Атаки через цепочку поставок — уже не экзотика, а реальность 2025 года. Взломы подрядчиков стали привычным способом добраться до крупных компаний. «Галочки» в анкетах и сертификаты безопасности больше не спасают, нужна реальная оценка рисков и постоянный мониторинг.
Что важно учитывать:
▶️ Оценка поставщиков должна быть непрерывной и основанной на реальных данных: внешние рейтинги, анализ уязвимостей, зрелость процессов.
▶️Стоит помогать партнерам внедрять базовые меры, такие как MFA, резервное копирование и контроль доступа.
▶️ Гибкие SLA и совместные учения помогают быстрее реагировать на инциденты.
Безусловно, нужен алгоритм совместных действий в том случае, если на инфраструктуре поставщика произошел инцидент. Исключить такой сценарий невозможно, потому что сегодня злоумышленники, нацеленные на крупные мишени, целенаправленно работают по цепочке поставок. Достаточно вспомнить кейс SolarWinds, но есть и множество других примеров. Вот это нужно обсуждать с поставщиком. Всегда есть SLA по поддержке, но обычно забывают туда включить SLA по выявлению и устранению уязвимостей. А это решается на уровне договора, тем более, если вы технологически более зрелая компания и можете предложить партнеру помощь в сложной ситуации, — отметил Константин Крючков, руководитель продукта AppSec.Track.
👍Гибкий подход и совместная ответственность снижают риски и ускоряют реагирование на инциденты.
Подробнее в Cyber Media. 🖥
#Экспертиза_AppSec