Rupac: ngân hàng của bạn có thể an toàn, nhưng các nhà cung cấp bên thứ ba thì không

Với những bức tường dày, hầm lớn và chi tiết bảo mật trong nhà, một tòa nhà ngân hàng kiểu cũ là bức tranh rất vững chắc. Các ngân hàng và tổ chức tài chính trực tuyến không chia sẻ mức độ bảo mật vật lý này. Trên thực tế, thông qua các kết nối với các đối tác bên thứ ba, các cạnh của một tổ chức như vậy có thể thực sự khó khăn. Tại Hội nghị RSA ở San Francisco, Công ty giải pháp tìm kiếm mạng thủy tinh đã phát hành một nghiên cứu cho thấy sự thiếu an toàn gây sốc trong số các nhà cung cấp bên thứ ba đó.

Loại vấn đề này đã có trong các tin tức gần đây. Vụ vi phạm dữ liệu Thứ Sáu Đen khổng lồ tại Target, ban đầu được cho là "công việc nội bộ", hóa ra có nguồn gốc bên thứ ba. Cụ thể, cuộc tấn công đến thông qua nhà cung cấp dịch vụ HVAC của Target. Chủ sở hữu của công ty mô tả nó là "một hoạt động tấn công mạng tinh vi", nhưng dữ liệu từ Tìm kiếm cho thấy sự tinh vi không phải lúc nào cũng cần thiết.

100% rủi ro

Để có được dữ liệu cho nghiên cứu này, Tìm kiếm đã theo dõi "bộ xử lý thanh toán, kiểm toán viên và các dịch vụ tài chính khác trong chuỗi cung ứng của ngành tài chính". Nghiên cứu diễn ra trong khoảng thời gian 35 ngày trong quý IV năm 2013 và cho thấy 100% mạng lưới của bên thứ ba "cho thấy có dấu hiệu thỏa hiệp hoặc tăng rủi ro".

Các nhà nghiên cứu của kính ngắm đã phát hiện lưu lượng truy cập botnet bên ngoài và hành vi mạng độc hại trong 75% các mạng của bên thứ ba. Điều đó khá sốc. Tồi tệ hơn, 25 phần trăm trong tổng số có dấu hiệu bị nhiễm bởi Trojan ngân hàng Zeus. Và một số các bên thứ ba này dựa vào các bên thứ ba khác, làm tăng cơ hội vi phạm.

Quá nhiều cửa

"Nghiên cứu này nhấn mạnh một điểm yếu mà ngành công nghiệp đã rất ngần ngại khi nói về công chúng, thực tế là các bên thứ ba đáng tin cậy không nên và không thể thực sự đáng tin cậy", Chris Coleman, CEO của lookinglass nói. "Các tổ chức toàn cầu … phải nhìn xa hơn các vành đai phòng thủ của chính họ và xem xét giám sát sự hiện diện Internet công cộng của họ để hiểu rõ hơn về bề mặt tấn công của họ."

Tòa nhà ngân hàng kiểu cũ tốt đó có càng ít cửa càng tốt, và mỗi cánh cửa chắc chắn đều được trang bị hệ thống báo động và camera an ninh. Đối với một tổ chức tài chính trực tuyến, mọi kết nối của bên thứ ba là một cánh cửa có thể cho phép tội phạm mạng xâm nhập. Tệ hơn nữa, thật khó để nhận ra rằng một cổng thông tin như vậy tồn tại. Ai có thể nghĩ rằng những kẻ tấn công của Target có thể xâm nhập thông qua nhà thầu HVAC? Báo cáo đầy đủ đi vào chi tiết hơn, cho những người quan tâm.

Bài học rất rõ ràng. Tổ chức trực tuyến của bạn chỉ an toàn như các nhà cung cấp bên thứ ba, vì vậy bạn sẽ muốn kiểm tra kỹ lưỡng các nhà cung cấp đó. Gọi để kiểm toán hoặc sử dụng một dịch vụ như Tìm kiếm để kiểm tra tính bảo mật của "toàn bộ hệ sinh thái mạng doanh nghiệp của khách hàng bao gồm cả doanh nghiệp mở rộng và các mạng khác ngoài tầm kiểm soát của họ." Các trang web mở rộng chính xác bảo mật đến tận cùng tầm ảnh hưởng của họ sẽ hoạt động tốt trong khi các đối thủ cạnh tranh của họ bị vi phạm sau khi vi phạm.