כמעט כל עסק קטן עובד עם ספקים חיצוניים: חברת תמיכה, רואה חשבון, ספק מערכת קופה, טכנאי מצלמות או מפתח אתר. לכל אחד מהם יש לעיתים גישה למערכות העסק. גישת ספקים חיצוניים לרשת היא אחת הדרכים שבהן תוקפים נכנסים לארגונים, כי קל יותר לפרוץ לספק קטן מאשר ישירות אליכם. החדשות הטובות: עם כמה כללים פשוטים אפשר להקטין את הסיכון משמעותית.
## למה ספקים הם נקודת תורפה
הספק שלכם הוא עסק כמו כל עסק. ייתכן שהסיסמאות שלו חלשות, שהמחשב שלו לא מעודכן או שהוא משתמש באותו חשבון עבור כמה לקוחות. אם התוקף משתלט עליו, הוא מקבל את אותה גישה שנתתם לספק, והיא נראית לגיטימית לחלוטין במערכות שלכם.
בעיה נוספת היא שגישות נשכחות. פרויקט הסתיים לפני שנה, אבל החשבון עדיין פעיל, והסיסמה עדיין מוכרת לכמה אנשים.
## מיפוי: מי נכנס ולאן
הצעד הראשון הוא רשימה. רשמו כל ספק שיש לו גישה כלשהי, אילו מערכות הוא רואה, באיזה אופן הוא מתחבר ומי אצלכם אחראי עליו. בדרך כלל מגלים כמה גישות שאיש כבר לא זוכר.
בכל שורה ברשימה שאלו: האם הגישה הזו עדיין נחוצה? אם התשובה שלילית, סגרו אותה מיד.
## עקרון ההרשאה המינימלית
ספק שמטפל בהדפסה לא צריך לראות את הנהלת החשבונות. תנו כל ספק רק את מה שהוא צריך לביצוע העבודה, ורק לפרק הזמן הנדרש. עדיף להעניק גישה זמנית שפוקעת מעצמה מאשר גישה קבועה שמישהו יצטרך לזכור לבטל.
הקפידו על חשבון אישי לכל איש מטעם הספק, ולא חשבון משותף. כך תדעו מי עשה מה, ואפשר להפסיק גישה של אדם אחד בלי להשבית את כולם.
## אימות חזק ותיעוד פעילות
דרשו אימות דו שלבי מכל גורם חיצוני שמתחבר למערכות שלכם. סיסמה בלבד אינה מספיקה, במיוחד בחיבור מרחוק. מומלץ לחבר את הספקים דרך ערוץ מבוקר, כמו VPN או שער גישה מאובטח, ולא לפתוח שירותים ישירות לאינטרנט.
הפעילו תיעוד של התחברויות ושינויים. לא צריך לקרוא כל שורה, אבל כשמשהו חריג קורה, כמו כניסה באמצע הלילה, חשוב שיהיה אפשר לבדוק מה התרחש.
## חוזה, בדיקות וסיום יחסים
הגדירו בהסכם עם הספק ציפיות אבטחה ברורות: חובת דיווח מהירה על אירוע, שמירה על סודיות המידע ואחריות על העובדים שלו. שאלו אותו איך הוא מגן על הגישה שלכם, ובקשו שיעדכן אתכם כשעובד עוזב אצלו.
כשמסיימים עבודה עם ספק, בצעו רשימת סגירה: ביטול חשבונות, החלפת סיסמאות משותפות שהכיר, ביטול מפתחות גישה ובדיקה שלא נותרו קבצים אצלו.
## סיכום
אי אפשר לעבוד בלי ספקים, אבל אפשר לשלוט בגישה שלהם. מפו, הגבילו, חזקו את האימות, תעדו ובצעו סגירה מסודרת. סקירה רבעונית קצרה של רשימת הספקים והגישות תחסוך לכם בעיות גדולות בהמשך.