في عالم اليوم الرقمي المترابط، لا يتم تحديد أمان بيانات وأنظمة المؤسسة فقط من خلال تدابير الأمن السيبراني الخاصة بها. صعود المخاطر السيبرانية من طرف ثالث أضاف طبقة من التعقيد إلى مشهد أمن المعلومات: أصبح البائعون والموردون والشركاء أيضًا أهدافًا رئيسية لمجرمي الإنترنت. لقد رأينا هذا في الحوادث البارزة مثل هجوم SolarWinds في عام 2020، وثغرة Log4j في ديسمبر 2021، وهجوم MoveIt الأخير في عام 2023، والتي تصدرت عناوين الأخبار الكبيرة وسلطت الضوء على أهمية تأمين هذه العلاقات الموثوقة.

‍

ما هي المخاطر الإلكترونية للطرف الثالث؟

‍

إن المخاطر الإلكترونية للجهات الخارجية، والتي يشار إليها غالبًا باسم المخاطر الإلكترونية المتعلقة بالبائع، هي التهديد المحتمل لبيانات المؤسسة وأنظمتها وأمن الشبكات الذي ينشأ عن التفاعلات مع الكيانات الخارجية. يمكن أن تشمل هذه الكيانات الخارجية البائعين والموردين ومقدمي الخدمات والمقاولين والشركاء الذين تشارك معهم المؤسسة المعلومات أو الموارد أو الوصول إلى شبكاتها.

‍

أنواع المخاطر الإلكترونية للجهات الخارجية

‍

يعد فهم الأنواع المحددة من المخاطر الإلكترونية للجهات الخارجية أمرًا بالغ الأهمية في تطوير نهج شامل لإدارة هذه التهديدات. يمكن أن تتخذ هذه المخاطر أشكالًا مختلفة، والاعتراف بها هو الخطوة الأولى في التخفيف الفعال من المخاطر. في هذا القسم، سنستكشف المخاطر الشائعة المرتبطة بالكيانات الخارجية ونقدم أمثلة على الحوادث الإلكترونية لأطراف ثالثة في العالم الحقيقي.

تحديد المخاطر الشائعة المرتبطة بالكيانات الخارجية

‍

خروقات البيانات والوصول غير المصرح به: قد تكشف الأطراف الثالثة عن غير قصد أو عن عمد البيانات الحساسة للمؤسسة. يمكن أن تظهر هذه المخاطر عندما يفتقر الشركاء أو البائعون إلى تدابير قوية لحماية البيانات.

‍

مثال: في عام 2013، عانت شركة Target، عملاق البيع بالتجزئة، من خرق هائل للبيانات عندما استغل المهاجمون ثغرة أمنية في أنظمة موردي التدفئة والتهوية وتكييف الهواء. كشفت هذه الحادثة عن أكثر من 40 مليون تفاصيل بطاقة ائتمان للعملاء وأدت إلى أضرار مالية كبيرة وسمعة العملاء.

‍

برامج ضارة الحقن: قد يقوم الخصوم باختراق برامج أو أدوات طرف ثالث، عن طريق حقن البرامج الضارة التي تؤثر لاحقًا على المؤسسة. يحدث هذا غالبًا من خلال التحديثات أو التنزيلات المخترقة.

‍

مثال: في عام 2021، عبث المهاجمون بسلسلة توريد برامج Kaseya VSA، وأدخلوا تعليمات برمجية ضارة في تحديثات برامج VSA. مكّن هذا الرمز الشائن المهاجمين من تشفير بيانات عملاء Kaseya والمطالبة بدفع فدية.

‍

سلسلة الإمداد نقاط الضعف: سلسلة التوريد عبارة عن شبكة من الموردين والبائعين المترابطين. يمكن أن تؤدي الثغرات الأمنية في هذه السلسلة إلى الوصول غير المصرح به أو انتهاكات البيانات أو انقطاع الخدمة.

‍

مثال: يعد خرق SolarWinds لعام 2020 مثالًا رئيسيًا على ذلك. تسلل مجرمو الإنترنت إلى خوادم تحديث برامج SolarWinds لتوزيع البرامج الضارة على عملائها، بما في ذلك العديد من الوكالات الحكومية والشركات الكبرى. أدى هجوم سلسلة التوريد هذا إلى خروقات واسعة النطاق للبيانات وأنشطة تجسس.

‍

حالات فشل الامتثال: يمكن أن يؤدي عدم الامتثال للوائح حماية البيانات من قبل أطراف ثالثة إلى تعريض المؤسسة لمخاطر قانونية وتنظيمية، خاصة إذا كان الاختراق يتعلق ببيانات العملاء.

‍

مثال: تم تغريم أوبر بسبب فشل الإبلاغ عن خرق البيانات من طرف ثالث في حادثة عام 2016 حيث سرق المتسللون معلومات شخصية من 57 مليون مستخدم وسائق. إن قرار أوبر بالدفع للمتسللين للحفاظ على سرية الاختراق وعدم الإبلاغ عنه انتهك العديد من قوانين الإخطار بخرق البيانات.

‍

‍

تقييم البائع والعناية الواجبة

‍

عندما يتعلق الأمر بإدارة المخاطر السيبرانية من طرف ثالث، فإن التقييم الشامل للبائعين والعناية الواجبة هما عنصران أساسيان لاستراتيجية الأمن السيبراني القوية. سنتعمق هنا في أفضل الممارسات لتقييم جاهزية الأمن السيبراني للشركاء الخارجيين، بما في ذلك إجراء تقييمات المخاطر وعمليات تدقيق الأمان.

أفضل الممارسات لتقييم الأمن السيبراني للطرف الثالث

‍

ضع معايير واضحة: ابدأ بتحديد معايير الأمن السيبراني والمعايير التي تتوقعها مؤسستك من شركائها الخارجيين. يجب أن تتوافق هذه المعايير مع سياسات الأمان الخاصة بمؤسستك والمتطلبات التنظيمية.

‍

تصنيف المخاطر: قم بتصنيف موردي الطرف الثالث بناءً على مستوى المخاطر التي يشكلونها لمؤسستك. لا يتمتع جميع البائعين بنفس الوصول أو يتعاملون مع نفس الكمية من البيانات الحساسة، لذلك يمكن أن يساعد النهج المتدرج في تحديد أولويات التقييمات.

‍

التحقق من الامتثال: تأكد من التزام البائعين بمعايير الصناعة ذات الصلة ولوائح الامتثال. يتضمن ذلك قوانين حماية البيانات، مثل GDPR أو HIPAA، والتي قد تتطلب إجراءات حماية محددة لأنواع معينة من البيانات.

‍

الشهادات والشهادات: راجع أي شهادات للأمن السيبراني أو عمليات تدقيق أو شهادات خضع لها البائع. وتشمل هذه المعايير ISO 27001 أو SOC 2 أو المعايير المماثلة التي تثبت التزامها بالأمان.

أدوات وحلول لإدارة مخاطر الطرف الثالث

غالبًا ما تتطلب الإدارة الفعالة للمخاطر الإلكترونية للجهات الخارجية الاستفادة من الأدوات والحلول المتخصصة. في هذا القسم، سنستكشف البرامج والخدمات التي تساعد المنظمات في هذه العملية، بما في ذلك تنفيذ التكنولوجيا لتقييم المخاطر الآلي.

برامج وخدمات لإدارة مخاطر الطرف الثالث

منصات تقييم مخاطر البائع: تم تصميم هذه المنصات لتبسيط تقييم البائعين الخارجيين. وهي توفر أدوات لإجراء استبيانات الأمان وتصنيف المخاطر وفحوصات الامتثال.

‍

أنظمة المعلومات الأمنية وإدارة الأحداث (SIEM): توفر أنظمة SIEM إمكانات المراقبة والتنبيه في الوقت الفعلي، مما يمكّن المؤسسات من تتبع نشاط شبكة الطرف الثالث والاستجابة السريعة للانتهاكات الأمنية المحتملة.

‍

خدمات تصنيف الأمن السيبراني: تقدم هذه الخدمات تقييمات موضوعية للأمن السيبراني للبائعين الخارجيين، مما يسمح للمؤسسات باتخاذ قرارات مستنيرة.

‍

تدريب التوعية الأمنية: تنتج العديد من انتهاكات الطرف الثالث عن خطأ بشري. تعمل حلول التدريب على التوعية الأمنية، مثل KnowBe4 و Proofpoint، على تثقيف الموظفين والشركاء الخارجيين حول أفضل ممارسات الأمن السيبراني.

مراقبة مخاطر سلسلة توريد البرامج

برنامج كلاود ديسك فيجيل يقوم بتقييم المخاطر ونقاط الضعف التي يقدمها الموردون والموردون الخارجيون والتي قد تؤثر على أمن منتجات أو خدمات المؤسسة. تعد مراقبة مخاطر البائع أمرًا بالغ الأهمية نظرًا لسطح الهجوم الموسع، وتبعيات النظام من طرف ثالث، ومخاطر سلسلة التوريد، والحاجة إلى اكتشاف التهديدات في الوقت المناسب والاستعداد القوي للاستجابة للحوادث.

قائمة المشكلات الشائعة التي تمت ملاحظتها ومعالجتها بواسطة Svigil

قامت منصة Svigil من CloudSek بتحديد بعض هذه المشكلات الشائعة والمساعدة في معالجتها عبر العديد من البائعين، وبالتالي تعزيز تدابير الأمن السيبراني:

‍

التعرض لنقطة النهاية لواجهة برمجة التطبيقات: يكتشف Svigil بشكل استباقي نقاط نهاية API المكشوفة في بيئات مختلفة (test، dev، prod) ومقتطفات التعليمات البرمجية على منصات مشاركة التعليمات البرمجية مع ذكر كيانات معينة.

‍

أوراق اعتماد مسربة: تمتد المراقبة المتقدمة للمنصة إلى تحديد وتخفيف بيانات الاعتماد المسربة والمستندات الحساسة والعروض التقديمية على منصات مثل Scribd و Pastebin و Pdfslide.

‍

حماية الأسرار التجارية: تضمن Svigil حماية الأسرار التجارية والمخططات وبيانات العميل من خلال تحديد التعرض غير المقصود على منصات البيانات والجرافات السحابية.

‍

أمان بيانات الموظف: تكتشف المنصة وتعالج تعرض أوراق الاعتماد وبيانات معلومات التعريف الشخصية (PII) للموظفين في مقالب النص التي يتم تحميلها على منصات مشاركة المستندات.

‍

التكوينات الخاطئة لخادم الويب: تقوم المنصة بتحديد وتخفيف تعرض الملفات الداخلية المتعلقة بالتطبيقات الناتجة عن التكوينات الخاطئة لخادم الويب. بالإضافة إلى ذلك، فإن المنصة قادرة على تحديد أكثر من 4000 ثغرة CVE وإضافة CVEs جديدة كل يوم.

‍

أمان تطبيقات الهاتف المحمول: تقوم Svigil بتوسيع قدراتها لحماية تطبيقات الأجهزة المحمولة من خلال تحديد ومعالجة نقاط الضعف المتعلقة بمكتبات الطرف الثالث. يمكنه اكتشاف أهم 10 نقاط ضعف في OWASP في التطبيقات والتكوينات الخاطئة والبرامج الضارة والأسرار المشفرة بالإضافة إلى مسح الكود المصدري للتطبيقات لتحديد أي محتوى حساس مثل مفاتيح API والرموز وما إلى ذلك.

‍