Основные вопросы для оценки сторонних поставщиков по рискам кибербезопасности

От маркетинговых консультантов и партнеров по цепочке поставок до бухгалтеров и IT-провайдеров — организации сегодня зависят от всех видов третьих сторон практически для любой мыслимой бизнес-функции.

Согласно недавнему исследованию Ponemon Institute, непреднамеренным последствием зависимости от третьих сторон является то, что 61% организаций в США пережили утечку данных, вызванную третьей стороной или вендором. 57% бизнесов не могут определить, могут ли политики безопасности и защита их вендоров адекватно предотвратить утечку, и менее половины оценивают практики безопасности и конфиденциальности вендоров перед заключением бизнес-соглашения, требующего обмена конфиденциальной информацией.

Неудивительно, что согласно тому же исследованию только 16% респондентов оценили свои компании как «высокоэффективные» в смягчении рисков третьих сторон. Фактически, те, кто приоритизирует управление рисками аутсорсинга, в меньшинстве.

Лучшее время начать снижение рисков третьих сторон — в самом начале отношений — перед заключением соглашения. Именно тогда нужно задать критические вопросы, чтобы выявить возможное воздействие, которое вы берете на себя, и как лучше избежать компрометации. Вендоры с сильными практиками безопасности обычно готовы говорить о них, в то время как те, кто избегает таких дискуссий, могут скрывать что-то. С этим в виду, вот пять вопросов — один внутренний и четыре для серьезных кандидатов — которые вы должны задать при рассмотрении третьей стороны:

Какие данные и системы будет владеть или иметь доступ третья сторона?

Многие третьи стороны не будут иметь доступ к конфиденциальным данным или системам, поэтому, если они переживут утечку, угроза для вас минимальна. Ландшафтный вендор, например, имеет мало доступа к данным или системам, и, вероятно, ни к интерьеру какого-либо объекта. Возможно, единственная компьютерная сеть, к которой он может получить доступ — система орошения, которая более чем вероятно изолирована от внутренних корпоративных систем. Поэтому любая потенциальная утечка этого гипотетического ландшафтного вендора ожидается иметь малое или нулевое влияние.

HR-провайдер, финансовая система или вендор, напротив, будут совсем другими. Например, если вы наняли консультанта для разработки клиентской аналитики в поддержку маркетинговой или бизнес-стратегии, у этой сущности может быть доступ к данным компании, охватывающим номера кредитных карт клиентов и домашние адреса, или корпоративные финансы. Такого типа консультант должен быть тщательно проверен.

Какое логирование и мониторинг проводит третья сторона?

Логирование и мониторинг — основные способы, которыми организация записывает и реагирует на активность в своей среде. Но системные и сетевые логи активности verbose. В современных вычислительных средах, состоящих из множества разнородных систем и высокопропускных сетей, объем событий лога быстро становится непосильным для человека. Для правильного мониторинга событий безопасности инструменты должны быть развернуты для хранения и триажа этих событий. Зная выбор персонала и инструментов вендора, вы поймете, насколько серьезно он относится к безопасности. В конце концов, люди + инструменты = деньги = ресурсы = приоритеты. Ищите партнеров, которые приоритизируют и инвестируют в безопасность.

Как третья сторона управляет физическими и техническими контролями доступа?

Контроли доступа — один из способов снизить уязвимость, а значит риск. Они принимают две основные формы: физические и технические. В нашем гиперподключенном мире легко забыть важность физических контролов. Вам нужно идентифицировать физические локации, где третья сторона хранит, обрабатывает и передает данные, а также уровень физической безопасности на этих локациях. Если ваши данные будут храниться на мобильных устройствах, важно понимать контролы безопасности, связанные с этими устройствами, так как они могут не всегда находиться в статичной физической локации.

Технические контроли доступа также важны для оценки систем и сетей. Спросите, сколько человек будут иметь доступ к вашим данным и для какой цели. Поймите, как третья сторона использует многофакторную аутентификацию, как часто пользователи в группе администраторов проверяются, как часто проверяются системные разрешения и как удаляется доступ уволившихся сотрудников. Кроме того, узнайте, как используются практики и инструменты сегментации сети. Например, какие контролы изолируют производственные системы от других сред, как интернет? Как третья сторона сегментирует свою внутреннюю сеть?

Много раз хорошие физические контроли доступа могут компенсировать слабые технические, и наоборот. Но лучшая практика — ограничить физический и технический доступ к данным и системам только теми лицами, которые нужны для предоставления сервиса. Слабые контроли доступа расширяют поверхность атаки и увеличивают ваш риск.

Какие подходы третья сторона принимает к патчингу систем?

Хотя неизвестные или нераскрытые уязвимости драматичны и получают много внимания, они редки. Организации больше под угрозой известных уязвимостей. В результате третьи стороны должны иметь надежные программы для исправления известных уязвимостей, быстро применяя патчи безопасности, обновляющие ошибки и удаляющие базовое уязвимое ПО.

Крупные вендоры ПО выпускают обновления по регулярному каденцу. В вашем обзоре третьих сторон вы должны быть убеждены, что системы, обрабатывающие, хранящие и передающие ваши данные, получат регулярные и своевременные обновления, и что существуют ускоренные процессы для немедленных и критических уязвимостей.

Проходит ли третья сторона независимые аудиты или тестирование? Какие сертификаты безопасности она получила?

Аудиты держат организации под ответственностью. Третьи стороны должны самоаудировать себя, заполняя и поддерживая актуальными стандартизированные опросники безопасности, такие как SIG Lite или CSA CAIQ. За пределами самооценок, независимые аудиты дают вам спокойствие, что третья сторона следует своим политикам и процедурам. Независимые аудиты могут включать тесты на проникновение или SOC 2. Некоторые отрасли имеют свои сертификаты, как HITRUST в здравоохранении, PCI для платежных процессоров и FedRAMP в федеральном правительстве США. Во всех случаях независимые аудиты важны и показывают приверженность поддержанию провалидированной формальной программы информационной безопасности.

В совокупности дискуссии вокруг этих ключевых областей дадут вам представление о позиции безопасности вендора. Если ответы вендора прозрачны и указывают на стратегический приоритет и проактивную осмотрительность, вы можете двигаться вперед с большей уверенностью. Если позиция безопасности вендора незрела, то вы должны либо принять риск, либо рассмотреть другие смягчения для его контроля.

Не позволяйте безопасности данных быть послесловием. Сделайте ее неотъемлемой частью обсуждений продуктов и сервисов. В сегодняшней среде объемных и изощренных атак кибербезопасность есть бизнес-вопрос. Вы должны провести свою должную осмотрительность, чтобы понять свой риск.

Джереми Хаас — chief security officer, и Райан Бергквист — кибербезопасность аналитик в LookingGlass Cyber Solutions.