Büyük şirketin fidye yazılımı planı var. Tedarikçisinin yok.

Büyük şirketin güvenlik ekibi var, yedekleri var, olay müdahale planı var. Nakliyecisinin ise bir muhasebe bilgisayarı, bir sunucu ve sunucuya uzaktan bağlanan bir bakım firması var. Saldırgan hangisini seçer?

Zincir en zayıf halkadan kopar

Fidye yazılımı saldırıları artık "en büyük"e değil, "en kolay"a yöneliyor. Bayi, taşeron, nakliyeci, yazılım tedarikçisi: bu firmaların çoğunda ağ düz, uzaktan erişimde çok faktörlü doğrulama yok, yedek aynı sunucunun içinde. Şifreleme birkaç saat sürer; toparlanma haftalar.

Büyük şirket için bunun iki sonucu var. Birincisi doğrudan: tedarikçinin sisteminden büyük şirkete uzanan bir VPN, bir ortak portal, güvenilen bir e-posta adresi varsa saldırgan oradan içeri yürür. İkincisi dolaylı ama daha sık: tedarikçi durduğunda operasyon durur. Sevkiyat çıkmaz, irsaliye kesilmez, hat bekler. Şirketin kendi sistemlerine hiç dokunulmamıştır; ama o hafta ürün teslim edilememiştir.

Belge kontrolü kapasite ölçmez

Tedarikçi değerlendirmesi çoğu kurumda bir anketle yapılır: "Yedekleme politikanız var mı?", "Antivirüs kullanıyor musunuz?", "ISO 27001 belgeniz var mı?" Tedarikçi "evet" der, imzalar, dosyaya girer. Sonra saldırı olur ve o "evet"in bir yedek geri yüklemesine denk gelmediği anlaşılır.

Sorun anketin kendisinde değil, ölçtüğü şeyde. Anket niyet ölçer; saldırı anında işe yarayan şey kapasitedir: yedek gerçekten geri dönüyor mu, uzaktan erişim gerçekten ikinci faktör istiyor mu, biri sabah dörtte "sunucular şifrelendi" dediğinde kimin ne yapacağı belli mi?

İmzalı bir anket, şifrelenmiş bir yedeği geri getirmez.

Bir tedarikçide aranması gereken asgari kapasite

Liste kısa; çünkü küçük bir firmadan kurumsal bir güvenlik operasyon merkezi beklemek gerçekçi değil. Beş madde, her biri kanıtla:

1. Çevrim dışı ya da değiştirilemez yedek, düzenli aralıklarla geri yükleme testi yapılmış. Kanıt: son test tarihi ve süresi.
2. Çok faktörlü doğrulama; e-postada, VPN'de ve her türlü uzaktan erişimde. Kanıt: yönetim panelinden bir ekran görüntüsü yeter.
3. Yama düzeni, en azından internete açık sistemler için. Kanıt: son yama tarihi.
4. Ayrıştırma: ofis bilgisayarlarıyla operasyonel sistemler (depo, araç takip, muhasebe) aynı ağda ve aynı kullanıcıyla çalışmıyor.
5. Tek sayfalık olay planı: kimin aranacağı, neyin kapatılacağı, müşteriye ne zaman ve nasıl haber verileceği.

Büyük şirket ne yapmalı?

• Tedarikçileri erişim ve kritiklik düzeyine göre kademelendirin. Sistemlerinize bağlanan ya da durduğunda operasyonu durduran tedarikçi ile kırtasiye tedarikçisi aynı listede olmamalı.
• Üst kademeden imza değil kanıt isteyin: yedek geri yükleme raporu, çok faktörlü doğrulama görüntüsü, olay planının kendisi.
• Sözleşmeye bildirim süresi koyun: tedarikçi bir güvenlik olayını kaç saat içinde haber verecek?
• Yılda bir masa başı tatbikatına en kritik iki-üç tedarikçiyi davet edin. "Nakliyeci bugün şifrelendi" senaryosunu birlikte oynamak, anketin asla göstermeyeceği boşlukları gösterir.

Küçük firma için gerçekçi yol

Tedarikçi tarafındaysanız haber iyi: yukarıdaki beş madde büyük bütçe istemiyor. Yedek, çok faktörlü doğrulama, yama ve temel izlemeden oluşan yönetilen bir taban hizmet aylık, öngörülebilir bir maliyetle kurulabilir. Karşılaştırma ölçüsü şu olmalı: bir haftalık duruşun size ve en büyük müşterinize maliyeti ne?

Büyük müşterinizin bir gün bu soruları sormaya başlayacağını da hesaba katın. Kanıtı hazır olan tedarikçi, listede yukarı çıkar.

Kendi tedarikçi listenizde bu beş maddeyi kimin karşıladığını bilmiyorsanız ya da tedarikçi tarafında "bize sormaya başladılar" noktasındaysanız, bir teşhis görüşmesi doğru başlangıçtır.