Violation de LastPass : 3 meilleures pratiques pour la réponse à un incident par un tiers

Le 22 décembre 2022, la société de gestion de mots de passe LastPass a annoncé qu'un acteur inconnu de la menace a exploité les informations obtenues lors d'un incident de sécurité survenu en août 2022 pour accéder à un service de stockage tiers basé sur le cloud que LastPass utilise pour stocker des sauvegardes archivées. Bien que LastPass affirme que la menace est minime en raison de ses méthodes de cryptage des données, les attaquants pourraient avoir accès à :

• Les informations sur les comptes des clients et les métadonnées associées, y compris les noms des sociétés, les noms des utilisateurs finaux, les adresses de facturation, les adresses électroniques, les numéros de téléphone et les adresses IP à partir desquelles les clients accédaient au service LastPass ; et
• Des données non cryptées, telles que les URL des sites web, ainsi que des champs sensibles entièrement cryptés, tels que les noms d'utilisateur et les mots de passe des sites web, les notes sécurisées et les données remplies dans des formulaires.

À la suite de cette violation, LastPass recommande à ses clients de faire preuve d'une prudence accrue et de modifier leurs mots de passe principaux afin d'éviter tout risque potentiel en aval, par exemple une attaque de type "credential stuffing".

Cet incident est un autre exemple de la façon dont les organisations peuvent être affectées par une violation d'un fournisseur tiers et par des événements dans leur écosystème de quatrième partie. Cet article passe en revue trois pratiques permettant d'améliorer la découverte et l'atténuation des incidents de sécurité des fournisseurs, et propose quelques questions de base pour interroger les fournisseurs sur leur exposition à la dernière violation de données de LastPass.

3 meilleures pratiques pour l'atténuation de la violation des données par des fournisseurs tiers

Bien qu'il ne soit pas possible d'éliminer tous les risques de chaque relation avec les fournisseurs, votre programme de gestion des risques liés aux tiers peut néanmoins fournir la visibilité et l'automatisation nécessaires pour trouver et atténuer efficacement les risques avant que des dommages ou des perturbations supplémentaires ne surviennent dans votre entreprise. Commencez par ces trois étapes :

1. Identifier les fournisseurs qui pourraient utiliser la technologie touchée.

Pour savoir quels vendeurs utilisent une technologie impactée, il faut d'abord savoir qui sont vos vendeurs, ce qui implique la création d'un inventaire centralisé des vendeurs. Vous ne pouvez pas y parvenir en utilisant des feuilles de calcul ou en déléguant la gestion des fournisseurs aux équipes opérationnelles. Elle doit être centralisée dans un système auquel tous les membres de l'organisation concernés par la gestion des fournisseurs peuvent accéder. Vous devez pouvoir importer des fournisseurs à partir de ces feuilles de calcul ou utiliser une connexion API à une solution d'approvisionnement existante dans un système d'enregistrement central.

Une fois que vous avez centralisé tous vos fournisseurs, utilisez des questionnaires destinés aux fournisseurs, soutenus par des capacités d'analyse passive, pour vous aider à identifier les relations technologiques avec des tiers. Dans le cas de cette brèche particulière, cet exercice révélerait quels fournisseurs utilisent LastPass (et par procuration, le fournisseur tiers de sauvegarde en nuage qui a fait l'objet de la brèche). La collecte d'informations sur les technologies de quatrième partie déployées dans votre écosystème de fournisseurs permet de cibler les organisations qui utilisent la technologie touchée et de classer les fournisseurs par ordre de priorité pour une évaluation plus approfondie.

2. Émettre des évaluations des risques spécifiques à un événement

Une fois que vous avez identifié les fournisseurs ayant déployé la technologie concernée dans leurs environnements, engagez-les dans des évaluations simples et ciblées qui s'alignent sur les normes de sécurité connues et les meilleures pratiques telles que NIST 800-161 et ISO 27036. Les résultats de ces évaluations vous aideront à cibler les mesures correctives nécessaires pour combler les éventuelles lacunes de sécurité. Les bonnes solutions fourniront des recommandations intégrées pour accélérer le processus de remédiation et combler plus rapidement ces lacunes.

Commencez votre évaluation spécifique aux événements par les huit questions suivantes, en pondérant les réponses en fonction de la tolérance au risque de votre organisation :