Pertanyaan Penting untuk Mengevaluasi Vendor Pihak Ketiga terkait Risiko Siber
Dari konsultan pemasaran dan mitra rantai pasok hingga akuntan dan penyedia layanan TI, organisasi saat ini bergantung pada semua jenis pihak ketiga untuk hampir setiap fungsi bisnis yang dapat dibayangkan.
Menurut riset terbaru dari Ponemon Institute, konsekuensi tidak sengaja dari ketergantungan pihak ketiga adalah bahwa 61% organisasi di AS telah mengalami pelanggaran data yang disebabkan oleh pihak ketiga atau vendor. Lima puluh tujuh persen bisnis tidak dapat menentukan apakah kebijakan keamanan dan pertahanan vendor mereka dapat mencegah pelanggaran dengan cukup, dan kurang dari setengah mengevaluasi praktik keamanan dan privasi vendor sebelum memulai perjanjian bisnis yang memerlukan berbagi informasi sensitif atau rahasia.
Itu tidak mengejutkan, oleh karena itu, menurut riset yang sama hanya 16 persen responden menilai perusahaan mereka sebagai “sangat efektif” dalam mengurangi risiko pihak ketiga. Faktanya, mereka yang memprioritasi manajemen risiko outsourcing mereka adalah minoritas.
Waktu terbaik untuk mulai mengurangi risiko pihak ketiga adalah pada awal hubungan — sebelum memasuki perjanjian. Itulah saatnya Anda perlu bertanya pertanyaan krusial untuk mengidentifikasi paparan yang mungkin Anda ambil, dan cara terbaik untuk menghindari compromisis. Vendor dengan praktik keamanan yang kuat biasanya bersedia membicaranya, sementara yang menghindari diskusi semacam itu mungkin memiliki sesuatu yang disembunyikan. Dengan itu dalam pikiran, berikut adalah lima pertanyaan — satu internal dan empat untuk kandidat serius — yang harus Anda ajukan ketika mempertimbangkan pihak ketiga:
Data dan sistem apa yang akan dimiliki atau diakses oleh pihak ketiga? Banyak pihak ketiga tidak akan memiliki akses ke data atau sistem sensitif, jadi jika mereka mengalami pelanggaran, ancaman bagi Anda minimal. Seorang vendor pemandangan, misalnya, memiliki sedikit akses ke data atau sistem, dan kemungkinan tidak ada ke interior fasilitas apa pun. Mungkin satu-satunya jaringan komputer yang mungkin diakses adalah sistem irigasi, yang kemungkinan besar terisolir dari sistem korporat internal. Oleh karena itu, pelanggaran potensial dari vendor pemandangan hipotesis ini diharapkan akan memiliki sedikit atau tidak ada dampak.
Sebaliknya, penyedia HR, sistem keuangan, atau vendor akan sangat berbeda. Misalnya, jika Anda menyewa konsultan untuk mengembangkan analitik pelanggan untuk mendukung strategi pemasaran atau bisnis, entitas tersebut mungkin memiliki akses ke data perusahaan yang mencakup nomor kartu kredit pelanggan dan alamat rumah, atau keuangan korporat. Tipe konsultan ini harus ditelaah dengan cermat.
Bagaimana pihak ketiga melakukan logging dan monitoring? Logging dan monitoring adalah cara utama organisasi mencatat dan merespons aktivitas dalam lingkungannya. Namun, log aktivitas sistem dan jaringan adalah verbose. Dan dalam lingkungan komputasi modern saat ini, yang terdiri dari banyak sistem yang beragam dan jaringan bandwidth tinggi, volume log event dengan cepat menjadi terlalu banyak untuk dikelola oleh manusia. Untuk memantau peristiwa keamanan dengan baik, alat harus digunakan untuk menyimpan dan mengklasifikasi peristiwa ini. Dengan mengetahui pilihan personil dan alat vendor, Anda akan memahami seberapa seriusnya keamanan. Akhirnya, orang + alat = uang = sumber daya = prioritas. Cari mitra yang memprioritaskan dan berinvestasi dalam keamanan.
Bagaimana pihak ketiga mengelola kontrol akses fisik dan teknis? Kontrol akses adalah salah satu cara untuk mengurangi kerentanan, dan oleh karena itu risiko. Mereka mengambil dua bentuk utama: fisik dan teknis. Dalam dunia yang sangat terhubung ini, mudah untuk melupakan pentingnya kontrol fisik. Anda perlu mengidentifikasi lokasi fisik tempat pihak ketiga menyimpan, memproses, dan mentransmisikan data, serta tingkat keamanan fisik di lokasi tersebut. Jika data Anda akan disimpan di perangkat seluler, penting untuk memahami kontrol keamanan yang terkait dengan perangkat tersebut, karena mereka mungkin tidak selalu berada di lokasi fisik statis.
Kontrol akses teknis juga penting untuk penilaian sistem dan jaringan. Tanya berapa banyak individu yang akan memiliki akses ke data Anda, dan untuk tujuan apa. Pahami bagaimana pihak ketiga menggunakan otentikasi multi-faktor, seberapa sering pengguna di grup administrator ditinjau, seberapa sering izin sistem ditinjau, dan bagaimana akses karyawan yang keluar dihapus. Selain itu, pelajari bagaimana praktik dan alat segmentasi jaringan digunakan. Misalnya, kontrol apa yang tersedia untuk mengisolasi sistem produksi dari lingkungan lain seperti internet? Bagaimana pihak ketiga segmen jaringan internalnya?
Banyak kali kontrol akses fisik yang baik dapat menindaklanjuti kontrol teknis yang lemah, dan sebaliknya. Namun praktik terbaik adalah membatasi akses fisik dan teknis ke data dan sistem hanya bagi individu yang diperlukan untuk menyediakan layanan. Kontrol akses yang longgar membuka permukaan serangan dan meningkatkan risiko Anda.
Pendekatan apa yang diambil pihak ketiga untuk patching sistem? Sementara kerentanan yang tidak diketahui atau tidak diungkapkan dramatis dan mendapat banyak perhatian, mereka jarang terjadi. Organisasi lebih berisiko terhadap kerentanan yang diketahui daripada yang tidak diketahui. Akibatnya, pihak ketiga harus memiliki program yang kuat untuk memperbaiki kerentanan yang diketahui, dengan dengan cepat menerapkan patch keamanan yang memperbarui kekurangan dan menghapus perangkat lunak yang rentan di bawahnya.
Penyedia perangkat lunak besar merilis update secara teratur. Dalam ulasan pihak ketiga, Anda harus yakin bahwa sistem yang memproses, menyimpan, dan mentransmisikan data Anda akan menerima update secara teratur dan tepat waktu, dan bahwa proses dipercepat ada untuk kerentanan segera dan kritis.
Apakah pihak ketiga menjalani audit atau pengujian independen? Sertifikasi keamanan apa yang telah diperolehnya? Audit menjaga organisasi tetap bertanggung jawab. Pihak ketiga harus melakukan self-audit dengan menyelesaikan dan menjaga kuesioner keamanan yang distandarkan seperti SIG Lite atau CSA CAIQ. Melampiri penilaian sendiri, audit independen memberi Anda ketenangan pikiran bahwa pihak ketiga mengikuti kebijakan dan prosedur mereka. Audit independen mungkin mencakup penetration test atau SOC 2. Beberapa industri memiliki sertifikasi sendiri seperti HITRUST di perawatan kesehatan, PCI untuk pemroses pembayaran, dan FedRAMP di pemerintah federal AS. Dalam semua kasus, audit independen penting, dan menunjukkan komitmen untuk memelihara program keamanan informasi formal yang divalidasi.
Dipersat, diskusi di sekitar area kunci ini akan memberikan Anda gambaran tentang postur keamanan vendor. Jawaban vendor yang transparan dan menunjukkan prioritas strategis serta kejagaan proaktif, Anda dapat maju dengan lebih percaya diri. Jika postur keamanan vendor belum matang, maka Anda harus baik menerima risiko, atau mempertimbangkan mitigasi lain untuk mengendalikannya.
Jangan biarkan keamanan data menjadi hal yang dipertimbangkan akhir. Jadikan sebagai bagian integral dari diskusi produk dan layanan. Dalam lingkungan serangan yang volum dan rumit saat ini, keamanan siber adalah masalah bisnis. Anda harus melakukan due diligence untuk memahami risiko Anda.
Jeremy Haas adalah chief security officer, dan Ryan Bergquist adalah cybersecurity analyst, dengan LookingGlass Cyber Solutions.
