Rủi ro Bên Thứ Ba End to End: Từ điển Thực hành

Rủi ro bên thứ ba không dừng lại ở một hợp đồng đã ký hoặc một bảng câu hỏi đã hoàn thành. "End to end" có nghĩa là xử lý rủi ro nhà cung cấp như một vòng đời: từ thời điểm bạn xem xét một nhà cung cấp, qua toàn bộ mối quan hệ, cho đến ngày bạn ngắt kết nối và thu hồi quyền truy cập của họ. Hầu hết các vi phạm liên quan đến nhà cung cấp xảy ra vì các tổ chức quản lý rủi ro trong một giai đoạn (thường là onboarding) và quên phần còn lại.

Điều mà end-to-end thực sự bao gồm

Một chương trình rủi ro bên thứ ba đầy đủ liên quan đến bốn giai đoạn riêng biệt, mỗi giai đoạn có các kiểm soát riêng của nó:

1. Due diligence và selection - trước khi bạn ký bất cứ thứ gì, hãy đánh giá tình hình bảo mật của nhà cung cấp. Điều này bao gồm việc xem xét các báo cáo SOC 2, chứng chỉ ISO 27001, tóm tắt kiểm tra thâm nhập và danh sách nhà thầu phụ của họ (rủi ro fourth-party ẩn ở đây).
2. Onboarding và contracting - xác định các điều khoản xử lý dữ liệu, timeline thông báo vi phạm, mệnh đề quyền kiểm toán và phạm vi truy cập trong chính hợp đồng, không chỉ là một bảng câu hỏi bên lề.
3. Ongoing monitoring - kiểm tra liên tục hoặc định kỳ: attack surface scanning, dịch vụ xếp hạng bảo mật (BitSight, SecurityScorecard), xem xét tốc độ vá lỗi của họ và đánh giá lại khi họ thay đổi subprocessor hoặc gặp sự cố.
4. Offboarding và termination - thu hồi API key, truy cập VPN, thông tin xác thực được chia sẻ và xác nhận xóa hoặc trả lại dữ liệu theo hợp đồng.

Hầu hết các chương trình mạnh ở bước 1 và 2 nhưng yếu ở bước 3 và 4. Một nhà cung cấp được đánh giá là rủi ro thấp năm 2022 có thể chạy phần mềm chưa được vá năm 2024, và không ai kiểm tra vì bảng câu hỏi là một cổng chỉ một lần.

Tại sao giai đoạn ongoing là nơi các chương trình thất bại

Các bảng câu hỏi onboarding là một ảnh chụp nhanh. Chúng cho bạn biết bảo mật của nhà cung cấp trông như thế nào vào ngày họ điền mẫu. Attack surface thay đổi hàng tuần. Một S3 bucket bị lộ của nhà cung cấp, một chứng chỉ TLS hết hạn, một CVE mới được công bố trong phần mềm họ chạy — không có gì trong số đó xuất hiện trong một bảng câu hỏi SIG hoặc CAIQ point-in-time.

Các chương trình end-to-end giải quyết vấn đề này bằng:

• Tiering - không phải mỗi nhà cung cấp đều cần cùng mức độ kiểm tra. Một bộ xử lý tiền lương có quyền truy cập vào PII nhận được xem xét sâu hơn và thường xuyên hơn so với nhà cung cấp văn phòng phẩm. Tier theo độ nhạy dữ liệu và quyền truy cập hệ thống, không phải theo giá trị hợp đồng.
• Automated attack surface monitoring - các công cụ liên tục quét cơ sở hạ tầng công khai của nhà cung cấp để tìm các cổng mở, chứng chỉ hết hạn, thông tin xác thực rò rỉ trên các trang paste và bộ lưu trữ đám mây bị lộ.
• Trigger-based reassessment - xem xét lại nhà cung cấp ngay lập tức sau một vi phạm được công khai, sáp nhập/mua lại hoặc thay đổi sản phẩm đáng kể, thay vì chờ chu kỳ gia hạn hàng năm.

Vấn đề truy cập mà không ai theo dõi tốt

Đây là một khoảng cách xuất hiện liên tục trong các postmortem sự cố: các nhà cung cấp tích lũy truy cập theo thời gian và không ai cắt tỉa nó. Một nhà thầu cần truy cập VPN cho một dự án ba tháng vẫn có thông tin xác thực hợp lệ mười tám tháng sau. Một khóa API của đối tác tích hợp không bao giờ bị thu hẹp phạm vi sau khi thử nghiệm ban đầu.

Quản lý rủi ro end-to-end yêu cầu một kho hàng truy cập được liên kết với trạng thái vòng đời của nhà cung cấp, không chỉ là danh sách tài sản IT. Khi mối quan hệ nhà cung cấp kết thúc, ai đó cần một danh sách kiểm tra: thu hồi các mục nhập SSO/SAML, xoay các khóa API được chia sẻ, xóa khỏi danh sách cho phép trên tường lửa và VPC, xác nhận chứng chỉ xóa dữ liệu. Bỏ qua bước này là cách các nhà cung cấp cũ kết thúc như là vector truy cập ban đầu trong các sự cố nhiều năm sau khi hợp đồng kết thúc.

Khung thực hành để áp dụng tuần này

Nếu bạn đang xây dựng hoặc kiểm toán một chương trình rủi ro bên thứ ba, trước tiên hãy kiểm tra các khoảng cách này:

• Có một mô hình tiering được ghi chép, hoặc mỗi nhà cung cấp đều nhận được cùng một bảng câu hỏi bất kể mức độ truy cập?
• Bạn có monitoring liên tục, hay chỉ có xem xét vào thời điểm gia hạn?
• Có một danh sách kiểm tra offboarding chính thức bao gồm thu hồi thông tin xác thực và xác nhận dữ liệu?
• Kế hoạch ứng phó sự cố của bạn có rõ ràng bao gồm các sự cố bắt nguồn từ bên thứ ba, bao gồm ai thông báo cho ai và trong khoảng thời gian nào?
• Bạn theo dõi fourth parties (các nhà cung cấp của các nhà cung cấp của bạn), hay khả năng nhìn thấy dừng lại ở hợp đồng trực tiếp?

Các khung như NIST SP 800-161 và ISO 27036 cung cấp cấu trúc cho điều này, nhưng kỷ luật thực tế đến từ việc xử lý rủi ro nhà cung cấp như một quá trình liên tục do một nhóm cụ thể sở hữu, không phải là một hộp kiểm tuân thủ được điền một lần mỗi năm.

Để biết thêm thông tin về việc xây dựng điều này, hãy xem các phân đoạn của Korra Studio về các khung rủi ro nhà cung cấp, quản lý vòng đời kiểm soát truy cập và lập kế hoạch ứng phó sự cố trong Blue Team.