Softline: почему взлом ИТ-подрядчика может оказаться опаснее атаки на саму компанию

Компания может надежно защитить собственную инфраструктуру, но потерять доступ к данным или столкнуться с остановкой бизнес-процессов из-за проблем у подрядчика.

Злоумышленники используют внешние подключения, зараженные обновления программ и уязвимости сторонних компонентов, чтобы проникать в корпоративные системы через поставщиков. При этом один скомпрометированный сервис может создать угрозу сразу для множества организаций.

В ГК Softline обращают внимание, что привычной проверки собственной инфраструктуры недостаточно, если важные ИТ-процессы зависят от сторонних компаний. Бизнесу необходимо контролировать доступ подрядчиков, оценивать их защищенность и заранее определять порядок действий на случай взлома или недоступности внешнего сервиса.

Почему злоумышленникам выгодно атаковать подрядчиков

Крупные компании используют облачные платформы, привлекают внешних разработчиков, передают обслуживание корпоративных систем ИТ-интеграторам и подключают сторонние сервисы. Для нормальной работы таким партнерам часто необходим доступ к внутренним приложениям, данным или отдельным участкам инфраструктуры заказчика.

Этим могут воспользоваться злоумышленники. Вместо прямой атаки на хорошо защищенную организацию они ищут уязвимость у поставщика, который уже имеет доверенный доступ к ее системам.

Например, если внешний ИТ-специалист подключается к инфраструктуре заказчика через VPN, преступники могут попытаться похитить его учетные данные. При отсутствии дополнительных ограничений скомпрометированная учетная запись позволит использовать действующее подключение для проникновения во внутреннюю сеть.

Другой вариант связан с поставщиками программного обеспечения. Если злоумышленникам удается изменить обновление программы и внедрить в него вредоносный код, опасная версия может попасть к клиентам через штатный механизм установки. Для принимающей стороны такое обновление будет выглядеть как обычный релиз доверенного разработчика.

По оценке специалистов ГК Softline, основная сложность заключается в том, что атака использует уже существующие технологические связи. Заказчик может не заметить угрозу, поскольку подключение подрядчика или установка обновления сами по себе не выглядят подозрительно.

Как одна уязвимость затрагивает множество компаний

Атаки через поставщиков могут развиваться по нескольким сценариям. Помимо компрометации обновлений и учетных записей подрядчиков, угрозу создают утечки у сервис-провайдеров и ошибки в сторонних программных компонентах.

Особого внимания требуют библиотеки с открытым исходным кодом. Разработчики включают такие компоненты в собственные продукты, поэтому обнаруженная в библиотеке уязвимость может затронуть множество приложений, которые используют один и тот же код.

Компания при этом может не разрабатывать уязвимый компонент самостоятельно и даже не взаимодействовать напрямую с его авторами. Однако ошибка становится частью программного обеспечения, от которого зависит ее работа.

Схожая ситуация возникает с внешними сервисами: если облачная платформа или поставщик программного обеспечения обслуживает большое количество клиентов, его компрометация может иметь последствия сразу для нескольких организаций.

Наши эксперты ГК Softline обращают внимание на риск концентрации зависимости от ограниченного числа поставщиков. Чем больше компаний используют одну платформу или общий программный компонент, тем шире могут оказаться последствия серьезного инцидента у его разработчика или оператора.

При этом важно различать кибератаку и обычную недоступность сервиса: в первом случае возможны кража информации и проникновение в системы заказчиков, во втором компания может лишиться доступа к необходимой услуге даже без компрометации собственных данных. Оба сценария требуют подготовки, но меры реагирования будут различаться.

Какие поставщики представляют наибольший риск

Последствия проблем у подрядчиков зависят от того, какие услуги они предоставляют и насколько глубоко встроены в работу заказчика. Например, производственная компания может зависеть от внешнего интегратора учетной системы, интернет-магазин — от платежного провайдера, а юридическая организация — от сервиса хранения документов. Для медицинской клиники критичным может оказаться поставщик системы записи пациентов.

В каждом случае риск связан с конкретным бизнес-процессом. Недоступность платежного сервиса может помешать интернет-магазину принимать оплату, а сбой системы электронных документов — затруднить работу сотрудников с необходимой информацией.

Однако проверять всех контрагентов с одинаковой тщательностью нецелесообразно. В Softline мы рекомендуем прежде всего определить, какие партнеры имеют доступ к конфиденциальным данным, подключаются к внутренней инфраструктуре или обслуживают процессы, остановка которых существенно повлияет на деятельность компании.

Для этого необходим реестр поставщиков с описанием используемых услуг и предоставленных полномочий, который позволит выделить наиболее значимых контрагентов и определить меры контроля для каждого из них. При оценке рисков важнее не масштаб бизнеса подрядчика, а его доступ к системам заказчика и влияние на критически важные процессы.

Что необходимо проверять до подключения подрядчика

Оценку безопасности стоит проводить до того, как внешний партнер получит доступ к корпоративным системам или конфиденциальной информации. Прежде всего необходимо выяснить, как подрядчик управляет учетными записями сотрудников, защищает удаленные подключения, устраняет уязвимости и реагирует на инциденты.

В частности, важно проверить, применяется ли многофакторная аутентификация, при которой для входа требуется дополнительное подтверждение помимо пароля. Если поставщик занимается разработкой программного обеспечения, значение приобретают также процедуры безопасной разработки и контроля используемых компонентов.

Для ГК Softline принципиально, чтобы условия взаимодействия были определены заранее. Требования к защите информации необходимо закреплять в договорах, включая порядок уведомления о киберинцидентах, возможность аудита и обязанности привлекаемых субподрядчиков.

Последний пункт особенно важен для сложных ИТ-проектов, поскольку подрядчик может самостоятельно использовать облачные платформы, библиотеки и услуги других компаний. В результате безопасность заказчика зависит от участников, с которыми у него нет прямых договорных отношений, поэтому такие связи необходимо учитывать при оценке рисков.

Почему безопасность поставщика нужно контролировать постоянно

Даже успешная проверка перед заключением договора не гарантирует, что уровень защиты подрядчика останется неизменным. Со временем компания может внедрить новые технологии, изменить инфраструктуру или привлечь дополнительных исполнителей, поэтому специалисты группы компаний Softline рекомендуют регулярно пересматривать оценку критически важных поставщиков.

Особое внимание следует уделять изменениям в доступе к данным, внешних подключениях и используемых сервисах. Одна из основных мер защиты — предоставление подрядчикам минимально необходимых полномочий, чтобы специалист, обслуживающий конкретное приложение, не получал доступ ко всем корпоративным системам без производственной необходимости.

Права доступа необходимо пересматривать по мере изменения работ и отзывать после прекращения сотрудничества. Это уменьшает число подключений, которыми злоумышленники потенциально могут воспользоваться при компрометации подрядчика.

В ГК Softline также подчеркивают значение постоянного контроля за критическими технологическими зависимостями. Если организация не знает, кто из внешних исполнителей имеет доступ к ее инфраструктуре, она не сможет оперативно оценить последствия инцидента у одного из них.

Что делать, если поставщика уже взломали

При сообщении об инциденте у подрядчика заказчику необходимо быстро определить, затронуты ли его собственные системы и данные. Для этого важно выяснить характер происшествия, проверить предоставленные поставщику полномочия и установить, какие подключения могли оказаться под угрозой.

Если существует риск несанкционированного доступа, компания должна рассмотреть ограничение или временное отключение соответствующих соединений и одновременно подключить внутреннюю команду реагирования, чтобы оценить последствия для корпоративной инфраструктуры.

В такой ситуации время имеет решающее значение. Если сотрудники заранее не знают, кто принимает решение об отключении подрядчика и какие процессы зависят от его услуг, реагирование может затянуться, поэтому мы в Softline рекомендуем готовить планы действий для нескольких сценариев: компрометации учетных записей поставщика, утечки данных, недоступности внешнего сервиса и экстренного прекращения сотрудничества.

При этом отключение подрядчика тоже может нарушить работу компании, особенно если он обслуживает критически важную систему. План реагирования должен учитывать эту зависимость и определять, как организация продолжит выполнять необходимые операции.

Как снизить риски, не отказываясь от внешних сервисов

Полностью исключить зависимость от поставщиков невозможно, поскольку корпоративные ИТ-системы используют стороннее программное обеспечение, инфраструктуру и услуги специалистов. Поэтому задача бизнеса заключается в том, чтобы понимать последствия каждой значимой зависимости и заранее определять допустимый уровень риска.

ГК Softline может помогать заказчикам проводить оценку защищенности, анализировать внешние подключения и выстраивать управление доступом. Для компаний с большим числом подрядчиков такая работа помогает определить, какие поставщики требуют приоритетного контроля и какие меры необходимо предусмотреть на случай инцидента.

Однако технические средства защиты должны дополняться организационными процедурами. Даже при использовании многофакторной аутентификации и ограничении доступа компания должна знать, кто отвечает за взаимодействие с подрядчиком, как поступает информация об инцидентах и кто принимает решения при возникновении угрозы.

Мы в ГК Softline считаем, что управление рисками поставщиков должно стать частью общей системы информационной безопасности компании. Чем точнее бизнес понимает, какие данные, системы и процессы зависят от внешних партнеров, тем быстрее он сможет обнаружить угрозу, ограничить ее последствия и сохранить работу при инциденте у подрядчика.