تیسری پطرف کا خطرہ شروع سے آخر تک: ایک عملی لغت

تیسری طرف کا خطرہ دستخط شدہ معاہدے یا مکمل شدہ سوالنامے پر رک نہیں جاتا۔ "شروع سے آخر تک" کا مطلب ہے فروخت کنندہ کے خطرے کو ایک زندگی کے چکر کے طور پر سمجھنا: جس لمحے آپ کسی سپلائی کار پر غور کرتے ہیں، پورے رشتے کے دوران، اور جس دن آپ تعلق ختم کرتے ہیں اور ان کی رسائی منسوخ کرتے ہیں۔ فروخت کنندگان سے منسلک زیادہ تر خلل اس لیے ہوتے ہیں کیونکہ تنظیمیں خطرے کو ایک مرحلے میں سنبھالتی ہیں (عام طور پر آن بورڈنگ) اور باقی کو بھول جاتی ہیں۔

شروع سے آخر تک اصل میں کیا شامل ہے

ایک مکمل تیسری طرف کے خطرے کا پروگرام چار الگ الگ مراحل تک پہنچتا ہے، جن میں سے ہر ایک کے اپنے کنٹرول ہیں:

1. تفتیش اور انتخاب - کسی بھی چیز پر دستخط کرنے سے پہلے، فروخت کنندہ کے سیکیورٹی رویے کا اندازہ لگائیں۔ اس میں SOC 2 رپورٹس، ISO 27001 سرٹیفیکیشنز، پینیٹریشن ٹیسٹ خلاصے، اور ان کی اپنی سب ٹھیکیدار فہرست کا جائزہ لینا شامل ہے (چوتھی طرف کا خطرہ یہاں چھپا ہوا ہے)۔
2. آن بورڈنگ اور معاہدہ - ڈیٹا ہینڈلنگ کی شرائط، خلل کی اطلاع کے وقت کی حد، آڈٹ کے حق کی شقیں، اور رسائی کا دائرہ معاہدے میں ہی متعین کرنا، نہ کہ محض ایک طرفہ سوالنامے میں۔
3. جاری نگرانی - مسلسل یا وقتاً فوقتاً چیکس: حملے کی سطح کی اسکیننگ، سیکیورٹی ریٹنگ سروسز (BitSight، SecurityScorecard)، ان کے پیچ کی رفتار کا جائزہ، اور جب وہ سب پروسیسرز کو تبدیل کریں یا کسی واقعے میں پڑیں تو دوبارہ تشخیص۔
4. آف بورڈنگ اور ختم کرنا - API کیز، VPN رسائی، مشترکہ اعتماد کو منسوخ کرنا، اور معاہدے کے مطابق ڈیٹا کی حذف یا واپسی کی تصدیق کرنا۔

زیادہ تر پروگرام مرحلہ 1 اور 2 میں مضبوط ہیں اور مرحلہ 3 اور 4 میں کمزور ہیں۔ 2022 میں کم خطرے کے طور پر تشخیص شدہ فروخت کنندہ 2024 میں غیر ترمیم شدہ سافٹ ویئر چلا رہا ہو سکتا ہے، اور کسی نے چیک نہیں کیا کیونکہ سوالنامہ ایک بار کی رکاوٹ تھا۔

جاری مرحلہ وہ جگہ ہے جہاں پروگرام ناکام ہوتے ہیں

آن بورڈنگ سوالنامے ایک لمحہ ہیں۔ یہ آپ کو بتاتے ہیں کہ فروخت کنندہ کی سیکیورٹی اس دن کی طرح تھی جب انہوں نے فارم بھرا تھا۔ حملے کی سطح ہر ہفتے بدل جاتی ہے۔ فروخت کنندہ کا بے نقاب S3 بالٹی، ایک ختم شدہ TLS سرٹیفیکیٹ، کسی سافٹ ویئر میں حال ہی میں ظاہر کیا گیا CVE جو وہ چلاتے ہیں — کوئی بھی اس میں نقطہ وقت SIG یا CAIQ سوالنامے میں نہیں آتا۔

شروع سے آخر تک کے پروگرام اس کو حل کرتے ہیں:

• درجہ بندی - ہر فروخت کنندہ کو ایک جیسی نگرانی کی ضرورت نہیں۔ تنخواہ کے پروسیسر جن کے پاس PII تک رسائی ہے، دفتری سامان کے فروخت کنندہ کے مقابلے میں زیادہ گہری اور زیادہ بار اسکریننگ حاصل کرتے ہیں۔ ڈیٹا کی حساسیت اور سسٹم کی رسائی کے لحاظ سے درجہ بندی کریں، معاہدے کی ڈالر کی قیمت کے لحاظ سے نہیں۔
• خودکار حملے کی سطح کی نگرانی - ایسے اوزار جو مسلسل فروخت کنندہ کے سامنے کے بنیادی ڈھانچے کو کھلے بندرگاہوں، ختم شدہ سرٹیفیکیٹس، پیسٹ سائٹس پر لیک شدہ اعتماد، اور بے نقاب کلاؤڈ سٹوریج کے لیے اسکین کرتے ہیں۔
• ٹریگر پر مبنی دوبارہ تشخیص - عوامی طور پر ظاہر شدہ خلل، ایک اندماج/حصول، یا ایک اہم پروڈکٹ کی تبدیلی کے فوری بعد فروخت کنندہ کو دوبارہ جائزہ دیں، سالانہ نیویگی سائیکل کے لیے انتظار کرنے کی بجائے۔

رسائی کا مسئلہ جس کی کوئی اچھی طرح نگرانی نہیں کرتا

یہاں ایک خلا ہے جو واقعہ کے بعد کے تشریح میں مسلسل دکھتا ہے: ٹھیکیدار وقت کے ساتھ رسائی جمع کرتے ہیں اور کوئی اسے صاف نہیں کرتا۔ ایک ٹھیکیدار جس کو تین ماہ کی پروجیکٹ کے لیے VPN رسائی کی ضرورت تھی، اٹھارہ ماہ بعد بھی درست اعتماد رکھتا ہے۔ ایک انضمام پارٹنر کی API کی ابتدائی پائلٹ کے بعد کبھی کوئی دائرہ نہیں کیا گیا۔

شروع سے آخر تک کے خطرے کی تشخیص کے لیے فروخت کنندہ کے زندگی کے چکر کی حالت سے منسلک رسائی کی فہرست کی ضرورت ہوتی ہے، نہ کہ صرف ایک IT اثاثے کی فہرست۔ جب فروخت کنندہ کا رشتہ ختم ہو تو کسی کو ایک چیک لسٹ کی ضرورت ہے: SSO/SAML اندراجات منسوخ کریں، مشترکہ API کیز گھمائیں، فائریول اور VPC پر allow فہرستوں سے ہٹائیں، ڈیٹا کی تنسیخ کے سرٹیفیکیٹ کی تصدیق کریں۔ اس مرحلے کو چھوڑ دینا یہ ہے کہ سابقہ فروخت کنندگان سالوں بعد معاہدے کے اختتام کے بعد واقعات میں ابتدائی رسائی کے ویکٹر کے طور پر کیسے ختم ہوتے ہیں۔

عملی فریم ورک جو اس ہفتے لاگو کریں

اگر آپ تیسری طرف کے خطرے کے پروگرام کو بنا رہے ہیں یا آڈٹ کر رہے ہیں، تو سب سے پہلے ان خلاوں کو چیک کریں:

• کیا کوئی درج شدہ درجہ بندی کا نمونہ ہے، یا ہر فروخت کنندہ کو رسائی کی سطح کے بغیر ایک جیسا سوالنامہ ملتا ہے؟
• کیا آپ کے پاس مسلسل نگرانی ہے، یا صرف تجدید کے وقت کا جائزہ؟
• کیا کوئی رسمی آف بورڈنگ چیک لسٹ ہے جو اعتماد کی منسوخی اور ڈیٹا کی تصدیق میں شامل ہے؟
• کیا آپ کا واقعہ کی جوابدہی کا منصوبہ واضح طور پر تیسری طرف سے شروع ہونے والے واقعات کو شامل کرتا ہے، بشمول یہ کہ کون اطلاع دیتا ہے اور کتنی دیر میں؟
• کیا آپ چوتھی طرف کو ٹریک کرتے ہیں (آپ کے فروخت کنندگان کے فروخت کنندار)، یا کیا نظر صرف براہ راست معاہدے پر رک جاتی ہے؟

NIST SP 800-161 اور ISO 27036 جیسے فریم ورکس اسے ڈھانچہ دیتے ہیں، لیکن اصل نظم و ضبط فروخت کنندہ کے خطرے کو ایک مسلسل عمل کے طور پر سمجھنے سے آتا ہے جو کسی مخصوص ٹیم کی ملکیت ہے، نہ کہ ایک کمپلائنس چیک باکس جو سال میں ایک بار بھرا جاتا ہے۔

اس کو بنانے کے بارے میں مزید کے لیے، Blue Team میں Korra Studio کے فروخت کنندہ کے خطرے کے فریم ورکس، رسائی کنٹرول کے زندگی کے چکر کی تشخیص، اور واقعہ کی جوابدہی کی منصوبہ بندی کے حصے دیکھیں۔