Czym jest atak przez łańcuch dostaw?
Ataki typu supply chain polegają na wykorzystaniu słabszego zabezpieczenia jednego z dostawców – producenta oprogramowania, integratora systemów, firmy serwisowej lub podwykonawcy – w celu uzyskania dostępu do systemów organizacji docelowej.
W administracji publicznej oznacza to, że nawet dobrze zabezpieczony urząd może zostać skompromitowany poprzez aktualizację oprogramowania, zdalny dostęp serwisowy lub nieprawidłowo zabezpieczone konto dostawcy.
Dlaczego administracja publiczna jest szczególnie narażona?
ENISA podkreśla, że instytucje publiczne korzystają z rozbudowanych i często wielopoziomowych łańcuchów dostaw. Obejmują one zarówno globalnych dostawców technologii, jak i lokalne firmy realizujące utrzymanie lub rozwój systemów.
Każdy dodatkowy podmiot w łańcuchu oznacza nowe ryzyko – inne standardy bezpieczeństwa, różny poziom dojrzałości organizacyjnej oraz ograniczoną możliwość realnego nadzoru ze strony administracji.
Typowe scenariusze ataków przez dostawców
Z raportu ENISA wynika, że ataki przez łańcuch dostaw często mają charakter pośredni i długofalowy. Najczęstsze scenariusze obejmują:
- ✓ zainfekowane aktualizacje oprogramowania,
- ✓ niekontrolowany zdalny dostęp serwisowy,
- ✓ przejęcie kont pracowników firm zewnętrznych,
- ✓ brak segmentacji dostępu dla podwykonawców.
Łańcuch dostaw a NIS 2
Dyrektywa NIS 2 wprost wskazuje na obowiązek uwzględniania bezpieczeństwa łańcucha dostaw w systemie zarządzania ryzykiem. Oznacza to, że administracja publiczna ponosi odpowiedzialność nie tylko za własne systemy, ale również za sposób doboru i nadzoru nad dostawcami.
W praktyce wymaga to m.in. weryfikacji dostawców, zapisów bezpieczeństwa w umowach, kontroli dostępu oraz monitorowania incydentów związanych z podmiotami trzecimi.
Wnioski dla administracji publicznej
Raport ENISA jasno pokazuje, że łańcuch dostaw IT jest jednym z najsłabszych ogniw cyberbezpieczeństwa administracji publicznej. Brak kontroli nad dostawcami może zniweczyć nawet najbardziej zaawansowane zabezpieczenia wewnętrzne.
Skuteczna ochrona wymaga holistycznego podejścia – od analizy ryzyka, przez procedury zakupowe, po bieżący nadzór nad relacjami z podmiotami zewnętrznymi. W realiach NIS 2 nie jest to już dobra praktyka, lecz obowiązek.
Źródło: ENISA, ENISA Sectorial Threat Landscape – Public Administration
