Les principales violations de données par des tiers en 2022 (jusqu'à présent) : Mesures à prendre pour atténuer les risques

Les organisations font appel à un plus grand nombre de vendeurs et de fournisseurs que jamais auparavant, et nombre de ces relations avec des tiers impliquent le partage de données et/ou l'accès à des systèmes informatiques. Cela crée un réseau complexe d'expositions, de vulnérabilités et de risques qui peuvent être difficiles à comprendre et à gérer pour les organisations. Le nombre de violations de données de tiers survenues jusqu'à présent en 2022 en témoigne.

Considérons les risques. Le manque de gouvernance sur les relations avec les tiers peut conduire à :

• Exposition des données en raison d'une infection par un logiciel malveillant (tel qu'un ransomware) due à une mauvaise configuration.
• Attaques contre la résilience et la disponibilité (telles que les attaques par déni de service, ou DDoS)
• Systèmes et comptes des parties prenantes compromis par des campagnes d'ingénierie sociale.
• Les compromissions de la chaîne d'approvisionnement des logiciels, comme celles qui touchent Kaseya, SolarWinds et leurs clients.

Dans ce billet, je vais passer en revue quelques violations de données de tiers particulièrement dommageables qui ont déjà eu lieu cette année. Je vous présenterai également cinq techniques permettant de réduire la surface d'attaque des tiers.

Top 2022 des incidents de sécurité impliquant des tiers

Jusqu'à présent, en 2022, nous avons vu une série de violations et d'incidents de tiers ciblant les industries manufacturières, les écoles et les services liés aux soins de santé. Voici trois des événements les plus notables :

Toyota

En février 2022, Toyota a interrompu ses activités au Japon après qu'un important fournisseur de plastique, Kojima Industries, a subi une violation de données. Kojima avait un accès à distance aux usines de fabrication de Toyota, ce qui augmentait considérablement le risque pour Toyota. En raison de la fermeture temporaire, Toyota a subi des pertes financières et opérationnelles.

Illuminer l'éducation

Entre 800 000 et 5 millions de dossiers d'étudiants ont été compromis chez Illuminate, et de nombreux retards ont été constatés dans la détection et la notification de la violation.

Highmark

La société de soins de santé Highmark a subi une violation due à une attaque par ransomware de son partenaire Quantum Group. Jusqu'à 657 entités de soins de santé ont été touchées par cette compromission.

5 techniques d'évaluation du risque de violation des données par des tiers

Il est essentiel que nous commencions à étendre notre évaluation des risques et de remédiation pour mieux prendre en compte les organisations tierces, dont beaucoup n'ont pas nécessairement mis en place des contrôles de sécurité adéquats. Même si vous avez l'impression d'avoir peu de contrôle sur les pratiques de sécurité de vos vendeurs et fournisseurs, vous pouvez faire beaucoup pour mieux vous préparer et détecter les violations et les risques liés aux tiers.

Voici quelques techniques que vous pouvez utiliser dès maintenant :

1. Découvrez et inventoriez les organisations tierces connectées à votre réseau. Veillez à vous concentrer sur les contrôles d'accès au réseau en entrée et en sortie, sur les contrôles d'authentification et d'autorisation, ainsi que sur la journalisation et la surveillance des activités.
2. Cartographiez l'accès aux données sensibles dans l'environnement de votre organisation à l'aide de flux de données et de conduits d'accès réseau spécifiques, ainsi que les groupes auxquels sont accordées des autorisations pour ces types de données.
3. Effectuez une modélisation des menaces pour les sources potentielles d'une infection par des logiciels malveillants. Une épidémie de logiciels malveillants provenant d'un tiers pourrait-elle également compromettre votre environnement ?
4. Découvrez et inventoriez les données (celles de votre organisation, bien sûr) qui sont stockées ou partagées dans des environnements tiers. Pourriez-vous être touché par une infection par un ransomware qui détourne leurs magasins de données et leurs sauvegardes ?
5. Mettez à jour vos questionnaires d'évaluation des risques par des tiers, en y intégrant des questions sur les capacités de prévention, de détection et de réponse aux attaques. En outre, augmentez la fréquence de ces évaluations et utilisez la surveillance continue des menaces pour obtenir un flux constant de renseignements sur les risques.

Étape suivante : Regardez le webinaire à la demande pour des conseils supplémentaires

Vous voulez en savoir plus ? Ne manquez pas de regarder la version à la demande de mon webinaire, Les 5 plus grandes violations de données par des tiers de 2022... et comment elles auraient pu être évitées.