Rsac: bank Anda mungkin aman, tetapi vendor pihak ketiga tidak

Dengan dinding tebal, brankas besar, dan detail keamanan in-house, bangunan bank kuno adalah gambaran yang sangat solid. Bank daring dan lembaga keuangan tidak berbagi tingkat keamanan fisik ini. Bahkan, melalui koneksi dengan mitra pihak ketiga, ujung-ujung dari institusi semacam itu memang bisa lemah. Pada Konferensi RSA di San Francisco, Lookingglass Cyber ​​Solutions merilis sebuah studi yang mengungkapkan kurangnya keamanan yang mengejutkan di antara vendor pihak ketiga tersebut.

Masalah semacam ini telah menjadi berita baru-baru ini. Pelanggaran data Black Friday besar-besaran di Target, yang awalnya dianggap sebagai "pekerjaan orang dalam, " ternyata memiliki asal pihak ketiga. Secara khusus, serangan itu datang melalui penyedia layanan HVAC Target. Pemilik perusahaan menggambarkannya sebagai "operasi serangan cyber yang canggih, " tetapi data dari Lookingglass menunjukkan bahwa kecanggihan tidak selalu diperlukan.

100 Persen Beresiko

Untuk mendapatkan data untuk penelitian ini, Lookingglass melacak "pemroses pembayaran, auditor, dan layanan keuangan lainnya dalam rantai pasokan industri keuangan." Studi ini berlangsung selama 35 hari pada kuartal keempat 2013, dan menemukan bahwa 100 persen dari jaringan pihak ketiga "menunjukkan tanda-tanda kompromi atau peningkatan risiko."

Peneliti Lookingglass mendeteksi lalu lintas botnet keluar dan perilaku jaringan jahat di sepenuhnya 75 persen dari jaringan pihak ketiga. Itu cukup mengejutkan. Lebih buruk lagi, 25 persen dari total menunjukkan tanda-tanda infeksi oleh Trojan perbankan Zeus. Dan beberapa pihak ketiga ini sendiri mengandalkan pihak ketiga lainnya, meningkatkan kemungkinan pelanggaran.

Pintu Terlalu Banyak

"Studi ini menyoroti kelemahan bahwa industri telah sangat ragu untuk berbicara di depan umum - fakta bahwa pihak ketiga yang dipercaya seharusnya tidak dan tidak dapat benar-benar dipercaya, " kata Chris Coleman, CEO Lookingglass. "Organisasi global… harus melihat melampaui batas pertahanan mereka sendiri dan mempertimbangkan pemantauan keberadaan Internet publik mereka untuk lebih memahami permukaan serangan mereka."

Bangunan bank kuno yang bagus itu memiliki pintu sesedikit mungkin, dan setiap pintu kokoh dilengkapi dengan sistem alarm dan kamera keamanan. Untuk lembaga keuangan online, setiap koneksi pihak ketiga adalah pintu yang mungkin membiarkan penjahat cyber masuk. Lebih buruk lagi, bahkan mungkin sulit untuk menyadari bahwa portal semacam itu ada. Siapa yang mengira penyerang Target bisa masuk melalui kontraktor HVAC? Laporan lengkap menjadi lebih rinci, bagi mereka yang tertarik.

Pelajarannya jelas. Institusi online Anda hanya seaman penyedia pihak ketiga, sehingga Anda ingin memeriksa penyedia tersebut secara menyeluruh. Hubungi audit, atau gunakan layanan seperti Lookingglass yang memeriksa keamanan "seluruh ekosistem cyber perusahaan klien termasuk perusahaan yang diperluas, dan jaringan lain di luar kendali mereka." Situs web yang benar-benar memperluas keamanan hingga batas pengaruhnya akan duduk manis sementara pesaing mereka mengalami pelanggaran setelah pelanggaran.