אם מסתכלים על פרשות הסייבר של השבוע האחרון, מתגלה דפוס ברור. Crédit Mutuel Arkéa לא נפרץ דרך המערכות שלו, אלא דרך פלטפורמה של ספק טכנולוגיה, והתוקפים הוציאו משם כ-133 מיליון דולר. SEGA לא נפרצה בכלל, אבל 2.2 מיליון כתובות של לקוחותיה דלפו מספקית הדיוור Arara, שנפרצה יחד עם מאות לקוחות אחרים. הפורצים לא תוקפים את המבצר. הם תוקפים את הספק שיש לו מפתח.
ההיגיון ברור. ארגון גדול מוציא הון על אבטחה: צוותים, מערכות, בדיקות. הספק שלו, שלעתים קרובות קטן הרבה יותר, מוציא פחות. אבל כדי לתת שירות, הספק מקבל גישה: לרשימת הלקוחות, למערכת התשלומים, לפעמים לכסף עצמו. מבחינת התוקף, זה פשוט המסלול הזול יותר. ופריצה אחת לספק שמשרת מאות ארגונים שווה מאות פריצות.
הבעיה היא שהאחריות לא עוברת יחד עם השירות. הלקוחות של SEGA לא יודעים מה זו Arara, והם יאשימו את SEGA. הרגולטור לא יקבל מבנק את התשובה "זה היה הספק". ובכל זאת, ברוב הארגונים ניהול סיכוני ספקים הוא שאלון שנשלח פעם בשנה, ממולא על ידי הספק עצמו ונשמר בתיקייה. זה לא ניהול סיכונים, זה כיסוי משפטי.
מה עובד באמת? שלושה דברים. ראשית, לתת לכל ספק רק את הגישה המינימלית שהוא צריך, ולבדוק אותה בפועל ולא רק בחוזה: ספק דיוור לא צריך את כתובות המגורים, וספק טכנולוגיה לא צריך הרשאה להעביר כסף בלי אישור נוסף. שנית, לנטר את הפעולות שהספק מבצע, כאילו היה תוקף פוטנציאלי, כי ביום רע הוא באמת כזה. ושלישית, לתכנן מראש מה עושים כשספק נפרץ, כולל איך מנתקים אותו מהר.
לחברות ישראליות יש בזה גם הזדמנות. חלק גדול מתעשיית הסייבר הישראלית בנוי על הבעיה הזאת בדיוק: ניהול הרשאות, ניטור גישה של צד שלישי והגנה על נתונים בשרשרת האספקה. אבל כדאי שגם הארגונים בישראל, מהבנקים ועד חברות הביטוח ורשתות השיווק, ישאלו את עצמם השבוע שאלה פשוטה: אם הספק הכי פחות מאובטח שלנו ייפרץ מחר, מה הפורץ יקבל? מי שלא יודע לענות, כבר קיבל תשובה.
