Η βρετανική επιθεώρηση αστυνομίας και πυροσβεστικής (HMICFRS) αναφέρει σε έκθεσή της ότι προμηθευτές τεχνολογίας που διαχειρίζονται δεδομένα της αστυνομίας παραβιάστηκαν επανειλημμένα από το 2021 έως το 2025, χωρίς άμεση επίθεση στα ίδια τα αστυνομικά συστήματα. Η δημόσια έκθεση δεν κατονομάζει προμηθευτές ή σώματα, ούτε λέει πόσες επιθέσεις έγιναν ή αν κλάπηκαν δεδομένα. Διαπιστώνει ότι οι περισσότερες συμβάσεις δεν προβλέπουν συνεχή έλεγχο της κυβερνοασφάλειας των προμηθευτών. Επίσης, οι ομάδες IT της αστυνομίας συχνά δεν έχουν πρόσβαση στα αρχεία καταγραφής των προμηθευτών.

Τι σημαίνει: Η έκθεση περιγράφει ένα πρόβλημα που δεν είναι μόνο βρετανικό. Οι οργανισμοί επενδύουν στην ασφάλεια των δικών τους συστημάτων, αλλά τα δεδομένα τους βρίσκονται όλο και περισσότερο σε προμηθευτές λογισμικού, cloud και υποστήριξης, που ελέγχονται μόνο κατά την υπογραφή της σύμβασης, αν ελέγχονται καθόλου. Όταν ο οργανισμός δεν βλέπει τα αρχεία καταγραφής του προμηθευτή, μια παραβίαση μπορεί να περάσει απαρατήρητη ή να γίνει γνωστή με μεγάλη καθυστέρηση. Στην Ελλάδα, η οδηγία NIS2, που έχει ενσωματωθεί στο εθνικό δίκαιο, απαιτεί από τους φορείς που καλύπτει να διαχειρίζονται ρητά τον κίνδυνο της εφοδιαστικής αλυσίδας, και ο κανονισμός DORA κάνει το ίδιο για τον χρηματοπιστωτικό τομέα. Στην πράξη αυτό σημαίνει συμβάσεις με υποχρέωση άμεσης ειδοποίησης για περιστατικά, δικαίωμα ελέγχου, ελάχιστες απαιτήσεις ασφάλειας και πρόσβαση σε αρχεία καταγραφής όταν χρειάζεται. Για δημόσιους φορείς και επιχειρήσεις, ένας πρακτικός πρώτος βήμα είναι η καταγραφή όλων των προμηθευτών που κρατούν ευαίσθητα δεδομένα και η ιεράρχησή τους με βάση τον κίνδυνο. Η αντιμετώπιση της ασφάλειας ως διαρκούς υποχρέωσης, όχι ως ερωτηματολογίου μίας φοράς, είναι το βασικό μήνυμα της έκθεσης.

Διαβάστε το πρωτότυπο στο The Record

Σχετική υπηρεσία: Ανάπτυξη λογισμικού

Σχετικές ειδήσεις