Un modo efficace per gestire le vulnerabilità dei fornitori terzi è quello di implementare la formazione sulla consapevolezza della sicurezza con i fornitori terzi.
L'ecosistema dei fornitori è parte integrante di molte organizzazioni e fornisce il supporto per un business di successo. Questa relazione intima, spesso complessa, tra i fornitori ha portato a linee di faglia che gli hacker sfruttano. La formazione sulla consapevolezza della sicurezza con i fornitori terzi è estremamente importante.
La portata di queste vulnerabilità di terze parti è stata catturata in un sondaggio del 2020 di Opinion Matters: il sondaggio ha esplorato i problemi di sicurezza dell'ecosistema di terze parti con CIO, CISO e Chief Procurement Officer. Uno dei risultati più preoccupanti del rapporto è stato che circa l'82% delle organizzazioni britanniche ha subito una violazione della sicurezza che ha avuto origine nel più ampio ecosistema dei fornitori. L'indagine ha anche sottolineato che il Regno Unito ha la più scarsa visibilità delle vulnerabilità di sicurezza nella catena di approvvigionamento.
Gestire le implicazioni di sicurezza dell'uso di terze parti
La formazione sulla consapevolezza della sicurezza con i fornitori terzi è un processo olistico che coinvolge molte parti in movimento. A causa della complessità di questi sistemi, sia l'esposizione accidentale dei dati che la presa di mira della sicurezza informatica della catena di approvvigionamento portano a gravi minacce alla sicurezza e all'aumento del rischio aziendale.
Le aziende che utilizzano fornitori e altre terze parti, sono tipicamente responsabili dei risultati di un attacco informatico, anche se la colpa è di una terza parte. Regolamenti come ISO27001 e PCI DSS (Payment Card Industry Data Security Standard) hanno requisiti che prevedono che qualsiasi rischio di dati associato a fornitori terzi sia gestito.
Un recente studio dell'ENISA ha scoperto che il 58% degli attacchi si concentra sull'ottenere l'accesso ai dati con il 62% degli attacchi che dipendono dalla manipolazione della fiducia dei clienti nella catena di approvvigionamento. Il rapporto dell'ENISA afferma che:
"Unaforte protezione della sicurezza non è più sufficiente per le organizzazioni quando gli aggressori hanno già spostato la loro attenzione sui fornitori".
La segnalazione degli incidenti è stata anche evidenziata nel rapporto come scarsa, con conseguente impatto sulla visibilità delle vulnerabilità a monte della catena.
Con le catene di fornitura che sono responsabili di così tanti attacchi informatici, concentrarsi sul lato umano della sicurezza informatica, garantendo che tutte le terze parti siano pienamente consapevoli delle sfide della sicurezza, è vitale. Affrontare l'elemento umano nell'equazione delle minacce alla sicurezza informatica si presenta sotto forma di formazione sulla consapevolezza della sicurezza. Ma come fa un'organizzazione a gestire il Security Awareness Training con i fornitori terzi?
Domande importanti nella gestione della formazione sulla consapevolezza della sicurezza con fornitori terzi
La gestione delle vulnerabilità di sicurezza nella catena di approvvigionamento si riduce alla formazione dei dipendenti in tutta la catena. La gestione della formazione sulla consapevolezza della sicurezza con i fornitori e i dipendenti di terze parti si presenta con diverse domande chiave:
La terza parte ha una formazione sulla consapevolezza della sicurezza?
Scoprite se il vostro fornitore ha già un pacchetto di formazione sulla consapevolezza della sicurezza. Tenete presente, tuttavia, che non tutti i pacchetti di sensibilizzazione alla sicurezza sono uguali. Il livello di formazione deve essere di uno standard che soddisfi le aspettative della vostra azienda. Controllate che la formazione venga effettuata a intervalli regolari. Un pacchetto di formazione scadente che non utilizza materiali di formazione interattivi e coinvolgenti potrebbe non cambiare il comportamento di sicurezza dei dipendenti.
Il fornitore usa simulazioni di phishing e altre forme di educazione alla consapevolezza del phishing?
In un sondaggio del 2021 di Thales, il phishing si è classificato al terzo posto tra le prime dieci preoccupazioni per le minacce ai dati. Malware e ransomware, spesso iniziati dal phishing, erano rispettivamente al numero 1 e 2.
Le simulazioni di phishing portano un dipendente attraverso esercizi di simulazione di phishing automatizzati accuratamente configurati. Con il tempo, questo aumenta la fiducia del personale nel sapere come individuare i segni rivelatori del phishing e come riferire la minaccia. Controllate con il vostro fornitore per vedere se usano simulazioni di phishing, e se non lo fanno, aiutatelo a sviluppare un programma che simuli le tipiche truffe di phishing che colpiscono il vostro settore.
Valutare qualsiasi campagna di formazione sulla consapevolezza della sicurezza esistente con fornitori terzi
Una volta che avete stabilito che il fornitore ha un programma di formazione sulla consapevolezza della sicurezza, potete valutare la sua efficacia controllando:
- Prove documentali della formazione, per esempio, la partecipazione dei dipendenti alle sessioni di formazione, i tipi di domande poste dai tirocinanti, ecc.
- Metriche dell'efficacia della formazione, per esempio, quanti dipendenti sono stati in grado di riconoscere un messaggio di phishing e poi segnalarlo?
Le metriche aiutano ad apportare modifiche mirate ad un programma che si traduce in risultati di formazione ancora migliori.
Cosa succede se il vostro fornitore terzo non usa la formazione sulla consapevolezza della sicurezza?
È sempre più importante affrontare l'elemento umano del rischio informatico. Un altro rapporto ENISA ha scoperto che il 95% delle e-mail di phishing hanno bisogno di un intervento umano per avviare un'infezione da malware. Inoltre, anche la minaccia da parte di insider accidentali deve essere considerata; il Verizon Data Breach Investigations Report, 2021 ha scoperto che il 22% degli incidenti di sicurezza ha coinvolto insider.
Il personale del fornitore deve essere addestrato agli stessi livelli esigenti di consapevolezza della sicurezza del personale della vostra azienda. Per gestire questo, il Service Level Agreement (SLA) tra la vostra azienda e il vostro fornitore deve riflettere il livello di formazione che vi aspettate. Questo accordo legale dovrebbe richiedere che i dettagli del programma di formazione sulla sicurezza siano approvati secondo i vostri standard. Avere uno SLA in atto, che include una clausola per la fornitura della consapevolezza della sicurezza, dimostra che il fornitore è impegnato sia per la sua sicurezza che per la vostra.
I grandi fornitori di terze parti assicurano un vantaggio competitivo, ma le vulnerabilità della sicurezza possono trasformare un grande fornitore in una responsabilità.
I criminali informatici cercano l'anello più debole della catena, il fornitore e il suo personale. Per garantire che queste fessure nella corazza della catena siano mitigate, assicuratevi che la formazione sulla consapevolezza della sicurezza con i fornitori terzi sia gestita attentamente per soddisfare le aspettative e gli standard che vi aspettate.
