Σχεδόν κάθε οργανισμός σήμερα βασίζεται σε ένα σύνολο απομακρυσμένων προμηθευτών τρίτου μέρους για την πρόσβαση, συντήρηση και υποστήριξη κρίσιμων εσωτερικών συστημάτων και πόρων. Οι συγκεκριμένοι προμηθευτές και εταιρείες διαδραματίζουν σημαντικό ρόλο στη διατήρηση των πολύπλοκων, κατανεμημένων υποδομών των σύγχρονων οργανισμών.

Δεδομένου ότι η πρόσβαση τρίτων προμηθευτών αποτέλεσε βασικό στοιχείο ορισμένων πρόσφατων παραβιάσεων, η CyberArk διενήργησε πρόσφατα μία έρευνα με τη συμμετοχή υπεύθυνων λήψης αποφάσεων στον τομέα της πληροφορικής και της ασφάλειας για να μάθει περισσότερα σχετικά με τις κοινές προσεγγίσεις στη διαχείριση και στη διασφάλιση της πρόσβασης σε κρίσιμους εσωτερικούς πόρους. Παρακάτω θα βρείτε μερικά αποκαλυπτικά ευρήματα:

Η προνομιακή πρόσβαση τρίτου μέρους βρίσκεται παντού

Ενδεχομένως να μην αποτελεί έκπληξη στους περισσότερους που το 90% των ερωτηθέντων δήλωσε ότι επιτρέπει σε τρίτους προμηθευτές να έχουν πρόσβαση σε κρίσιμης σημασίας εσωτερικούς πόρους. Αυτό ωστόσο που ήταν κατά κάποιο τρόπο συγκλονιστικό ήταν ότι πάνω από το ένα τέταρτο (26%) από τους συμμετέχοντες στην έρευνα δήλωσε ότι συνεργάζονται με πάνω από 100 τρίτους προμηθευτές! Πρόκειται για μεγάλο αριθμό λογαριασμών για να λάβεις υπόψη σου, όσον αφορά στην διαχείριση και στην ασφάλεια.

Για πολλούς οργανισμούς, η διασφάλιση της πρόσβασης τρίτων προμηθευτών είναι απίστευτα πολύπλοκη – συχνά απαιτεί μια συνδυαστική λύση διάφορων προϊόντων όπως είναι ο έλεγχος ταυτότητας πολλαπλών παραγόντων, η υποστήριξη VPN, οι μεταφερόμενοι εταιρικοί φορητοί υπολογιστές, οι υπηρεσίες καταλόγου, διάφοροι παράγοντες και άλλα. Και κάτι τέτοιο, όχι μόνο προκαλεί σύγχυση και φέρνει πρόσθετα βάρη για όσους ασχολούνται με ζητήματα ασφαλείας, αλλά δημιουργεί επιπλέον δύσκολες και συχνά μη ασφαλείς «οδούς» ώστε τρίτα μέρη να έχουν πρόσβαση στα συστήματα που απαιτούνται για να κάνουν τη δουλειά τους.

Και αυτό οδηγεί στο επόμενο εύρημα…

Η πρόσβαση τρίτων είναι ένας από τους κορυφαίους κινδύνους

Σχεδόν τα τρία τέταρτα (72%) των οργανισμών θεωρούν την πρόσβαση τρίτων ως έναν από τους κορυφαίους δέκα κινδύνους για την ασφάλεια κατά μήκος ολόκληρου του οργανισμού, μαζί με άλλους, όπως η κακοδιαχείριση cloud, το phishing και η απειλές από το εσωτερικό της εταιρείας (π.χ κακόβουλους υπαλλήλους). Η πρόσβαση τρίτων φαίνεται να ανεβαίνει διαρκώς στην κατάταξη, για να καταστεί κορυφαία προτεραιότητα για τους οργανισμούς και αυτό για καλό λόγο. Τέτοιες επιθέσεις και οι παραβιάσεις δεδομένων ως επακόλουθο μπορεί να είναι εξαιρετικά δαπανηρές για τους οργανισμούς, τόσο από πλευράς φήμης όσο και από την άποψη των οικονομικών απωλειών.

Παρόλα αυτά, οι ίδιοι οι οργανισμοί δεν είναι ικανοποιημένοι από τον τρόπο που προσεγγίζουν αυτή τη στιγμή τη διαχείριση και την προστασία της πρόσβασης για αυτούς τους απομακρυσμένους προμηθευτές/ εταιρείες. Ένα επιβλητικό 89% των ερωτηθέντων θεωρεί ότι θα μπορούσαν να κάνουν περισσότερα ή δηλώνει δυσαρεστημένο από τις προσπάθειές τους για να διασφαλίσουν την πρόσβαση των τρίτων προμηθευτών.

Τo provisioning και το visibility αποτελούν πρόκληση

Οπότε αν η πρόσβαση τρίτων είναι ένας από τους δέκα κορυφαίους κινδύνους, γιατί τόσοι πολλοί αποτυγχάνουν να την διασφαλίσουν; Διαπιστώσαμε ότι το 50% των οργανισμών δηλώνουν ότι το provisioning και το deprovisioning της πρόσβασης ήταν η μεγαλύτερη πρόκληση που είχαν να αντιμετωπίσουν, ενώ το 47% επεσήμανε την έλλειψη visibility (ορατότητα σε συγκεκριμένα μέρη του εταιρικού δικτύου για παράδειγμα).

Το provisioning και το deprovisioning της πρόσβασης μπορεί να αποτελέσει μεγάλη πρόκληση. Δεν πρέπει να δώσετε «περισσότερη» πρόσβαση (κατά την οποία οι προμηθευτές έχουν πρόσβαση σε πράγματα που δεν χρειάζονται ή για μεγαλύτερο χρονικό διάστημα από ό, τι απαιτείται) ή «λιγότερη», ουσιαστικά αποκλείοντας την πρόσβαση σε κάποιους πόρους (όπου οι προμηθευτές αναγκάζονται να δημιουργήσουν μη ασφαλείς κερκόπορτες σε κρίσιμης σημασίας πόρους). Πρέπει να είναι ακριβώς αυτή που πρέπει.

Επί του παρόντος ωστόσο κυριαρχούν οι παλαιότερου τύπου λύσεις. Για παράδειγμα, ενώ το 86% των οργανισμών βασίζονται σε VPN για την διασφάλιση της πρόσβασης τρίτων, τα virtual private networks δεν σχεδιάστηκαν για τη διαχείριση των απαιτήσεων της δυναμικής προνομιακής πρόσβασης όπως είναι η προστασία πρόσβασης βάσει ρόλων και η καταγραφή των «συνεδριών». Στο μέτωπο της ορατότητας, οι εταιρείες δεν γνωρίζουν πάντα τι κάνουν οι τρίτοι προμηθευτές όταν αυτοί περάσουν τον έλεγχο ταυτότητας – και αυτό αποτελεί σοβαρό πρόβλημα. Μια βέλτιστη πρακτική – η οποία απαιτείται συχνά για έλεγχο και συμμόρφωση – είναι η παρακολούθηση, η εγγραφή και η καταγραφή των δραστηριοτήτων των προνομιούχων λογαριασμών.

Καθώς οι οργανισμοί εξαρτώνται ολοένα και περισσότερο από τρίτους για να κάνουν τη δουλειά τους, οι δυσκολίες που αντιμετωπίζουν όσον αφορά την ασφάλεια είναι ολοένα και περισσότερο δύσκολο να αγνοηθούν.

Χωρίς μια εξειδικευμένη λύση ειδικά για τη διαχείριση της προνομιακής πρόσβασης τρίτων, οι οργανισμοί αναγκάστηκαν να χρησιμοποιήσουν μη κατάλληλες λύσεις όπως είναι το VPN. Για να δώσει τη λύση στο πρόβλημα, η CyberArk παρουσίαση μία πραγματικά σύγχρονη και καινοτόμο λύση, το CyberArk Alero.

To CyberArk Alero συνδυάζει την πρόσβαση «Zero Trust», τον βιομετρικό έλεγχο ταυτότητας πολλαπλών παραγόντων και το «just-in-time» provisioning σε μια SaaS λύση (Software-as-a-Service). Η λύση CyberArk Alero εξασφαλίζει ότι οι απομακρυσμένοι προμηθευτές έχουν πρόσβαση μόνο σε ό, τι χρειάζονται, χάρη στο integration με το CyberArk Core Privileged Access Security για ολοκληρωμένες δυνατότητες έλεγχο, καταγραφή και αποκατάσταση.

Το Alero σχεδιάστηκε για να παρέχει γρήγορη, εύκολη και ασφαλή προνομιακή πρόσβαση για απομακρυσμένους προμηθευτές που χρειάζονται πρόσβαση σε κρίσιμης σημασίας εσωτερικά συστήματα. Επειδή δεν απαιτείται VPN, agents ή κωδικοί πρόσβασης, το Alero καταργεί την επιχειρησιακή περιπλοκότητα και την πρόσθετη επιβάρυνση για τους διαχειριστές και βελτιώνει την ασφάλεια.

Για να μάθετε περισσότερα σχετικά με τις προκλήσεις της διασφάλισης της πρόσβασης τρίτων, διαβάστε το e-book “Third Party Privileged Access to Critical Systems“. Μπορείτε επίσης να ζητήσετε μία δοκιμαστική έκδοση για να μάθετε περισσότερα για το CyberArk Alero.

πηγή : NSS.gr