Rsac: ваш банк может быть в безопасности, но сторонние поставщики не являются

Старомодное здание банка с его толстыми стенами, массивными сводами и внутренними охранными деталями является самой картиной прочности. Онлайн-банки и финансовые учреждения не разделяют этот уровень физической безопасности. На самом деле, благодаря связям со сторонними партнерами, границы такого учреждения могут быть весьма незначительными. На конференции RSA в Сан-Франциско компания Lookingglass Cyber ​​Solutions опубликовала исследование, которое выявило шокирующее отсутствие безопасности среди сторонних поставщиков.

Эта проблема недавно появилась в новостях. Массивная утечка данных в Черную пятницу в Target, изначально считавшаяся «внутренней работой», оказалась сторонней. В частности, атака была осуществлена ​​через провайдера Target HVAC. Владелец компании назвал это «сложной операцией кибератак», но данные из Lookingglass показывают, что сложность не всегда нужна.

100 процентов рискованно

Чтобы получить данные для этого исследования, Lookingglass отслеживал «процессоров платежей, аудиторов и другие финансовые услуги в цепочке поставок финансовой индустрии». Исследование проводилось в течение 35-дневного периода в четвертом квартале 2013 года и показало, что 100 процентов сторонних сетей «демонстрируют либо признаки компромисса, либо повышенный риск».

Исследователи Lookingglass обнаружили в 75% сторонних сетей исходящий трафик ботнетов и поведение вредоносных сетей. Это довольно шокирует. Хуже того, 25 процентов от общего числа имели признаки заражения банковским трояном Zeus. И некоторые из этих третьих сторон сами полагаются на другие третьи стороны, увеличивая вероятность нарушения.

Слишком много дверей

«Это исследование подчеркивает слабость, о которой отрасль очень не решалась говорить публично, - тот факт, что доверяемым третьим сторонам нельзя и нельзя по-настоящему доверять», - сказал Крис Коулман, генеральный директор Lookingglass. «Глобальные организации… должны выходить за пределы своих собственных защитных периметров и рассмотреть возможность мониторинга своего публичного присутствия в Интернете, чтобы лучше понять их поверхность атаки».

В этом добром старомодном банковском здании как можно меньше дверей, и каждая крепкая дверь оснащена системой сигнализации и камерами безопасности. Для онлайнового финансового учреждения каждое стороннее соединение - это дверь, которая может позволить киберпреступникам проникнуть внутрь. Хуже того, даже трудно понять, что такой портал существует. Кто бы мог подумать, что злоумышленники Target могут войти через подрядчика HVAC? Полный отчет более детален для тех, кому это интересно.

Урок понятен. Ваше онлайн-учреждение защищено настолько же, как и его сторонние поставщики, поэтому вам нужно тщательно проверить этих поставщиков. Позвоните на аудит или воспользуйтесь сервисом, подобным Lookingglass, который проверяет безопасность «всей корпоративной кибер-экосистемы, включая расширенное предприятие, и других сетей, находящихся вне их контроля». Веб-сайты, которые правильно распространяют безопасность на самый край своей сферы влияния, будут работать очень хорошо, в то время как их конкуренты страдают от нарушений после нарушений.