Kybernetická bezpečnost se stává stále komplexnějším tématem, především v oblasti dodavatelských řetězců, kde provozní chod firem závisí na mnoha třetích stranách. Útoky na dodavatelský řetězec jsou záludné a efektivní techniky, které útočníci využívají k proniknutí do systémů. Tyto útoky mohou vést ke krádeži dat, přístupu k důvěrným informacím, nebo dokonce k narušení provozu společnosti. Nejznámější případ útoku na dodavatelský řetězec, který získal globální pozornost, je útok na společnost SolarWinds, která poskytuje software pro správu IT. Tento incident měl rozsáhlé důsledky a ovlivnil mnoho významných organizací včetně vládních agentur.
Jak fungují útoky na dodavatelský řetězec?
Útoky na dodavatelský řetězec jsou specifickým typem kybernetického útoku, při kterém útočníci cíleně napadnou dodavatele nebo poskytovatele služeb organizace, aby získali přístup k jejich zákazníkům. Útok může začít už na úrovni jednotlivce – například zneužitím slabě zabezpečeného domácího routeru administrátora outsourcingové firmy. Takový průnik může předcházet všem níže uvedeným typům útoku. Útok může probíhat následujícím způsobem:
- Útok na software: Útočníci infikují software, který dodavatel poskytuje, a prostřednictvím tohoto softwaru získávají přístup k interním systémům zákazníků.
- Komponenty třetích stran: Útočníci mohou infikovat nebo sabotovat komponenty, které jsou součástí produktů dodávaných třetí stranou, což vede k infikování celého produktu nebo služby.
- Napadení dat dodavatele: Dodavatelé mohou ukládat nebo mít přístup k citlivým datům zákazníků, a jejich kompromitací se tato data dostávají do rukou útočníků.
- Slabiny ve vzájemné integraci: Dodavatelé a zákazníci často propojují své systémy za účelem hladké spolupráce. Tyto vzájemné integrace však mohou být slabým místem, které útočníci využijí.
Příklad útoku na společnost SolarWinds
V roce 2020 byl objeven útok na americkou IT společnost SolarWinds, který zasáhl až 18 000 jejích zákazníků včetně vládních agentur a významných technologických firem. Útočníci pronikli do infrastruktury SolarWinds a infikovali aktualizaci jejího softwaru Orion. Tento software je široce používán pro správu IT systémů, což útočníkům umožnilo získat přístup do systémů zákazníků SolarWinds. Následně mohli špehovat a sbírat data z těchto systémů.
Důsledky útoku byly ohromné, protože odhalily zranitelnost celého dodavatelského řetězce. Zákazníci SolarWinds si ani nemuseli být vědomi, že tento software představuje bezpečnostní riziko, protože důvěřovali zavedené společnosti. Útok také ukázal, jak rozsáhlé může být šíření zranitelnosti prostřednictvím jedné infikované aktualizace, což ohrožuje celé prostředí organizace.
Útok na SolarWinds upozornil na následující klíčová bezpečnostní rizika:
- Ztráta důvěry: Zákazníci ztratili důvěru nejen v SolarWinds, ale obecně v bezpečnost softwaru poskytovaného třetími stranami.
- Finanční ztráty: Náklady spojené s odstraněním infekce a obnovou systémů byly obrovské a důsledkem byla také ztráta zakázek.
- Riziko dalšího útoku: Infikované organizace se staly potenciálním terčem pro budoucí útoky, jelikož útočníci mohli získat citlivé informace.
- Zvýšené regulační kontroly: Incident přitáhl pozornost regulačních orgánů, které začaly přehodnocovat bezpečnostní normy pro software třetích stran.
PŘICHÁZEJÍCÍ LEGISLATIVA NIS2
S rostoucím počtem kybernetických útoků se kybernetická bezpečnost dodavatelského řetězce stává klíčovou prioritou nejen pro firmy, ale i pro zákonodárce. Nově připravovaná evropská směrnice NIS2 (Network and Information Security Directive) se zaměřuje právě na posílení kybernetické bezpečnosti a ochranu dodavatelských řetězců. Tato legislativa přinese přísnější požadavky na bezpečnost pro firmy v kritických sektorech, ale může ovlivnit i ty, které do působnosti směrnice přímo nespadají.
Dodavatelé budou po svých partnerech vyžadovat splnění kybernetických standardů, aby minimalizovali riziko bezpečnostních incidentů. Organizace tak budou muset plnit požadavky NIS2, i pokud nejsou přímo v působnosti směrnice, protože jejich dodavatelé budou chtít mít jistotu, že spolupracují s bezpečnými partnery.
Jak se připravit na požadavky NIS2?
Naše společnost pomáhá různým typům organizací s implementací požadavků kybernetické bezpečnosti a připravuje je na rostoucí požadavky jejich partnerů. S našimi službami organizace získají nejen ochranu proti útokům třetích stran, ale zároveň se připraví na přísné standardy NIS2. Náš tým odborníků vám je připraven pomoci s:
- Analýzou kybernetické bezpečnosti: Posoudíme současný stav bezpečnosti vaší organizace a identifikujeme potenciální slabá místa.
- Implementací bezpečnostních opatření: Zavedeme efektivní bezpečnostní strategie a postupy, které odpovídají požadavkům NIS2.
- Školením zaměstnanců: Poskytneme školení, které zvyšuje povědomí zaměstnanců o bezpečnostních hrozbách a zlepšuje jejich připravenost na potenciální útoky.
- Kontinuálním monitoringem a auditem: Nabízíme průběžný monitoring a audity, abyste si byli jisti, že vaše systémy jsou v bezpečí.
S námi máte jistotu, že vaši dodavatelé splňují jasně definované bezpečnostní standardy, které pomáháme nastavit. Vaše organizace tak bude nejen v souladu s požadavky partnerů, ale i připravena na regulaci NIS2.
ZÁVĚR
Útoky na dodavatelský řetězec jsou vážnou hrozbou pro bezpečnost organizací. SolarWinds a další podobné incidenty ukázaly, jak významné mohou být následky, pokud není kybernetická bezpečnost dodavatelů zajištěna. S přicházející legislativou NIS2 se očekává, že organizace budou čelit zvýšeným požadavkům na bezpečnostní standardy i od svých partnerů. ARION je připraven vám pomoci s implementací těchto standardů a zajistit, že vaše organizace bude plně připravena na požadavky moderní kybernetické bezpečnosti a regulace. Pro získání více informací si sjednejte úvodní schůzku s naší konzultantkou z bezpečnostního týmu zde.
