Uw leveranciers maken deel uit van uw aanvalsoppervlak

Kort samengevat: Een compromittering bij een dependency, SaaS-leverancier of integratiepartner is een compromittering van uzelf. Risico's van derden moeten continu worden gemeten, niet eenmalig afgevinkt bij de inkoop.

De perimeter omvat nu ook code van anderen

Moderne applicaties zijn opgebouwd uit opensourcepakketten, SaaS-API's en integratiepartners. Elk daarvan is een vertrouwensrelatie, en elk is een pad dat een aanvaller kan nemen zonder ooit uw eigen servers rechtstreeks aan te raken.

Een eenmalige leveranciersvragenlijst bij de inkoop legt slechts een moment vast en niets daarna.

Waar risico van derden echt toeslaat

• Een kwetsbare transitieve dependency die drie lagen diep wordt meegetrokken.
• Een OAuth-integratie met te ruime rechten die stilletjes toegang behoudt nadat deze niet meer wordt gebruikt.
• Een datalek bij een SaaS-leverancier waardoor gegevens worden blootgesteld die u onder een oud contract heeft overgedragen.
• Build-pipelinetooling die code in uw releases kan injecteren.

Continu, niet ceremonieel

Risicobeheer van derden werkt wanneer het continu is: breng de integraties waarvan u daadwerkelijk afhankelijk bent in kaart, monitor ze op nieuwe blootstelling en evalueer toegang opnieuw wanneer deze niet meer wordt gebruikt. De vragenlijst is een startpunt, geen controle.

De continue scans en bewijstrajecten van KENSAI breiden dezelfde discipline die u op uw eigen assets toepast uit naar de dependencies en integraties waarop u vertrouwt.

Maak leveranciersrisico continu

Een momentopname-vragenlijst vertelt u hoe een leverancier eruitzag op de dag dat deze antwoordde, niet hoe deze eruitziet op de dag dat er een lek is. Leveranciersrisico moet een levend signaal worden, ververst naarmate hun blootstelling en uw afhankelijkheid van hen veranderen.

Houd een inventarisatie bij van wie toegang heeft tot wat, beperk elke integratie tot de minimaal benodigde rechten en monitor uw kritieke leveranciers op publieke blootstelling en bekendgemaakte incidenten, net zoals u uw eigen aanvalsoppervlak monitort. Wanneer een leverancier wordt gecompromitteerd, is het verschil tussen een ingedamd incident en een krantenkop hoe snel u het kunt zien en de verbinding kunt verbreken.

Conclusie

U erft het risico van alles wat u integreert. Behandel leveranciers en dependencies als onderdeel van uw aanvalsoppervlak en monitor ze continu, want een ondertekende vragenlijst stopt geen actief misbruik.