Мы все работаем в связанной цифровой экономике, и я на собственном опыте знаю, что ни одна организация больше не функционирует изолированно. Партнерства, платформы и сторонние сервисы имеют решающее значение для продвижения современного бизнеса вперед, позволяя нам внедрять инновации быстрее, выходить на новые рынки и оставаться впереди конкурентов. Но мы также усвоили, что каждое из этих мощных соединений привносит новый уровень ответственности, особенно когда речь идет о том, кто получает доступ к нашим системам и данным.
Хорошая новость заключается в том, что управление доступом третьих сторон не обязательно должно быть бременем. На самом деле, я считаю, что это может стать одной из наших наиболее эффективных стратегий для укрепления системы безопасности и построения прочного доверия как с партнерами, так и с клиентами. Целенаправленно уделяя внимание управлению идентификационными данными в вашей стратегии безопасности цепочки поставок, вы не только снижаете риски, но и открываете невероятные возможности для более безопасного и интеллектуального сотрудничества.
Присоединяйтесь ко мне, поскольку я исследую, как мы можем этого добиться, выявляя риски, связанные с идентификационными данными, управляя забытыми учетными записями и правами (также известными как теневые идентификаторы), внедряя подход наименьших привилегий и обеспечивая надежное управление во всех наших отношениях с третьими сторонами.
Понимание рисков безопасности цепочки поставок, основанных на идентификационных данных
Каждая учетная запись, взаимодействующая с вашими системами — будь то человек или машина, сотрудник, подрядчик или сторонний поставщик — представляет собой потенциальный вектор атаки. Особенно в контексте доступа третьих сторон эти идентификационные данные часто действуют вне зоны полного контроля и видимости вашей корпоративной службы безопасности.
Мы видим, что риски возникают не только из-за злонамеренных действий авторизованных пользователей, но и из-за непреднамеренных ошибок, таких как неправильные конфигурации, учетные записи с избыточными привилегиями или незащищенные токены доступа.
Если доверенная третья сторона будет скомпрометирована, злоумышленник сможет использовать ее права доступа, потенциально получив тот же уровень доступа к нашим системам, что и сама третья сторона. Это подчеркивает важность тщательной оценки и ограничения доступа, предоставляемого внешним партнерам.
Если доверенная третья сторона будет скомпрометирована, злоумышленник сможет использовать ее права доступа, потенциально получив тот же уровень доступа к нашим системам, что и сама третья сторона. Это подчеркивает важность тщательной оценки и ограничения доступа, предоставляемого внешним партнерам.
Недавние инциденты показали, насколько масштабными могут быть риски в цепочке поставок, связанные с идентификационными данными:
- Атака на SolarWinds (2020): Государственные хакерские группировки скомпрометировали механизм обновления доверенного поставщика программного обеспечения, что позволило им незаметно проникнуть в тысячи клиентских сетей.
- Инцидент с Okta (октябрь 2023 г.): Была взломана сторонняя компания, предоставляющая техподдержку клиентов, что привело к несанкционированному доступу к конфиденциальным данным службы поддержки.
- CrowdStrike (июль 2024 г.): Ошибка конфигурации у стороннего поставщика платформы привела к масштабным сбоям в глобальных средах Windows, подчеркнув, как непреднамеренные ошибки поставщиков могут вызывать огромные операционные сбои.
Эти примеры подчеркивают разнообразный характер рисков, связанных с идентификационными данными, которые обычно проявляются в трех формах:
Человеческие идентификаторы:
Эта категория включает внешних пользователей, таких как подрядчики, поставщики или сотрудники партнеров, которые получают доступ к вашим системам.
Нечеловеческие идентификаторы:
Это охватывает приложения, подключенные через OAuth, ключи API, служебные учетные записи и автоматизированные скрипты, которые работают от нашего имени.
Теневые идентификаторы:
Это несопровождаемые или забытые учетные записи, включая старые записи, неактивные интеграции или несанкционированные приложения, которые продолжают сохранять доступ без какого-либо контроля.
Если ими должным образом не управлять, каждый из этих типов идентификаторов может непреднамеренно предоставить путь для несанкционированного доступа. Поэтому внедрение четкого управления, элементов контроля доступа и проведение регулярного надзора имеют решающее значение для защиты этих точек взаимодействия по всей цепочке поставок.
Шаг 1: Расшифровка теневых идентификаторов
Мы на собственном опыте убедились, как возникают теневые идентификаторы, когда человеческие подрядчики или приложения OAuth создают доступ неконтролируемым образом — без учета и управления. Рассмотрим эту статистику, которая привлекла мое внимание:
900%
Теневой API-трафик — запросы к недокументированным конечным точкам — вырос на поразительные 900%, что сигнализирует о значительной активности, часто происходящей вне рамок стандартного управления.
40%
Этих учетных записей могут повысить привилегии в один шаг, в то время как 13% уже обладают правами администратора домена.
Для меня теневые идентификаторы представляют собой нечто большее, чем просто забытые учетные записи; они представляют собой серьезную угрозу.
Незримый доступ создает открытую дверь для потенциальных взломов. Выявление этих идентификаторов и управление ими способствуют укреплению доверия и соблюдению нормативных требований при минимизации скрытых рисков.
Незримый доступ создает открытую дверь для потенциальных взломов. Выявление этих идентификаторов и управление ими способствуют укреплению доверия и соблюдению нормативных требований при минимизации скрытых рисков.
Наиболее эффективная трансформация начинается с приверженности следующим принципам:
- Обнаружение: сканирование систем на предмет неиспользуемых или избыточно привилегированных учетных данных.
- Анализ: выявление старых учетных записей или токенов, связанных с устаревшими проектами.
- Устранение: удаление или ограничение любого доступа, который больше не нужен на практике.
Этот простой непрерывный процесс — обнаружение, анализ, устранение — приводит к измеримым улучшениям в области видимости, контроля и готовности к соблюдению требований.
Шаг 2: Внедрение принципа наименьших привилегий
Я считаю, что сами по себе привилегии не являются чем-то inherently негативным — они просто требуют границ. Внедрение принципа наименьших привилегий включает в себя следующие шаги:
- Моделирование доступа: создание четкой модели доступа, определяющей, к чему могут обращаться идентификаторы. Назначение разрешений исключительно на основе необходимости. Эта модель может быть разработана с использованием комбинации моделей xBAC (управление доступом на основе атрибутов x), адаптированных под конкретные требования вашей организации.
- Оперативный или ограниченный по времени доступ: автоматизация истечения срока действия учетных данных третьих сторон везде, где это возможно. Если кому-то требуется доступ на один день, убедитесь, что он будет отозван в конце этого дня, чтобы минимизировать остаточные разрешения.
- Проверки доступа: проведение регулярных проверок доступа третьих сторон для подтверждения его актуальности и обоснованности. Удаление разрешений, которые не используются или больше не служат бизнес-целям. Хотя некоторые проверки могут быть автоматизированными, другие потребуют периодического ручного контроля — оба эти подхода важны для поддержания эффективного управления доступом.
Этот подход не препятствует партнерству; напротив, он делает его безопасным и устойчивым.
Когда доступ согласован с определенными ролями, временными рамками и надлежащим контролем, вы снижаете уязвимости, обеспечивая при этом гибкое и оперативное сотрудничество.
Когда доступ согласован с определенными ролями, временными рамками и надлежащим контролем, вы снижаете уязвимости, обеспечивая при этом гибкое и оперативное сотрудничество.
Я выступаю за использование автоматизации там, где она приносит пользу, но помните, что эффективное управление в конечном итоге зависит от баланса между технологиями и человеческим суждением.
Шаг 3: Построение разделенной ответственности
С моей точки зрения, безопасность идентификационных данных — это не просто технический вопрос, а важнейшая бизнес-задача.
Управление должно выходить за рамки внутренних политик и охватывать ваши соглашения с третьими сторонами, внедряя четкие юридические, операционные элементы и средства контроля соблюдения требований в ваши отношения с поставщиками. Это способствует формированию чувства общей ответственности.
Управление должно выходить за рамки внутренних политик и охватывать ваши соглашения с третьими сторонами, внедряя четкие юридические, операционные элементы и средства контроля соблюдения требований в ваши отношения с поставщиками. Это способствует формированию чувства общей ответственности.
Для усиления контрактов с третьими сторонами я рекомендую рассмотреть следующие элементы:
- Определенные стандарты управления идентификационными данными: требуйте использования ваших стандартов управления доступом и идентификационными данными (IAM) для всех управляемых поставщиком учетных записей. Эти стандарты должны регулировать процессы создания и удаления учетных записей, гигиену, регулярное тестирование, проверку средств контроля, принцип наименьших привилегий, управление конфигурациями, управление изменениями и процессы реагирования на инциденты.
- Права на аудит и проверку: обеспечьте наличие договорных прав на просмотр журналов доступа и практик управления идентификационными данными. Мониторинг и проверка того, что третьи стороны активно поддерживают, тестируют и проверяют эти средства контроля, имеют решающее значение для предотвращения ситуаций, когда проблемы остаются незамеченными в течение длительного времени.
- Соглашения об уровне обслуживания (SLA) при уведомлении об инцидентах: установите четкие, ограниченные по времени требования к поставщикам относительно уведомления вас о любых инцидентах, связанных с идентификационными данными, утечках учетных данных или сбоях средств контроля.
- Соответствие нормативным требованиям: требуйте строгого соблюдения актуальных правил и стандартов, таких как GDPR, PCI DSS, NIS2 и других применимых нормативных баз.
Эти меры устанавливают взаимную ответственность и гарантируют, что ожидания в области безопасности четко зафиксированы, проверяемы и обязательны для исполнения с самого начала.
Превращение рисков в возможности
Я твердо убежден, что защита доступа третьих сторон выходит за рамки периметровой защиты; она предполагает понимание того, кто и что подключается к вашему бизнесу, и ответственное управление этими подключениями. Подходя к управлению идентификационными данными третьих сторон осознанно и усердно, а также применяя надлежащий уровень строгости, вы способствуете созданию более безопасных, устойчивых и надежных партнерских отношений.
В среде с нулевым доверием доверие всегда должно сопровождаться проверкой. Вы можете защитить то, что важно, и одновременно обеспечить процветание своего бизнеса, интегрируя ключевые элементы, такие как надлежащее управление, принцип наименьших привилегий, а также упреждающее обнаружение и управление теневыми учетными записями. В современной цифровой цепочке поставок идентификационные данные стали новым периметром, что делает их безопасность необходимой для построения более прочного и безопасного будущего для всех участников.
