Ihre Anbieter sind Teil Ihrer Angriffsfläche

Kurz gesagt: Wird eine Abhängigkeit, ein SaaS-Anbieter oder ein Integrationspartner kompromittiert, sind auch Sie kompromittiert. Das Risiko durch Dritte muss kontinuierlich bewertet werden und darf nicht nur einmal bei der Beschaffung abgehakt werden.

Der Perimeter umfasst heute auch den Code anderer

Moderne Anwendungen werden aus Open-Source-Paketen, SaaS-APIs und Integrationspartnern zusammengesetzt. Jede dieser Komponenten stellt eine Vertrauensbeziehung dar – und eröffnet Angreifern einen Weg, der Ihre eigenen Server nie direkt berührt.

Ein einmaliger Anbieterfragebogen bei der Beschaffung bildet lediglich eine Momentaufnahme ab – und nichts, was danach geschieht.

Wo das Risiko durch Dritte tatsächlich zuschlägt

• Eine anfällige transitive Abhängigkeit, die drei Ebenen tief eingebunden wird.
• Eine OAuth-Integration mit übermäßigen Berechtigungen, die unbemerkt Zugriff behält, obwohl sie nicht mehr verwendet wird.
• Ein Sicherheitsvorfall bei einem SaaS-Anbieter, durch den Daten offengelegt werden, die Sie ihm im Rahmen eines alten Vertrags überlassen haben.
• Werkzeuge in der Build-Pipeline, die Code in Ihre Releases einschleusen können.

Kontinuierlich statt zeremoniell

Das Management von Drittanbieterrisiken funktioniert, wenn es kontinuierlich erfolgt: Erfassen Sie die Integrationen, von denen Sie tatsächlich abhängig sind, überwachen Sie diese auf neue Gefährdungen und bewerten Sie Zugriffsrechte erneut, sobald sie nicht mehr genutzt werden. Der Fragebogen ist ein Ausgangspunkt, keine Kontrollmaßnahme.

Die kontinuierlichen Scans und Nachweisprotokolle von KENSAI weiten dieselbe Sorgfalt, die Sie auf Ihre eigenen Ressourcen anwenden, auf die Abhängigkeiten und Integrationen aus, auf die Sie sich verlassen.

Machen Sie das Anbieterrisiko zu einem kontinuierlichen Prozess

Ein zeitpunktbezogener Fragebogen zeigt Ihnen, wie ein Lieferant an dem Tag dastand, an dem er ihn beantwortet hat – nicht, wie er an dem Tag dasteht, an dem er kompromittiert wird. Das Anbieterrisiko muss zu einem dynamischen Signal werden, das bei Veränderungen seiner Gefährdungslage und Ihrer Abhängigkeit von ihm aktualisiert wird.

Führen Sie ein Verzeichnis darüber, wer worauf Zugriff hat, beschränken Sie jede Integration nach dem Prinzip der geringsten Berechtigung und überwachen Sie Ihre kritischen Lieferanten auf öffentlich sichtbare Gefährdungen und gemeldete Sicherheitsvorfälle – genauso, wie Sie Ihre eigene Angriffsfläche überwachen. Wird ein Anbieter kompromittiert, entscheidet die Geschwindigkeit, mit der Sie den Vorfall erkennen und die Verbindung trennen können, darüber, ob das Ereignis eingedämmt wird oder Schlagzeilen macht.

Fazit

Sie übernehmen das Risiko all dessen, was Sie integrieren. Behandeln Sie Anbieter und Abhängigkeiten als Teil Ihrer Angriffsfläche und überwachen Sie sie kontinuierlich, denn ein unterschriebener Fragebogen verhindert keinen aktiven Exploit.