Zero Trust v dodávateľskom reťazci kritickej infraštruktúry: keď dôvera musí byť overená
Najslabším miestom organizácie už dávno nemusí byť jej vlastná technológia. Čoraz častejšie sa ním stáva dodávateľ, ktorý má prístup k systémom, údajom alebo zabezpečuje prevádzku kritických služieb.
S rastúcou digitalizáciou sa bezpečnosť kritickej infraštruktúry prestáva končiť na hraniciach jednej organizácie. Jej odolnosť je dnes podmienená aj bezpečnosťou partnerov, dodávateľov a celého digitálneho ekosystému, ktorý ju obklopuje. Práve táto zmena prináša nový pohľad na dôveru a posúva do popredia koncept Zero Trust, teda prístup, ktorý je založený na jednoduchom princípe: Never trust, always verify – Nikdy automaticky nedôveruj, vždy overuj.
Čo je Zero Trust?
Zero Trust je moderný bezpečnostný prístup založený na predpoklade, že žiadny používateľ, zariadenie, aplikácia ani dodávateľ by nemali byť automaticky považovaní za dôveryhodných, a to bez ohľadu na to, či sa nachádzajú vo vnútri alebo mimo organizácie. Jeho podstatou je dôsledné overovanie každej identity a každého prístupu, poskytovanie nevyhnutných oprávnení a priebežné monitorovanie a vyhodnocovanie rizík. Zároveň vychádza z predpokladu, že ku kompromitácii môže dôjsť kdekoľvek v systéme, a preto nemožno bezpečnosť stavať na automatickej dôvere. Zero Trust preto neznamená nedôveru voči partnerom. Predstavuje budovanie dôvery na základe overiteľných skutočností, transparentnosti a zodpovedného riadenia rizík.
Dodávateľský reťazec ako nová hranica bezpečnosti
Moderná kritická infraštruktúra je čoraz viac závislá od cloudových služieb, externých dátových centier, priemyselného softvéru, vzdialenej správy technológií, služieb tretích strán či integrácií prostredníctvom aplikačných rozhraní. Kybernetickí útočníci si čoraz častejšie vyberajú ako vstupný bod práve dodávateľský reťazec. Dôvod je jednoduchý: dodávatelia často disponujú oprávneným prístupom do systémov svojich zákazníkov, spravujú ich technológie, alebo poskytujú kritické služby.
„Kritická infraštruktúra je len taká silná, ako je silný jej najslabší dodávateľ. Preto je dôležité vedieť nielen to, čo nám dodávateľ poskytuje, ale aj to, ako zodpovedne pristupuje k bezpečnosti svojich systémov,“ hovorí Tibor Straka, prezident Asociácie kritickej infraštruktúry Slovenskej republiky.
Každý nový dodávateľ rozširuje takzvanú útočnú plochu organizácie. Z pohľadu bezpečnosti preto už nestačí hodnotiť iba cenu, technické parametre alebo funkcionalitu riešenia. Rovnako dôležitými sa stávajú otázky: Aké riziko prináša samotný dodávateľ? Dokáže chrániť citlivé informácie? Má zavedené bezpečnostné procesy? Vie reagovať na incidenty a zabezpečiť kontinuitu poskytovaných služieb?
Práve odpovede na tieto otázky tvoria rizikový profil dodávateľa, ktorý sa dnes stáva jedným z rozhodujúcich faktorov pri výbere partnerov v oblasti kritickej infraštruktúry.
Čo znamená Zero Trust v praxi
Dodávateľ už nie je automaticky považovaný za dôveryhodného partnera. Organizácie čoraz častejšie vyžadujú preukázanie bezpečnostných opatrení, certifikácií a procesov riadenia incidentov.
Externí partneri získavajú iba také prístupy a oprávnenia, ktoré sú nevyhnutné na výkon ich činnosti, často len na obmedzený čas a do presne definovaných systémov. Dôležitou súčasťou tohto princípu je aj priebežné hodnotenie rizika, keď sa bezpečnostný stav dodávateľa nehodnotí iba pri uzatvorení zmluvy, ale sleduje sa a prehodnocuje počas celej spolupráce. Dôvera sa tak mení na dynamický proces založený na neustálom overovaní.
Európska regulácia potvrdzuje nový trend
Význam riadenia rizík v dodávateľskom reťazci potvrdzujú aj európske pravidlá v oblasti kybernetickej bezpečnosti. Smernica NIS2 (Network and Information Security Directive 2) zavádza prísnejšie požiadavky na riadenie kybernetických rizík a kladie dôraz aj na bezpečnosť dodávateľského reťazca. Organizácie pôsobiace v kritických sektoroch sú povinné hodnotiť riziká spojené s externými poskytovateľmi a prijímať primerané opatrenia na ich riadenie.
Nariadenie DORA (Digital Operational Resilience Act) predstavuje európsky rámec digitálnej prevádzkovej odolnosti pre finančný sektor. Jeho cieľom je zabezpečiť, aby finančné inštitúcie dokázali odolávať, reagovať a zotaviť sa z kybernetických incidentov a technologických zlyhaní. Hoci sa DORA vzťahuje predovšetkým na finančný sektor, jej princípy sa postupne stávajú inšpiráciou aj pre ďalšie sektory kritickej infraštruktúry.
Asociácia kritickej infraštruktúry Slovenskej republiky systematicky presadzuje pohľad, že bezpečnosť kritickej infraštruktúry sa už nebuduje iba v rámci jednotlivých kritických subjektov, ale aj v kvalite ich partnerstiev a dodávateľských vzťahov. Koncept Zero Trust predstavuje viac než len technologický trend. Nie je prejavom spochybňovania dodávateľa, ale prejavom zodpovednosti. V dnešnom digitálnom prostredí sa stáva prirodzenou súčasťou budovania bezpečnej a odolnej kritickej infraštruktúry.
