Certains risques liés aux fournisseurs Cyber sont pires que d'autres

De nos jours, les violations de données des fournisseurs, les expositions aux PII/PHI et les perturbations de la chaîne d'approvisionnement font constamment la une des journaux. Il n'est donc pas étonnant que les équipes chargées des risques et de la sécurité accordent plus que jamais une attention particulière aux tiers. Il n'est donc pas étonnant que les équipes chargées des risques et de la sécurité s'intéressent plus que jamais aux tiers. Cependant, assumer la responsabilité de l'évaluation des risques liés aux tiers peut s'avérer décourageant pour des équipes déjà surchargées par la gestion des politiques, des contrôles, de l'infrastructure et de la formation en matière de sécurité interne.

Mais regardons les choses en face : les relations avec les tiers sont là pour rester, et les écosystèmes tiers se développent rapidement pour la plupart des organisations. Ne pas se concentrer sur ces risques n'est pas vraiment une option, alors quelle est la réponse ? Bien que je ne puisse pas prescrire une panacée pour TPRM dans un seul article de blog, je peux partager une stratégie de hiérarchisation des risques liés aux tiers cyber basée sur mon expérience de travail avec les clients.

Expositions aux titres de compétences

Le vol d'informations d'identification, qui sont souvent exposées et mises en vente sur le dark web, figure en tête de liste. Vous devez vous concentrer non seulement sur les informations d'identification confiées à des fournisseurs tiers pour un accès direct à vos systèmes, mais aussi sur les informations d'identification utilisées par des tiers pour accéder aux données de votre organisation - y compris les données des clients ou des patients - quel que soit l'endroit où ces données sont hébergées.

Avec la prolifération du stockage dans le cloud comme les buckets AWS S3, les informations d'identification et autres données sensibles sont désormais potentiellement exposées dans plus d'endroits que la plupart des gens ne le réalisent. Par exemple, l'exposition en 2017 des informations d'identification du ministère de la défense des États-Unis par Booz Allen Hamilton n'est qu'un exemple frappant de la mauvaise protection des informations d'identification dans un environnement de services en nuage.

Violations de données et incidents confirmés

Les incidents de sécurité, les attaques validées et les violations de données touchant vos tiers sont un autre domaine qui requiert une attention particulière. Comment les découvrir et prendre des mesures avant qu'ils n'affectent votre organisation ? La violation de SolarWinds en est l'exemple parfait : la chaîne d'approvisionnement du logiciel a été entièrement compromise avant que le logiciel ne soit distribué à des clients peu méfiants.

Assurez-vous que votre organisation effectue une surveillance des risques à l'adressecyber . des "bavardages" concernant des incidents et des violations impliquant vos tiers sur le dark web ou d'autres forums, en particulier lorsque des données sensibles ont déjà été consultées par des attaquants et qu'elles sont disponibles à la vente ou sur le point de l'être.