Vol. 12 av 25
·
Hårdvarans förtroendegrund
Leveranskedjans identitetsvektorer
Din leverantör klarade revisionen. Deras underkonsulter gjorde det inte. Intrång kommer allt oftare in via andras inloggningsuppgifter, och NIS2 artikel 21 kräver nu att du hanterar dem.
15 %
av intrången involverar en tredje part, upp från 9 % året innan. Källa: Verizon DBIR 2024.
1 av 3
säkerhetsincidenter börjar med en giltig inloggning från en betrodd tredje part, inte med ett phishingmejl till de anställda.
Art. 21.2 d
NIS2 kräver säkerhet i leveranskedjan, inklusive säkerhetsaspekter i relationerna till direkta leverantörer och tjänsteleverantörer.
Antagandet
Phishingresistent inloggning i hårdvara för interna identiteter innebär att även de externa affärsrelationerna är skyddade.
Verkligheten
En av tre säkerhetsincidenter börjar med en giltig inloggning från en betrodd tredje part, inte med ett phishingmejl till de anställda. De här parterna klarade leverantörsbedömningen och skrev under säkerhetspolicyerna, men deras åtkomst byggde på lösenord och SMS-kod eftersom säkerhetsnycklar verkade ge för mycket friktion.
Målarkitekturen
Tillämpa samma phishingresistenta hårdvarustandard på alla externa parter med varaktig, privilegierad eller oövervakad åtkomst. Dela ut säkerhetsnycklarna centralt i stället för att kräva att externa parter skaffar egna. Ta med autentiseringskontrollerna för leveranskedjan i revisionsunderlaget för NIS2 artikel 21.
Källor
Verizon Data Breach Investigations Report 2024
NIS2-direktivet artikel 21.2 d
Vill du veta hur det ser ut i er miljö?
Boka en genomgång med Ciptor, så går vi igenom era antaganden tillsammans.
Boka en genomgång