Nem is olyan rég, bő fél évvel ezelőtt az amerikai Solarwinds kapcsán újra reflektorfénybe kerültek a beszállítók, pontosabban az IT-biztonsági megbízhatóságuk. Az azóta megszaporodó supply chain támadások ráirányították a figyelmet arra, hogy bizony vannak rések a beszállítói lánc pajzsán. Milyen kritériumoknak kell megfelelniük a vendoroknak, és milyen veszélyek leselkednek rájuk a digitális térben?
Szinte nincs olyan ember az informatikában, aki ne hallott volna a Solarwinds körül gyűrűző botrányról. A heteken át tartó hírcunami nemcsak a beszállítók IT-biztonsági hiányosságaira hívta fel a figyelmet, hanem arra is, hogy egyébként mennyire kiszolgáltatottá válhatnak a cégek egy-egy vendortól. Felmerül a kérdés: vajon fel vannak készülve a megrendelők arra, hogy ha kell, akkor visszaverjék a beszállítón keresztül besurranni készülő támadót?
„Általánosságban az a tapasztalatom, hogy az IT-biztonságot még mindig nem kezelik megfelelő, kiemelkedő prioritással a cégek sem a beszállítói, se az ügyféloldalon. Azt látom, hogy nincsenek teljesen tisztában azokkal a fenyegetésekkel, amelyekkel akár naponta szembesülhetnek. Az IT-biztonságra a legtöbb vállalatnál még mindig kötelező nyűgként, egyfajta szükséges rosszként tekintenek”, mondta Őri György, a Várkapitányság Integrált Területfejlesztési Központ Működési Igazgatóságának IT Irodavezetője.
Ami szintén probléma, hogy a digitális tér elemei már annyira a mindennapjaink részévé váltak, és életünk minden szegmensébe beszivárogtak, ezáltal annyira természetesnek vesszük a jelenlétüket, hogy a digitalizációval együtt járó veszélyeket szinte észre sem vesszük sem magánemberként, sem céges szinten – legyen szó akár a közösségi média használatáról, vagy akár az online bankolásról.
„Az adat az új olaj, ahogy azt gyakran megfogalmazzuk. Olyan alapvető nyersanyaggá vált, amely a gazdaság számára termékek előállításához és szolgáltatások nyújtásához is elengedhetetlen. A meglévő és folyamatosan bővülő adattömegre épülő digitalizáció alakítja azokat a szolgáltatásokat, amik az életünket, jólétünket befolyásolják. Véleményem szerint a fő veszélyforrások, a ransomware támadás, a véletlen vagy szándékos adatszivárgás, az adatvesztés és a jogosulatlan behatolás, a hacking köré szerveződnek”, mondta Tóth Zsolt, a delaware International CISO-ja.
Ugyanakkor megjelentek olyan jogszabályok is, mint például a GDPR, ami adatvédelmi szempontból markáns változást hozott, és ezzel az informatikai szolgáltatókat és a felhasználóikat is rákényszerítette a biztonságtudatosabb attitűdre.
A megrendelők kezében is ott a fegyver!
„Ügyféloldalról sok mindent tehetünk és kell is tennünk azért, hogy a céget a legnagyobb biztonságban tudhassuk. Nálunk az MVM-nél szigorú és részletes szabályok vannak a beszerzésre vonatkozóan. Egyrészről üzletfolytonossági, másrészről sérülékenységi, harmadrészt rendelkezésre állási szempontból is vizsgáljuk a beszállítót, a termékét, illetve a szolgáltatását is. Nyilvános forrásból is igyekszünk információt gyűjteni, valamint egy külön terület is foglalkozik a beszállítókkal, osztályozzuk őket, illetve van egy fehér és egy feketelistánk”, fogalmazta meg Szabó-Nyakas Zsolt Csaba, az MVM információbiztonsági vezetője, aki hozzátette, hogy személy szerint nagy kockázatot lát a beszállítói oldalban, nemcsak a biztonságtudatosság, hanem a rendelkezésre állás kapcsán is.
Felmerülhet a kérdés, hogy akkor mi a jó megoldás, mindent saját kezűleg lefejleszteni, vagy dobozos megoldásokat összedrótozni? Szabó-Nyakas Zsolt Csaba szerint a kettő között félúton van az erre adható válasz: adott esetben bele kell csiszolni a saját igényeket a dobozos megoldásba, de általánosságban igyekezni kell minden megoldásból a legjobbat kinyerni és ötvözni.
Ami a közszférát illeti, ott a vonatkozó jogszabályi környezet bizonyos paraméterek tekintetében előírja, hogy miként kell vizsgálni, szűrni a beszállítót, sőt, minősített esetekben a hatóságok, felügyeleti szervek egyfajta biztonsági előszűrést is végeznek. Ha nincsen ilyen helyzet, akkor is a vendort mint vállalatot meg kell vizsgálni az elérhető cégadatbázisból, de a cégméretből, a pénzügyi adatokból, a referenciákból, a portfólióban elérhető technológiákból és a projektre delegált szakemberekből, a kompetenciákból és tanúsítványokból is lehet következtetni arra, hogy az adott szervezet mennyire lesz képes megfelelően ellátni a feladatát. A beszerzés során az eredménytermékbe épített technológiákat és védelmi megoldásokat is vizsgálat alá kell vetni IT-biztonsági aspektusból is. Ha pedig egyedi fejlesztésről van szó, az adott fejlesztések elkészítését IT-biztonsági szempontból is ellenőrizni kell, hogy milyen elvek mentén valósultak meg” – tette hozzá Őri György.
Mindenki másképp csinálja
A nagyobb vállalatoknál jellemzően létezik a vendorok IT-biztonsági megfelelőségét vizsgáló kritériumrendszer, ugyanakkor iparág- és méretspecifikus, hogy melyik cég mit vár el.
„Nekem az a bevett módszer a vendorok IT-biztonsági szűrésére, hogy begyűjtöm az üzlet igényeit, a potenciális ajánlatokat pedig versenyeztetjük, végül pedig kiberbiztonsági szempontból ütköztetjük az eredményeket. Az MVM részéről az informatikai és a biztonsági vezető, illetve az adott terület első számú embere egy megoldócsoportban vizsgálja azt, hogy az adott termék vagy rendszer jelent-e bármilyen veszélyt akkor, ha integráljuk a hálózatba. Ha valamelyikünk nem biztos a beszállító termékében vagy magában a vendor biztonsági felkészültségében, akkor nem kerül beszerzésre tőlük az adott termék vagy szolgáltatás”, mondta Szabó-Nyakas Zsolt Csaba.
„Az adatfeldolgozás ma már szinte sehol sem házon belül történik. Számos kapcsolódó egyén, szervezet, alvállalkozó támogatja szervezeteket az adatkezelési folyamatokban. Így nekünk, vezetőknek kell törekednünk arra, hogy az adatkezelés folyamata a lehető leghatékonyabb legyen a résztvevő szereplők között, hogy megőrizhessük adataink bizalmasságát, sértetlenségét és hozzáférhetőségét (confidentiality, integrity, accessibility, azaz CIA-követelményeket), megfeleljünk a vonatkozó szabályozói környezetnek és betartsuk a szerződéseinkben foglalt vállalásokat”, fogalmazta meg Tóth Zsolt.
„Azt gondolom, sok probléma azért marad megoldatlan a beszállítói kockázatok kezelésében, mert a területet »negatív externáliaként« kezeljük. A szervezeteknek nem éri meg a beszállítói kockázatokkal foglalkozni, kivéve a pénzügyi szervezeteket. Drága és nehezen kimutatható az üzleti értéke, a menedzsment számára pedig nem hoz látványos eredményeket. Fontos lenne, hogy az IT-biztonsági kockázatok megjelenjenek az üzleti kockázati jelentésekben, valamint hogy az adatkezelés is szabályozásra kerüljön, hasonlóan a GDPR-hoz”, szögezte le Tóth Zsolt.
Kiss Franciska
