Il bene

Alcuni fornitori possono davvero renderla felice. Ad esempio, abbiamo visto alcuni fornitori che fornivano i rapporti di anni di pentesting, compresi i dettagli sui risultati e le soluzioni. Hanno anche fornito informazioni sui rischi accettati. Con queste informazioni, il cliente può determinare se sono necessarie ulteriori azioni.

In un altro caso, abbiamo visto il fornitore organizzare una sessione con la maggior parte dei suoi clienti per condividere con loro le lezioni apprese dal nostro programma di resilienza Ransomware. In particolare, li hanno invitati a modificare alcune impostazioni che loro, in quanto fornitori, non potevano risolvere per loro.

Il male

Purtroppo, abbiamo anche visto accadere l'esatto contrario con i fornitori. Abbiamo visto, ad esempio, che un pentest è stato ripetutamente posticipato e poi, durante i test, abbiamo notato che l'ambiente non era stato patchato per 4 anni. Solo dopo la data iniziale del pentest, il fornitore ha cercato di proteggere l'ambiente.

Abbiamo anche visto molti casi in cui i sistemi sono stati distribuiti con impostazioni predefinite non sicure, password predefinite e, a volte, persino gli account di test erano ancora attivi negli ambienti di produzione.

A volte ci sono anche fornitori che cercano di 'schivare' il problema. Ad esempio, bloccando attivamente l'indirizzo IP dei pentester, bloccando specificamente i payload inviati dai tester nei loro firewall/WAF, o disattivando sistemi vulnerabili specifici durante un test, in modo che non finiscano nei risultati.

Il brutto

Tra i buoni e i cattivi, ci sono i brutti. Si tratta di fornitori con i quali si può essere inizialmente molto soddisfatti, ma che in seguito si sono trasformati in una relazione piuttosto acida. Un buon numero di fornitori ha risposto ai nostri rapporti di pentest con qualcosa del tipo "la sicurezza non faceva parte dei requisiti", di solito seguito da un "possiamo risolvere il problema, ma con un forte aumento di prezzo".

Spesso vediamo anche che la comunicazione e soprattutto la gestione delle aspettative tra il fornitore e il consumatore non funzionano. Il cliente si aspetta una cosa e il fornitore, in pratica, non si impegna mai a soddisfare tale aspettativa. A causa di questo disallineamento, spesso si verifica un conflitto.

Ci sono anche casi in cui i cambiamenti nell'infrastruttura o nella configurazione dei sistemi possono causare problemi con i fornitori terzi esistenti. Ad esempio, abbiamo assistito a diversi casi in cui un servizio di monitoraggio di terze parti non era in grado di rilevare nemmeno gli attacchi più elementari a causa di modifiche ai sistemi e alle configurazioni di rete, causando grandi punti ciechi per il loro servizio.

Abbiamo anche visto accadere il contrario, quando un fornitore cerca di convincere il proprio cliente ad aumentare la sicurezza, ma il cliente si rifiuta di farlo per vari motivi. In questi casi, se si verifica un incidente, la situazione può diventare molto complicata e portare a molti anni di battaglie legali.

Infine, c'è anche lo SLA. In genere i fornitori fanno del loro meglio per seguire i loro SLA e assicurarsi che tutti i ticket siano gestiti entro quel lasso di tempo. Tuttavia, a volte, in caso di crisi, è necessario che le cose avvengano molto più velocemente. Ad esempio, abbiamo visto casi in cui un Attacco ransomware su un numero limitato di cartelle è stato contrassegnato come un problema di media priorità, con 30 giorni di tempo nello SLA per risolvere il problema. Sono abbastanza certo che qualsiasi CISO o personale addetto all'incident response avrebbe impostato un livello di priorità completamente diverso.

Cosa fare?

Questi sono solo alcuni dei molti esempi che vediamo nel nostro lavoro quotidiano. Sebbene non esista una soluzione unica per la gestione della catena di fornitura, riteniamo che per quasi tutti i rapporti tra fornitore e consumatore, i seguenti punti siano fondamentali:

Gestione delle aspettative

• Non dia per scontato che il suo fornitore faccia le cose per lei, o che sia a conoscenza delle minacce che la riguardano, ma ne parli esplicitamente.
• Chieda al suo fornitore se ci sono cose che dovrebbe fare.

Dimostrare/mostrare di avere il controllo

• Rapporti e soluzioni di pentest, rapporti di audit (ISO27k, SOC2), timbri di approvazione settoriali.
• Fare un pentest insieme

Avere le giuste linee di comunicazione

• Le persone operative possono parlare direttamente con altre persone operative.
• Sapere come raggiungersi in caso di crisi.

Fornire un mandato

• Cosa può fare un fornitore senza il suo permesso (soprattutto durante una situazione di crisi o per i fornitori che forniscono sicurezza) e quando deve ottenere prima il permesso e chi è autorizzato a darlo?

Definire i requisiti di sicurezza durante l'approvvigionamento

• Sebbene la sicurezza dovrebbe essere un requisito predefinito, spesso non lo è, per cui è meglio inserire questa richiesta esplicita in qualsiasi processo di approvvigionamento. Inoltre, è utile coinvolgere gli esperti della materia negli acquisti, in quanto possono proporre diversi requisiti aggiuntivi o rivedere il contenuto delle proposte in arrivo.

Metta tutto per iscritto

• Se le cose vanno bene, raramente avrà bisogno della documentazione cartacea, ma tutte le relazioni hanno un certo livello di attrito di tanto in tanto. È utile disporre di documenti con accordi e impegni a cui fare riferimento.

Informazioni sull'autore

Willem Westerhof è Team Manager Security Specialists di Bureau Veritas Cybersecurity con quasi 10 anni di esperienza nella sicurezza offensiva. Ha guidato progetti di grande impatto nell'ambito delle infrastrutture critiche e del governo olandese, compresi incarichi politicamente sensibili e riservati riconosciuti a livello nazionale ed europeo.

Conosciuto per la sua capacità di coniugare la profondità tecnica con una comunicazione chiara, Willem è un relatore e consulente frequente in materia di Cybersecurity. La sua passione per il settore va oltre il lavoro con i clienti e si estende alla ricerca, alle pubblicazioni e ai contributi attivi alla comunità della sicurezza in generale.