Анализ рисков третьих сторон: скрытые угрозы цепочки поставок

Современный бизнес устроен так, что безопасность любой организации фактически приравнивается к безопасности самого слабого звена в цепочке поставок. Каждый из нас привык инвестировать в защиту собственного периметра, но что происходит, когда угроза проникает через доверенного подрядчика?

Мы решили выяснить, как обстоит ситуация с защищенностью подрядных организаций в России. На основе анализа более 60 000 компаний нам удалось получить картину системных рисков, связанных с контрагентами.

Методология

Исследование было проведено с помощью CICADA8 CyberRating (решение класса Third-Party Risk Assessment) — платформы для оценки уровня защищенности контрагентов и дочерних организаций. Она оценивает широкий спектр критериев и на базе неинвазивного анализа формирует совокупный рейтинг защищенности организаций, который актуализируется в режиме реального времени. Рейтинг присваивается, исходя из независимой оценки организаций по трем критериям: наличие уязвимостей на ИТ-периметре (Vulnerability Rating), репутация активов, расположенных на внешнем периметре (Network Rating), и выявление утекших баз данных, ассоциированных с данной компанией (Leaks Rating).

Тревожная статистика: «Дырявый периметр»

Результаты анализа выявили критическую ситуацию с безопасностью внешнего контура:

Статистика говорит о том, что практически половина потенциальных партнеров уже содержат «открытую дверь» для злоумышленников.

Данные под угрозой

Ситуация с защитой конфиденциальной информации вызывает серьезные опасения:

• подавляющее большинство компаний (72%) уже сталкивались с утечками данных;
• согласно кумулятивному рейтингу, сформированному CICADA8 CyberRating, каждая пятая организация находится в зоне повышенного риска;
• непосредственную угрозу представляют порядка четырех тысяч организаций, данные которых обнаружены в базах недавних утечек «возрастом» менее полугода.

Сетевые недостатки и репутационные риски

Повсеместно распространены проблемы с базовыми настройками сети и репутацией активов:

• свыше половины компаний имеют проблемы с репутацией: принадлежащие им ИТ-активы фигурируют в спам-базах и «черных списках», которые содержат списки потенциально вредоносных или замеченных в рассылках спама ресурсов. Это может быть следствием компрометации (включения в ботнет), злоупотребления спуфингом в отношении почтовых доменов или иных атак с применением данных активов;
• около 1,5 тысяч организаций допускают ошибки в конфигурации сервисов DNS.

Репутационные риски зачастую становятся «индикатором» скрытых угроз (например, попадания ресурсов в ботнет) и более фундаментальных проблем с безопасностью в целом.

Открытая дверь для хакера

Широкий круг подрядчиков оставляет критические системы без внимания, в результате чего они остаются доступными извне:

Подобные ошибки в базовых правилах безопасности недопустимы в современных реалиях — управляющие порты принимают на себя свыше 60% попыток компрометации корпоративных сетей, а веб-интерфейсы существенно повышают риски дефейса или утечки данных.

Общая оценка безопасности контрагентов

Комплексная оценка безопасности позволяет выделить как компании с удовлетворительным уровнем защиты, так тех, кто представляет неиллюзорную угрозу для партнеров:

Профиль угроз российского бизнеса

Корреляция угроз: диаграмма Спирмена

Приоритетные действия для бизнеса

С учётом того, что четверть партнёров имеют низкий уровень защищённости, традиционные методы проверки кибербезопасности подрядчиков (анкетирование) — всё равно что раскрытый зонт в урагане цифровых рисков. Подход к защите цепочки поставок должен быть централизованным, проактивным и основанным на практических инструментах проверки.

Комплексно управляйте рисками при работе с контрагентами вместе с CICADA8. Оставить заявку