Infosecurity выстроила процесс управления безопасностью поставщиков для крупного производственного холдинга

Крупный производственный холдинг

Разработать единый подход к проверке поставщиков перед заключением договоров и снизить риски, связанные с доступом подрядчиков к информационным и производственным системам компании.

Поводом для проекта стал инцидент у отраслевого конкурента: злоумышленники проникли в инфраструктуру через скомпрометированного ИТ-подрядчика. Служба безопасности холдинга решила разработать единую анкету, которую можно было бы направлять всем контрагентам перед подписанием договора.

В ходе первой встречи выяснилось, что за этой задачей стоит более системная проблема. У компании-заказчика уже было несколько десятков действующих подрядчиков с удалённым доступом к инфраструктуре, при этом ни один из них ранее не проходил полноценную проверку по кибербезопасности. Права доступа не всегда пересматривались после смены сотрудников на стороне подрядчика, в ряде договоров требования по ИБ отсутствовали, а некоторые подрядчики использовали одну общую учётную запись на всю команду.

Эксперты Infosecurity предложили вместо единой анкеты выстроить комплексный процесс управления рисками третьих сторон. Уровень риска и требования к поставщикам определялись в зависимости от того, как именно подрядчик взаимодействует с инфраструктурой заказчика. Работа была выстроена в три этапа.

ЭТАП 1. Инвентаризация и аудит

Вместо рассылки универсальной анкеты эксперты провели обследование текущих процессов выбора и взаимодействия с контрагентами.

Был составлен полный реестр действующих подрядчиков с сегментацией по типам взаимодействия: доступ к информации, ИТ-инфраструктуре, физический доступ в помещения и др.

Аудит подтвердил наличие системных уязвимостей в жизненном цикле работы с поставщиками: от некорректного управления доступами — общих учётных записей и неотозванных прав — до отсутствия ИБ-требований в договорах и недостаточной осведомлённости внутренних заказчиков о киберрисках.

ЭТАП 2. Проектирование целевой модели безопасности

На основе собранных данных была разработана комплексная система управления рисками третьих сторон, которая включила:

• архитектуру допуска — классификацию поставщиков по уровню критичности и критерии принятия решений: условия для беспрепятственного старта, работы с компенсирующими мерами и «красные флаги» для отказа от контрагента;

• дифференцированные профили требований — индивидуальные чек-листы и матрицы требований по кибербезопасности в зависимости от типа взаимодействия и уровня доступа подрядчика;

• регламент и ролевую модель — порядок взаимодействия с поставщиками на всех этапах жизненного цикла и распределение ответственности между бизнес-заказчиками, закупками, ИТ и службой безопасности: кто инициирует проверку, согласует допуск, контролирует доступы и своевременно их отзывает;

• юридическую и техническую защиту — обновлённые шаблоны договоров и NDA с обязательными контролями, включая MFA, персональные учётные записи, уведомление об инцидентах, правила привлечения субподрядчиков и автоматическую блокировку доступа после завершения работ.

ЭТАП 3. Внедрение процессов

Параллельно с выстраиванием новых процессов был проведён анализ действующих подрядчиков, у которых уже были выявлены нарушения — в том числе неотозванные доступы и использование общих учётных записей. Для них разработали план устранения уязвимостей.

Также была подготовлена и проведена программа обучения для сотрудников служб закупок и эксплуатации, непосредственно работающих с подрядчиками.

Заказчик рассчитывал получить анкету для проверки поставщиков, а в результате получил работающий процесс управления рисками третьих сторон.

По итогам проекта:

✓ сформирован единый реестр контрагентов с разбивкой по типам и уровню критичности;

✓ выявлены подрядчики с удалённым доступом к производственным системам, не соответствовавшие даже базовым требованиям по кибербезопасности; по двум из них принято решение ограничить доступ до устранения замечаний;

✓ договоры с ключевыми контрагентами дополнены требованиями по кибербезопасности, включая порядок уведомления об инцидентах, правила привлечения субподрядчиков, требования к персональным учётным записям и срокам блокировки доступа;

✓ сотрудники служб закупок и эксплуатации прошли обучение и получили критерии, позволяющие выявлять потенциальные риски ещё на этапе выбора подрядчика;

✓ сформирован управляемый жизненный цикл работы с поставщиками:
оценка до начала работ → контроль в процессе → безопасное завершение сотрудничества.