Bagaimana menemukan risiko rantai pasok yang tidak terlihat?
CyberRank Research
Risiko rantai pasok tersembunyi berada di tempat yang tidak dilihat kontrak: dalam perangkat lunak dan pembaruan yang dikirim vendor, dalam pemasok di belakang vendor, dalam model AI yang diambil vendor dari penyedia lain, dan dalam kriptografi yang membawa data Anda melalui mereka. Temukan dengan memetakan pihak keempat dan memantau terus-menerus. CyberRank menampilkan pihak keempat beserta ratingnya dan menilai ulang vendor yang dipantau setiap malam.
Intisari
- Pembaruan perangkat lunak dan paket open-source membawa serangan ke pelanggan yang memercayai pemasok.
- Pemasok milik vendor Anda, yaitu pihak keempat, meneruskan risikonya kepada Anda.
- Model AI vendor sering berasal dari penyedia lain, sehingga penyedia itu juga menjadi pihak keempat.
- CyberRank menampilkan pihak keempat beserta rating, penggunaan AI, dan postur kripto-kuantum (Beta) dalam satu profil vendor.
Jawabannya, bagian demi bagian
| Bagian pertanyaan | Jawaban singkat | Baca lebih lanjut | Cara CyberRank membantu |
|---|---|---|---|
| Perangkat lunak dan pembaruan | Jawaban singkatSerangan bergerak melalui pembaruan dan paket yang ditandatangani | Baca lebih lanjutcara kerja serangan rantai pasok | Cara CyberRank membantuSinyal kerentanan pada sistem vendor yang menghadap internet |
| Pemasok milik vendor | Jawaban singkatPetakan pihak keempat dan penyedia yang dipakai bersama oleh vendor Anda | Baca lebih lanjutpihak keempat dalam manajemen risiko pihak ketiga | Cara CyberRank membantuPihak keempat dengan rating sendiri, digabungkan hingga dua tingkat |
| Model AI | Jawaban singkatPenyedia AI serbaguna milik vendor adalah pihak keempat | Baca lebih lanjutAI sebagai risiko rantai pasok | Cara CyberRank membantuMenampilkan vendor yang materi publiknya menyebut model GPAI atau fitur AI (Beta) |
| Kriptografi | Jawaban singkatVendor memilih pertukaran kunci yang dilalui data Anda | Baca lebih lanjutkesiapan kuantum sebagai risiko pihak ketiga | Cara CyberRank membantuPostur kripto-kuantum per vendor (Beta) |
Perangkat lunak dan pembaruan
Analisis ENISA terhadap 24 serangan rantai pasok menemukan bahwa pada sekitar 66% insiden penyerang menyasar kode pemasok, dan sekitar 62% memanfaatkan kepercayaan pelanggan kepada pemasoknya. Pembaruan yang ditandatangani lolos pemeriksaan endpoint dan dependensi datang melalui package manager, sehingga pembobolan tampak seperti rilis biasa. Jenis-jenis serangannya dijelaskan secara rinci dalam artikel kami tentang contoh dan pencegahan serangan rantai pasok.
Pemasok milik vendor Anda
Pihak keempat adalah pemasok di belakang vendor Anda: penyedia cloud, pemroses pembayaran, dan penyedia perangkat lunak mereka. Ketika beberapa vendor Anda bergantung pada penyedia yang sama, satu insiden di sana menjangkau semuanya sekaligus. Visibilitas pihak keempat adalah salah satu kemampuan yang dijelaskan secara rinci dalam panduan kami tentang manajemen risiko pihak ketiga.
Model AI di belakang vendor Anda
Asisten di CRM atau fitur pemeringkatan di platform HR sering berjalan di atas model AI serbaguna dari penyedia lain, sehingga penyedia itu menjadi pihak keempat. AI juga menambah jalur masuknya sendiri, seperti prompt injection, kebocoran data ke pelatihan model, dan pembobolan rantai pasok model. Risiko ini dijelaskan secara rinci dalam artikel kami tentang EU AI Act dan vendor Anda.
Kriptografi yang dilalui data Anda
Data penggajian, berkas pelanggan, dan lalu lintas API melewati koneksi TLS dan SSH milik vendor, masing-masing dengan pertukaran kunci yang dipilih vendor. Jika pertukaran kunci itu hanya klasik, lalu lintas yang direkam dapat didekripsi setelah komputer kuantum ada. Cara memeriksanya di seluruh vendor dijelaskan secara rinci dalam panduan kami tentang keamanan kuantum dan kriptografi pasca-kuantum.
Di mana CyberRank tidak membantu
CyberRank tidak dapat meninjau kode sumber vendor atau melihat ke dalam sistem build-nya, sehingga tidak dapat menangkap pembaruan berbahaya sebelum diungkapkan. CyberRank hanya melihat AI dan kriptografi yang meninggalkan jejak publik, dan menampilkan pihak keempat yang dapat dikenali dari bukti publik. CyberRank tidak menggantikan klausul subkontrak dalam kontrak Anda.
Pertanyaan yang sering diajukan
Dapatkan rating keamanan gratis Anda
Jalankan rating keamanan CyberRank gratis untuk organisasi mana pun dan lihat sinyal risiko vendor yang sama seperti yang digunakan pelanggan kami.
Dapatkan rating keamanan gratis Anda