים שלו.

כמה חברות מחזיקות היום חלק מהמידע שלכם?

מערכת השכר. CRM. ספק הענן. חברת הפיתוח. ספק IT. חברת סליקה. מערכת דיוור. רואה חשבון. שירותי תמיכה. גיבויים.

כל אחד מהם יכול להיות חלק משרשרת המידע של הארגון. חלקם רק מחזיקים מידע. חלקם גם מקבלים גישה. חלקם קריטיים לכך שהעסק יוכל לעבוד.

Outsourcing לא מעביר את כל הסיכון

כאשר חברה מעבירה פעילות לספק, היא מקבלת התמחות, יעילות ושירות. אבל במקרה של אירוע, הלקוח שלכם לא תמיד יתעניין בשאלה איזו חברה חיצונית הייתה אחראית.

• אם מידע דלף, זה עדיין המידע של העסק.
• אם השירות הושבת, העסק שלכם עלול להיות זה שלא מצליח לעבוד.
• אם ספק מחזיק הרשאת Administrator, התקיפה שלו יכולה להפוך לתקיפה שלכם.

לא כל ספק הוא אותו סיכון

זו אחת הנקודות החשובות ביותר. אין היגיון לבצע אותה בדיקה לספק ניקיון ולספק שמנהל את כל סביבת Microsoft 365. כדאי להבין:

• מה הספק עושה?
• איזה מידע הוא רואה?
• אילו הרשאות יש לו?
• כמה הארגון תלוי בו?
• מה יקרה אם הוא יפסיק לפעול?

ככל שהספק קריטי יותר, כך כדאי שהניהול שלו יהיה עמוק יותר.

הספק התחבר לפני שלוש שנים. הוא עדיין צריך גישה?

זו נקודת תורפה נפוצה. ספק קיבל VPN לצורך התקנה. הפרויקט הסתיים. איש הקשר התחלף. אף אחד לא ביקש להסיר את החשבון. הגישה נשארה.

זה לא תרחיש דרמטי, וזו בדיוק הבעיה. סיכונים רבים נוצרים מהצטברות של החלטות קטנות שהיו הגיוניות בזמן שבו התקבלו. זה אותו עיקרון שחל על הרשאות של עובדים.

ומה קורה כאשר ההתקשרות מסתיימת?

סיום חוזה אינו בהכרח סיום הסיכון:

• האם לספק עדיין יש מידע?
• האם הגישה בוטלה, והאם עדיין קיימים חשבונות?
• מה לגבי גיבויים אצל הספק, ומה לגבי ציוד?
• מה לגבי משתמשים ספציפיים אצל הספק שקיבלו הרשאה?

מחזור החיים של ספק צריך לכלול גם יציאה.

חוזה אינו תחליף לניהול

סעיף אבטחת מידע בחוזה חשוב, אבל הוא לא תמיד מספר מה קורה בפועל. אפשר לכתוב שהספק משתמש באמצעי אבטחה מתאימים, אבל מה נחשב "מתאים"? אפשר לכתוב שהוא יודיע על אירוע, אבל תוך כמה זמן? ולמי? ומה הוא עושה עם המידע בסיום ההתקשרות?

החוזה הוא שכבה אחת בתוך מערכת רחבה יותר, שבארגונים רבים מנוהלת על ידי בעל תפקיד כמו CISO חיצוני.

גם ספק גדול יכול להיפגע

שם מוכר אינו חסינות. הסיבה לבחור ספק מקצועי היא בדרך כלל שהוא יכול לנהל את השירות טוב יותר. אבל כל ארגון יכול לחוות אירוע.

לכן ההחלטה אינה אם "לסמוך" או "לא לסמוך" על הספק. השאלה היא כיצד מנהלים את הסיכון בהתאם לחשיבות שלו, וסקר סיכוני סייבר הוא מקום טוב להתחיל בו.

סיכוני צד שלישי עם מרום סייבר

מרום סייבר מסייעת לארגונים לזהות ולהעריך סיכונים הנוצרים מספקים וצדדים שלישיים, כחלק ממערך הסייבר הכולל. זה חלק משירותי אבטחת המידע וייעוץ הסייבר שלנו.