Sus proveedores forman parte de su superficie de ataque

En resumen: Una vulneración en una dependencia, un proveedor SaaS o un socio de integración supone una vulneración para su organización. El riesgo de terceros debe medirse continuamente, no aprobarse una sola vez durante el proceso de adquisición.

El perímetro ahora incluye el código de terceros

Las aplicaciones modernas se construyen a partir de paquetes de código abierto, API de SaaS y socios de integración. Cada uno de ellos constituye una relación de confianza y una vía que un atacante puede utilizar sin tocar directamente sus propios servidores.

Un cuestionario puntual para proveedores durante el proceso de adquisición solo refleja un momento concreto y nada de lo que ocurre después.

Dónde afecta realmente el riesgo de terceros

• Una dependencia transitiva vulnerable incorporada a través de tres capas intermedias.
• Una integración OAuth con permisos excesivos que conserva silenciosamente el acceso después de dejar de utilizarse.
• Una brecha en un proveedor SaaS que expone datos que usted le entregó en virtud de un contrato antiguo.
• Herramientas del proceso de compilación capaces de inyectar código en sus versiones.

Continuo, no ceremonial

La gestión del riesgo de terceros funciona cuando es continua: inventaríe las integraciones de las que realmente depende, supervíselas para detectar nuevas exposiciones y vuelva a evaluar el acceso cuando deje de utilizarse. El cuestionario es un punto de partida, no el control.

El análisis continuo y los registros de evidencias de KENSAI extienden a las dependencias e integraciones en las que confía la misma disciplina que aplica a sus propios activos.

Haga que el riesgo de proveedores se gestione de forma continua

Un cuestionario puntual le indica cuál era la situación de un proveedor el día que respondió, no cuál es el día en que sufre una brecha. El riesgo de proveedores debe convertirse en una señal dinámica, actualizada a medida que cambian su exposición y su dependencia de ellos.

Mantenga un inventario de quién tiene acceso a qué, limite cada integración al mínimo privilegio y supervise la exposición pública y los incidentes divulgados de sus proveedores críticos del mismo modo que supervisa su propia superficie de ataque. Cuando un proveedor sufre una vulneración, la diferencia entre un incidente contenido y un escándalo mediático depende de la rapidez con la que pueda detectarlo y cortar la conexión.

Conclusión

Usted hereda el riesgo de todo lo que integra. Trate a los proveedores y las dependencias como parte de su superficie de ataque y supervíselos continuamente, porque un cuestionario firmado no detiene un exploit activo.