الجانب المظلم للاستعانة بمصادر خارجية: كيفية وقف تصاعد هجمات سلسلة التوريد

إنه سيناريو مألوف بشكل متزايد. تكشف شركة محترمة تقدم خدمة شهيرة عبر الإنترنت أنها وقعت ضحية لخرق البيانات. لقد سرق المهاجمون الإلكترونيون أسماء العملاء وأرقام الهواتف وبيانات بطاقات الائتمان ، ولا يمكن فعل الكثير لتصحيح الوضع.

أصبحت جميع الشركات البارزة مثل DoorDash و Plex و LastPass مؤخرًا ضحايا لهجمات سلسلة التوريد التابعة لجهات خارجية ، لكنها بالتأكيد ليست وحدها. وفقًا لـ “Treading Water: حالة الأمن السيبراني ومخاطر الوصول عن بُعد للطرف الثالث” – تقرير لأكثر من 600 متخصص في الأمن في الولايات المتحدة عبر خمس صناعات نشره معهد بونمان – زادت هجمات الأطراف الثالثة من 44٪ إلى 49٪ منذ ذلك الحين العام الماضي.

من المحتمل أن يكون العدد الحقيقي للهجمات أعلى ، حيث أعرب 39٪ فقط من المستطلعين عن ثقتهم في أن طرفًا ثالثًا سوف يخطرهم بالخرق. لوقف تصاعد مثل هذه الهجمات ، نحتاج إلى إلقاء نظرة فاحصة على ظروف السوق والعوامل الثقافية التي تسبب هذه الاتجاهات ولماذا تفشل العديد من الشركات في تنفيذ الحلول الحديثة لمواجهة التحدي.

جنة القرصنة: التحول الرقمي السريع بالإضافة إلى الاستعانة بمصادر خارجية

إذن ، ما سبب هذا الارتفاع في هجمات سلسلة التوريد؟ في كلمتين: التغيير الثقافي. تنضج العديد من الصناعات التي كانت تعمل سابقًا دون اتصال بالإنترنت في العصر الرقمي بمساعدة تقنيات SaaS والسحابة ، وهو اتجاه تسارع بسبب الوباء والانتقال إلى العمل عن بُعد. مع اندفاع الشركات نحو تحديث أنظمتها ، يرى المهاجمون الخبثاء أهدافًا مثالية.

أضف إلى هذا اتجاه سوق آخر: الاستعانة بمصادر خارجية. منذ حوالي 20 عامًا ، لم يكن من المعروف أن تقوم المؤسسات بالاستعانة بمصادر خارجية للتحكم في جزء أساسي من العمل ، ولكن مع مرور الصناعات بالتحول الرقمي والتعامل في نفس الوقت مع نقص العمالة ، ويرجع الفضل في ذلك جزئيًا إلى The Great Resignation ، فمن الشائع الاعتماد على البائعين ومقدمي الخدمات الخارجيين.

في حين أن التحركات للاستفادة من الأطراف الثالثة لتحقيق الكفاءة والملاءمة والاستفادة من التكنولوجيا السحابية لتقديم قيمة جديدة ومقنعة للسوق ليست في حد ذاتها قرارات أو تطورات سيئة ، إلا أنها تعني أن سطح الهجوم للمتسللين الخبثاء يتوسع بشكل كبير تقريبًا.

اليوم ، يشعر محترفو تكنولوجيا المعلومات المكلفون بحل انتهاكات الطرف الثالث بالسخونة. تقوم الشركات بالارتجال بدرجات مختلفة من النجاح ، وفي بعض الأحيان تخلق المزيد من نقاط الضعف بينما تحاول إصلاح الآخرين. على الرغم من النوايا الحسنة ، لم تحرز معظم المنظمات أي تقدم في أمن الطرف الثالث في السنوات القليلة الماضية ، وهم يدفعون ثمناً باهظاً مقابل ذلك.

تخلف انتهاكات الأمن السيبراني عائقًا ماليًا هائلاً: أكثر من 9 ملايين دولار لإصلاح الأضرار ، وفقًا لتقرير Poneman. كانت معظم الشركات نائمة عندما يتعلق الأمر بتهديدات سلسلة التوريد الخاصة بطرف ثالث.

الأمل ليس إستراتيجية: الفشل في معالجة تهديدات الطرف الثالث الأمنية

تواجه أقسام تكنولوجيا المعلومات الحاجة إلى استراتيجيات أمان أكثر تعقيدًا للتعامل مع تهديدات الجهات الخارجية ، لكن العديد من الشركات لم تستثمر في الأدوات أو الموظفين اللازمين لتأمين الوصول عن بُعد وهويات الأطراف الثالثة.

وفقًا لدراسة Poneman ، تنفق أكثر من نصف المؤسسات ما يصل إلى 20٪ من ميزانيتها على الأمن السيبراني ، ومع ذلك لا يزال 35٪ يشيرون إلى الميزانية كعائق أمام الأمان القوي. تقاوم الشركات أيضًا الاستثمار في الحلول التكنولوجية الصحيحة. على سبيل المثال ، لا تزال 64٪ من المؤسسات تعتمد على إجراءات المراقبة اليدوية ، والتي تكلف ما متوسطه سبع ساعات في الأسبوع لمراقبة وصول الأطراف الثالثة.

علاوة على ذلك ، يفتقر 48٪ من المشاركين في دراسة بونمان إلى الموظفين المهرة اللازمين لدعم الحلول التكنولوجية. هناك علاقة واضحة بين عدد الموظفين ذوي الخبرة لدى الشركة ووضعها الأمني. لتحقيق النجاح ، تحتاج إلى كل من التكنولوجيا المناسبة والموظفين لاستخدامها بفعالية.

الأمل ، الثقة العمياء ليست استراتيجيات

إلى جانب التباطؤ في الاستثمار ، تراجعت برامج الأمن السيبراني للعديد من المنظمات. لم يتم اتخاذ الإجراءات المناسبة لتأمين الوصول عن بُعد ، مما يؤدي إلى وصول عدد كبير جدًا من الأطراف الثالثة إلى الشبكات الداخلية بدون أي رقابة.

أفادت 70٪ من المؤسسات التي شملها الاستطلاع أن انتهاك طرف ثالث جاء من منح حق وصول أكثر من اللازم. لكن نصفهم لا يراقب الوصول على الإطلاق – حتى بالنسبة للبيانات الحساسة والسرية – و 36٪ فقط من الوصول إلى المستندات من قبل جميع الأطراف. إنهم ببساطة يتخذون نهج “الأمل ألا يحدث” ، بالاعتماد على العقود مع البائعين والموردين لإدارة المخاطر. في الواقع ، تقول معظم المؤسسات إنها تثق في الأطراف الثالثة بمعلوماتها بناءً على سمعة العمل وحدها.

ومع ذلك ، فإن الأمل والثقة العمياء ليسا استراتيجيات. يلعب العديد من الممثلين السيئين لعبة طويلة. فقط لأن البائعين لا يكسرون أنظمتك الآن لا يعني أن المتسللين ليسوا متورطين في نشاط ضار لم يتم اكتشافه ، وجمع المعلومات ودراسة سير العمل في وقت لاحق.

لم تتجاهل جميع الشركات التهديدات. أصبحت صناعة الرعاية الصحية رائدة في حل مشكلات أمان الطرف الثالث بسبب الحاجة إلى الامتثال لعمليات التدقيق من قبل الهيئات التنظيمية. لسوء الحظ ، فإن عملية التدقيق التي نشأت في مجال الرعاية الصحية والتي تم تبنيها من قبل الصناعات الأخرى لم تسفر عن تحسن واسع النطاق.

في مواجهة التحدي المستمر المتمثل في حل الخروقات الأمنية لجهات خارجية ، أو الهدف الأكثر قابلية للتحقيق المتمثل في اجتياز عمليات التدقيق ، تركز العديد من أقسام تكنولوجيا المعلومات على تحقيق الفوز السهل. يظلون متخلفين عن المتسللين ، ويحاولون التنظيف بعد الاختراقات بدلاً من منعهم.

من اللحاق بالركب إلى قيادة الحزمة: خمس خطوات إستراتيجية لمنع تهديدات الطرف الثالث

على الرغم من التوقعات المقلقة ، هناك أخبار جيدة. هناك طرق لتقليل الضرر الناتج عن هجمات الجهات الخارجية والبدء في منعها. إن إدراك الحاجة إلى الإدارة السليمة هو الخطوة الأولى. بدلاً من التطلع إلى الأفضل ، يجب على الشركات الالتزام بإجراء أبحاث واستثمارات كبيرة في الأدوات والموارد. يمكنهم البدء بتنفيذ بعض الخطوات الإستراتيجية الأساسية نحو منع تهديدات سلسلة التوريد.

• قم بجرد جميع الأطراف الثالثة التي لديها إمكانية الوصول إلى الشبكات. تحديد وتصنيف مستويات المخاطر على المعلومات الحساسة والإصرار على توثيق جميع أنواع الوصول إلى الشبكة. نصف الشركات اليوم ليس لديها رؤية كافية للأفراد والعمليات التجارية ، مما يعني أن المؤسسات لا تعرف مستوى الوصول والأذونات داخل نظام معين. من القواعد الأساسية للأمان أنه لا يمكنك حماية ما لا تعرفه.
• مسلح بمعرفة من لديه حق الوصول إلى المعلومات ، وتقييم الأذونات ، ثم توفير وإلغاء حق الوصول إلى ما هو ضروري. استبدل الوصول المفتوح بضوابط وصول قائمة على الثقة الصفرية وإجراءات مراقبة صارمة. تقليل تعقيد البنية التحتية وتحسين الحوكمة الداخلية.
• عندما تتخذ قرارات صعبة بشأن منح حق الوصول ، ضع في اعتبارك كل من المخاطر والقيمة التي يقدمها كل مورد وبائع. امنح الأولوية لتأمين الوصول لأهم مورديك ، واعمل في طريقك إلى أطراف ثالثة أقل أهمية.
• اعلم أنه عند تقييد الوصول إلى الموردين والبائعين ، قد يكون هناك بعض التراجع لأنهم يشعرون في البداية أنهم غير موثوق بهم بقدر ما كانوا في السابق. قد يكون ضمان شعور الموردين المهمين بالاحترام مع تغيير الوضع الراهن نوعًا من الرقص أو التفاوض. يمكن جعل الأطراف تشعر بأنها متكاملة من وجهة نظر الأعمال ، حتى مع الحفاظ على تدابير أمنية أكثر صرامة.
• يعد العثور على الموارد والموظفين لإجراء هذه التغييرات أمرًا بالغ الأهمية. قد تختار بعض الشركات إعادة تخصيص تكنولوجيا المعلومات لموازنة رواتب الموظفين الجدد. إذا بدأت من الألف إلى الياء ، فقم بتعيين شخص ما للإشراف على إدارة الطرف الثالث ، مما يمنح هذا الشخص القدرة على تنفيذ برنامج إدارة مخاطر الوصول لجهة خارجية.

أيا كان الإجراء الذي تختاره المنظمة ، فمن الضروري أن تبدأ في أقرب وقت ممكن. يمكن للشركات أن تتوقع الانتظار من عدة أشهر إلى سنة قبل أن تبدأ في رؤية نتائج قابلة للقياس. ومع ذلك ، مع الاستثمار في الوقت والطاقة والموارد ، لم يفت الأوان بعد. يمكن للمؤسسات الذكية والاستباقية تحويل الاتصالات المحفوفة بالمخاطر مع الأطراف الثالثة إلى علاقات صحية وآمنة مع البائعين والموردين الموثوق بهم. يمكنهم التوقف عن لعب اللحاق بالركب والبدء في قيادة المجموعة.

جويل بورليسون-ديفيس هو نائب الرئيس الأول للهندسة العالمية في مجال الإنترنت في شركة Imprivata