По данным исследования, 93% российских компаний предоставляют внешним командам доступ к внутренним системам, данным или ИТ-инфраструктуре. При этом только 46% считают их серьезным источником киберрисков.
Подрядчики уже стали частью корпоративной ИТ-инфраструктуры, однако требования к контролю их доступа зачастую остаются менее строгими, чем для штатных сотрудников, что создает дополнительные риски для бизнеса.
Мы фактически стерли границу периметра, но по привычке рассуждаем так, будто она все еще есть: свои внутри, чужие снаружи. Атакующие эту логику давно переросли. Злоумышленники предпочтут затронуть атакой одного подрядчика, обслуживающего десятки бизнесов, чем по очереди взломать компании. Именно поэтому атаки через цепочку поставок продолжают расти.
— отметил Сергей Кондратьев, директор по развитию бизнеса AppSec Solutions.
👀 Отдельное внимание необходимо уделять ИИ-компонентам, которые все чаще появляются в решениях подрядчиков. Внешние команды обучают модели, внедряют ИИ-ассистентов, встраивают в продукты чужие LLM и API. Вместе с этим появляются новые угрозы, такие как отравление обучающих данных и утечки через промпты.
Подрядчик, поставляющий готовое ИИ-решение, также передает и связанные с ним риски. Поэтому контроль должен распространяться не только на инфраструктуру и код, но и на ИИ-слой. Важно понимать, какие модели и данные используются, а также выстраивать защитные механизмы между внешними решениями и корпоративными системами.
Подробнее в SecPost.
🔠 Рассылка | МАКС
#AppSec_экспертиза