Third-Party Risk End to End: A Practical Glossary

ความเสี่ยงจากบุคคลที่สามไม่สิ้นสุดที่สัญญาที่ลงนามหรือแบบฟอร์มสอบถามที่เสร็จสิ้น "End to end" หมายถึงการปฏิบัติต่อความเสี่ยงของผู้จัดจำหน่ายเป็นวงจรชีวิต: ตั้งแต่ช่วงที่คุณพิจารณาผู้จัดจำหน่าย ตลอดความสัมพันธ์ทั้งหมด จนถึงวันที่คุณตัดความเชื่อมโยงและเพิกถอนการเข้าถึง การละเมิดส่วนใหญ่ที่เกี่ยวข้องกับผู้จัดจำหน่ายเกิดขึ้นเพราะองค์กรจัดการความเสี่ยงในหนึ่งเฟส (โดยปกติคือการเข้าระบบ) และลืมส่วนที่เหลือ

สิ่งที่ end-to-end ครอบคลุมจริง

โปรแกรมความเสี่ยงจากบุคคลที่สามที่สมบูรณ์ระบุถึงสี่เฟสที่แตกต่างกัน โดยแต่ละเฟสมีการควบคุมของตัวเอง:

1. การตรวจสอบและการเลือก - ก่อนที่คุณจะเซ็นชื่ออะไรก็ตาม ให้ประเมินท่าทีด้านความปลอดภัยของผู้จัดจำหน่าย ซึ่งรวมถึงการทบทวนรายงาน SOC 2 การรับรอง ISO 27001 สรุปการทดสอบการเจาะ และรายชื่อผู้รับเหมาช่วงของพวกเขา (ความเสี่ยงจากบุคคลที่สี่ซ่อนอยู่ที่นี่)
2. การเข้าระบบและการทำสัญญา - การกำหนดเงื่อนไขการจัดการข้อมูล เวลาแจ้งเรื่องละเมิด ข้อบัญญัติในการตรวจสอบ และขอบเขตการเข้าถึงในสัญญาเอง ไม่ใช่เพียงแบบฟอร์มสอบถามด้านข้าง
3. การติดตามอย่างต่อเนื่อง - การตรวจสอบอย่างต่อเนื่องหรือเป็นระยะ: การสแกนพื้นผิวการโจมตี บริการอัตรา ความปลอดภัย (BitSight, SecurityScorecard) การทบทวนกำหนดการแพตช์ของพวกเขา และการประเมินใหม่เมื่อพวกเขาเปลี่ยนตัวประมวลผลย่อยหรือประสบเหตุการณ์
4. การออกจากระบบและการสิ้นสุด - การเพิกถอน API key การเข้าถึง VPN ข้อมูลประจำตัวที่ใช้ร่วมกัน และการยืนยันการลบหรือการคืนข้อมูลตามสัญญา

โปรแกรมส่วนใหญ่มีความแข็งแกร่งในขั้นตอนที่ 1 และ 2 และอ่อนแอในขั้นตอนที่ 3 และ 4 ผู้จัดจำหน่ายที่ประเมินว่ามีความเสี่ยงต่ำในปี 2022 อาจใช้ซอฟต์แวร์ที่ไม่ได้รับการแพตช์ในปี 2024 และไม่มีใครตรวจสอบเพราะแบบฟอร์มสอบถามเป็นเกตแบบครั้งเดียว

เหตุใดเฟสอย่างต่อเนื่องคือที่โปรแกรมล้มเหลว

แบบฟอร์มสอบถามการเข้าระบบเป็นภาพถ่าย พวกเขาบอกคุณว่าความปลอดภัยของผู้จัดจำหน่ายมีลักษณะอย่างไรในวันที่พวกเขากรอกแบบฟอร์ม พื้นผิวการโจมตีเปลี่ยนแปลงทุกสัปดาห์ ที่เก็บ S3 ที่สัญญาของผู้จัดจำหน่าย ใบรับรอง TLS ที่หมดอายุ CVE ที่เพิ่งเปิดเผยในซอฟต์แวร์ที่พวกเขาใช้ - ไม่มีอะไรเลยที่แสดงใน SIG หรือแบบฟอร์มสอบถาม CAIQ ตรงตามเวลา

โปรแกรม end-to-end แก้ปัญหานี้ด้วย:

• การแบ่งชั้น - ไม่ใช่ทุกผู้จัดจำหน่ายต้องการความเข้มงวดเดียวกัน ตัวประมวลผลค่าจ้างที่มีการเข้าถึง PII จะได้รับการตรวจสอบที่ลึกขึ้นและบ่อยขึ้นมากกว่าผู้จัดจำหน่ายวัสดุอุปกรณ์สำนักงาน แบ่งชั้นตามความไว้วางใจต่อข้อมูลและการเข้าถึงระบบ ไม่ใช่ตามมูลค่าสัญญาดอลลาร์
• การติดตามพื้นผิวการโจมตีโดยอัตโนมัติ - เครื่องมือที่สแกนโครงสร้างพื้นฐานที่เผชิญต่อสาธารณะของผู้จัดจำหน่ายอย่างต่อเนื่องเพื่อค้นหาพอร์ตที่เปิด ใบรับรองที่หมดอายุ ข้อมูลประจำตัวที่รั่วไหลบนไซต์วาง และที่เก็บข้อมูลบนคลาउด์ที่สัญญา
• การประเมินใหม่โดยทำให้เกิด - ทบทวนผู้จัดจำหน่ายใหม่ทันทีหลังจากการละเมิดที่เปิดเผยต่อสาธารณะ การควบรวมกิจการ/การได้มา หรือการเปลี่ยนแปลงผลิตภัณฑ์ที่สำคัญ แทนที่จะรอการหมุนเวียนประจำปี

ปัญหาการเข้าถึงที่ไม่มีใครติดตามได้ดี

นี่คือช่องว่างที่ปรากฏอย่างต่อเนื่องในบทสรุปเหตุการณ์: ผู้จัดจำหน่ายสะสมการเข้าถึงเมื่อเวลาผ่านไปและไม่มีใครตัดแต่ง ผู้รับเหมาที่ต้องการการเข้าถึง VPN สำหรับโครงการสามเดือนยังคงมีข้อมูลประจำตัวที่ใช้ได้สิบแปดเดือนต่อมา API key ของพার์ตเนอร์การรวมไม่เคยได้รับการกำหนดขอบเขตหลังจากการทดสอบเบื้องต้น

การจัดการความเสี่ยง end-to-end ต้องการสินค้าคงคลังการเข้าถึงที่เชื่อมโยงกับสถานะวงจรชีวิตของผู้จัดจำหน่าย ไม่ใช่เพียงรายชื่อสินทรัพย์ IT เมื่อความสัมพันธ์ของผู้จัดจำหน่ายสิ้นสุด มีคนต้องการรายการตรวจสอบ: เพิกถอนรายการ SSO/SAML หมุนเวียน API key ที่ใช้ร่วมกัน ลบออกจากรายการอนุญาตบนไฟร์วอลล์และ VPC ยืนยันใบรับรองการทำลายข้อมูล การข้ามขั้นตอนนี้คือวิธีที่ผู้จัดจำหน่ายเดิมจบลงเป็นเวกเตอร์การเข้าถึงเบื้องต้นในเหตุการณ์ปีหลังจากสัญญาสิ้นสุด

กรอบงานปฏิบัติเพื่อนำไปใช้สัปดาห์นี้

หากคุณกำลังสร้างหรือตรวจสอบโปรแกรมความเสี่ยงจากบุคคลที่สาม ให้ตรวจสอบช่องว่างเหล่านี้ก่อน:

• มีรูปแบบการแบ่งชั้นที่มีการบันทึกไว้หรือผู้จัดจำหน่ายทุกคนได้รับแบบฟอร์มสอบถามเดียวกันโดยไม่คำนึงถึงระดับการเข้าถึง?
• คุณมีการติดตามอย่างต่อเนื่องหรือเพียงการตรวจสอบเมื่อหมุนเวียน?
• มีรายการตรวจสอบการออกจากระบบที่เป็นทางการซึ่งรวมถึงการเพิกถอนข้อมูลประจำตัวและการยืนยันข้อมูลหรือไม่?
• แผนการตอบสนองต่อเหตุการณ์ของคุณครอบคลุมเหตุการณ์ที่เกิดจากบุคคลที่สามอย่างชัดแจ้งหรือไม่ รวมถึงวิธีการแจ้งให้ทราบและภายในกรอบเวลาใด?
• คุณติดตามบุคคลที่สี่ (ผู้จัดจำหน่ายของผู้จัดจำหน่ายของคุณ) หรือการมองเห็นหยุดที่สัญญาโดยตรง?

กรอบงานเช่น NIST SP 800-161 และ ISO 27036 ให้โครงสร้างสำหรับสิ่งนี้ แต่วินัยที่แท้จริงมาจากการปฏิบัติต่อความเสี่ยงของผู้จัดจำหน่ายเป็นกระบวนการต่อเนื่องที่เป็นเจ้าของโดยทีมเฉพาะ ไม่ใช่กล่องการปฏิบัติตามข้อกำหนดที่กรอกเพียงครั้งเดียวต่อปี

สำหรับข้อมูลเพิ่มเติมเกี่ยวกับการสร้างสิ่งนี้ให้ตรวจสอบส่วนของ Korra Studio เกี่ยวกับกรอบงานความเสี่ยงของผู้จัดจำหน่าย การจัดการวงจรชีวิตการควบคุมการเข้าถึง และการวางแผนการตอบสนองต่อเหตุการณ์ภายใน Blue Team