別人被駭我倒楣？如何自我檢查應對供應鏈風險的準備程度
更新於 2023/06/15閱讀時間約 7 分鐘
你是否想過，如果哪些第三方服務突然中斷或是遭到駭客攻擊，會對你的單位造成什麼影響？本文會透過模擬案例，解析資安事件發生時，駭客從攻擊服務供應商到進入單位內部的不同階段，並附上自檢表讓讀者迅速檢視自己是否對於供應鏈資安事件有所準備。
前言
銀行公會在 2023 年 03 月 26 日更新了《金融機構資通系統與服務供應鏈風險管理規範》，著重於供應鏈的風險管理，可看出對於第三方供應商的資安疑慮與重視。
現今企業常用第三方服務支援業務，但當這些供應商遭受駭客攻擊，企業就會面臨風險和威脅。
舉例來說，如果合作的物流公司系統被入侵，駭客可能竊取到電商客戶的個人資訊或貨物信息。同樣地，如果一家 SaaS 供應商的系統被攻擊，使用其系統的企業可能會失去對其內部工作流程的控制。就有如 2022 年 TOYOTA 因為供應商遭受攻擊，導致 TOYOTA 零件管理系統故障、產線停擺。資安不僅是資料洩露，有時也要評估對於公司生產的影響。而第三方服務的盛行，無疑加劇了駭客的攻擊面與影響範圍。
以下是以我的經驗與結合知道的案例，模擬這類事件的常見情境與順序，並提供回應建議。
第一階段：服務供應商被入侵
您的組織使用了第三方的 CRM 系統主導內部的業務流程。某天，您收到 CRM 服務供應商的通知，告知他們已經遭到入侵，攻擊者竊取了他們客戶的資訊。目前已知使用者名稱與密碼都已被盜，其餘範圍還在釐清中。
首先，遇到供應商發生資安事件，我們可以先釐清對己身企業的影響。根據情境，企業只知道登入此系統的帳號密碼已經洩漏，但儲存在上面的客戶資料尚未確定是否外洩。
所以此時，我們可以將問題分為資安風險與商業風險，進行評估。
- 資安風險：由於服務使用者（公司內部的業務、財務或相關人員）的帳密已經外洩，而他們使用的帳號密碼有可能是弱密碼或是經常重複使用的私人密碼，攻擊者可能會透過這些外洩的密碼，對公司系統進行撞庫攻擊。
- 商業風險：您的組織在 CRM 系統上儲存了什麼樣的資料？如果真的外洩，對於公司商務有什麼影響？（例如：客戶喪失信任、影響股價、商業機密外洩）發生資料外洩有無罰則、法律責任？（例如：GDPR）
事件發生時，需針對不同類型的風險確認其潛在的影響，因此組織的資安單位除了處理資安風險，也應考慮發起跨部門的合作。有了業務上的資訊，才能確認資安事件對整間公司的全面影響。有些組織內，業務單位與資安單位脫鉤較為嚴重，資安單位應認知到這一點，盡早將商業風險納入評估流程中。
第二階段：攻擊者試圖透過竊取到的憑證存取公司系統
雖然您已經接收到服務供應商的通知，但您並不清楚攻擊者是什麼時候得到這些帳號密碼。而竊取到憑證的攻擊者此時很有可能進行憑證填充 (Credential Stuffing) 攻擊，存取組織所有外部的服務。
第一階段是評估，確認事件發生後的資安與商業風險，接下來我們也需要亡羊補牢——在駭客拿到鑰匙後，進一步防止駭客撞開大門、存取公司系統。為了避免憑證填充或類似的攻擊，資安團隊可以往下列方向進行事件處理
- 確認外部服務存取的可能性：組織應確認只有必要的服務可以從外部存取，因為外部服務會是駭客利用竊取到的憑證嘗試登入的首要管道。
- 驗證帳戶：既然已知帳密外洩且駭客正在嘗試進入，此時組織應該強烈建議員工更改他們的密碼，並確保他們不會在其他網站上重複使用相同的密碼，並套用多因子驗證 (Multi-factor Authentication)，降低外洩帳密的影響範圍。
- 監控活動：監控所有外洩帳密所能登錄的系統，監測是否出現異常活動，以確保沒有不當行為發生。
- 強化安全：除了事件處理，資安團隊也應從長遠的資安政策著手，降低帳密外洩後的風險。例如：加強密碼策略、實施多因子驗證、限制外部的存取或是建立鎖定機制——只要多次輸入錯誤的帳密，就鎖定帳戶，避免駭客撞庫。
第三階段：進入公司系統後，攻擊者試圖存取敏感數據
雖然資安單位已經掌握了攻擊者所竊取的帳號密碼情況，但最近的監控發現了，攻擊者正嘗試從公司內部網絡存取敏感數據。可見，攻擊者很可能已經利用所竊取的憑證、並且用我們不曉得、暴露在外的服務進入了內部網路。
百密總有一疏，我們無法保證前面的階段中，我們真的能完美阻擋駭客進入內網。攻擊者如果最終還是進入了內部網路，此時組織對於機敏資料的控管就十分重要，建議往下列幾點思考：
- 「機敏資訊」與位置：盤點總是必不可少，畢竟我們無法保護看不到的東西。此時需清楚掌握組織的機敏資訊有哪些、在哪裡。
- 完整的事件響應流程：確認駭客真的進入內網後，是否能掌握攻擊者做了什麼並立即阻斷？組織應該嘗試確認攻擊者是否已經成功存取敏感數據，並限制受到影響的範圍，以防進一步的破壞。
第四階段：賽後盤點
您的資安團隊成功找到攻擊者進入的足跡，也暫時阻止了進一步的擴散，更已經完成所有外洩帳密的重設。最後的問題是，您的 CRM 服務供應商表示系統暫時無法登入使用。
成功地防止組織被攻擊者入侵並竊取機敏資料後（雖然這可能只是暫時的），這時候我們就有時間來重新思考供應鏈安全：
- 制定中斷服務的備援計畫：所有人應該都認同，資訊安全不只是「保證不被駭客入侵」，「保證服務不會因為單一因素中斷、影響整個組織」也是資訊安全的一環。
- 了解組織與第三方供應商的 SLA 與他們的資安應變計劃：確認第三方供應商對內部服務或機敏資料的保護措施：了解他們是否有足夠的安全措施來保護這些資料。常見範例為雲端異地備份，且服務供應商不應有權限存取備份的機敏資料。
確認第三方供應商的資安響應流程：他們如何阻止攻擊者進一步存取機敏資料？如何追蹤或保證能夠恢復受影響的系統？
總結
第三方服務可能帶來的資安風險不容忽視。當供應商遭受駭客攻擊時，企業常常也會陷入威脅之中。文章從不同階段，透過具體的資安事件情境，希望讓讀者反思——您對於供應鏈帶來的資安風險是否已有所準備？
除了上述的情境分析，我也準備了一份自評表，讓企業組織可以更輕易地開始評估自己的供應商管理。 此份自評表參考了澳洲政府的資安管理單位——澳洲資安中心 (Australian Cyber Security Centre ,ACSC) 所做的研究報告。
歡迎免費下載並與您的同事們討論，趁機審視企業內部的風險管理。當然，為了鼓勵大家從現在開始填寫自評表，只要將您的自評表回傳給我並盡可能提供相關資訊或想問的問題 (hackerpeanutjohn@gmail.com)，我也會盡力一一回答並給予我的建議！
自評表下載連結：https://tinyurl.com/5btw5z25
參考資料
為什麼會看到廣告
22會員
9內容數
分享對於資訊安全的分析和評（吐）論（嘈），趨勢觀察、技術分析、觀點評論、科普教育，除了特別專業的網路安全分享，也會穿插一些科普文章與實體安全討論，歡迎分享給你的親朋好友，畢竟多了解一些安全也就多一份保障。
留言0
查看全部
你可能也想看
Google News 追蹤
徵的就是你 🫵 超ㄅㄧㄤˋ 獎品搭配超瞎趴的四大主題，等你踹共啦！還有機會獲得經典的「偉士牌樂高」喔！馬上來參加本次的活動吧！
隨著理財資訊的普及，越來越多台灣人不再將資產侷限於台股，而是將視野拓展到國際市場。特別是美國市場，其豐富的理財選擇，讓不少人開始思考將資金配置於海外市場的可能性。
然而，要參與美國市場並不只是盲目跟隨標的這麼簡單，而是需要策略和方式，尤其對新手而言，除了選股以外還會遇到語言、開戶流程、Ap
在台灣中小企業中，3C公司常面臨著機密資訊外洩的風險，尤其在供應鏈管理和外包服務越趨頻繁的情況下。如何運用CNS 27002:2023中的「6.6 機密性或保密協議」控制措施來強化企業資訊安全防護，是每位資訊管理主管與資安人員不可忽視的議題。本文以中小企業日常情境為例，提出具體實踐建議，幫助企業輕鬆
在數位化時代，網絡安全是企業與個人不可忽視的課題。專業駭客透過漏洞分析和滲透測試，幫助企業識別潛在風險並防範網絡攻擊。駭客援助中心整合全球安全專家和技術，提升企業的防禦能力，確保數位安全。本文深入探討駭客服務的功能及價值，幫助企業在不受真實威脅的情況下，強化其安全防護措施。
在這個數位時代，我們的生活和工作越來越依賴網路，從日常的溝通到企業的重要數據保存，幾乎無時無刻不與科技連結。然而，伴隨著科技進步，網路犯罪的威脅也變得愈加嚴峻。勒索病毒和駭客入侵是如今最讓人頭痛的問題之一，這些攻擊不僅會讓企業面臨龐大的經濟損失，甚至會對個人隱私造成不可逆的損害。
數位化時代每個企業都脫離不了資訊化系統、電子化文件，然而4G、5G來臨行動化應用將更為普及，很多企業已開放員工使用手機或平板連網使用公司的資訊系統或是運用坊間通訊軟體做為公司傳遞訊息與文檔之用，然而卻有許多企業尚未準備好行動化應用的資安控管，導致資安事件發生或是因為行動裝置為自有裝置 (BYOD:B
在數位化日益深入的今天，駭客網路攻擊成為了各種組織和個人面臨的嚴重挑戰。本文將探討駭客網路攻擊的種類、影響及其防範策略，幫助讀者更好地理解和應對這一重要的安全問題。
什麼是駭客網路攻擊？
駭客網路攻擊是指未經授權的個人或組織通過技術手段，針對計算機系統、網路基礎設施或數據進行的攻擊行為。攻擊者可
企業面對DDoS攻擊威脅時，擁有全面深入的DDoS防護方案至關重要。這篇文章探討DDoS攻擊的風險和後果，並介紹了有效的防禦策略，如流量分析、黑名單管理和多層次的安全驗證。
在當今數位化的時代，企業資訊安全已經成為了極為重要的議題。隨著科技的不斷進步，網路犯罪的手法也層出不窮，對企業的資訊安全造成了嚴重的威脅。面對這一挑戰，企業應該如何有效地保護自身的資訊安全呢？
在今日的數位時代，網路資安事件已成為全球關注的焦點。最近，聯成公司遭受的網路資安攻擊事件，不僅凸顯了資訊安全的重要性，也提醒我們對於核心技術的防護不能有絲毫懈怠。
2024年4月9日，聯成公司的部分資訊系統遭到駭客攻擊。公司發現網路傳輸異常後，迅速啟動資安防禦和復原機制。
近期，我們可以從媒體上看到兩起資安事件分別在KKday和京鼎公司發生，前者是被前員工從內部搞鬼而被竊密，後者是被外部駭客攻破防線而受到勒索。
除了資安防護的重要性可見一般，還凸顯企業在資安防護上必須要有全方位的準備。更建議從法遵的角度，對於資安風險管理進行積極且全面地落實，以提升自身資安防護環境。
徵的就是你 🫵 超ㄅㄧㄤˋ 獎品搭配超瞎趴的四大主題，等你踹共啦！還有機會獲得經典的「偉士牌樂高」喔！馬上來參加本次的活動吧！
隨著理財資訊的普及，越來越多台灣人不再將資產侷限於台股，而是將視野拓展到國際市場。特別是美國市場，其豐富的理財選擇，讓不少人開始思考將資金配置於海外市場的可能性。
然而，要參與美國市場並不只是盲目跟隨標的這麼簡單，而是需要策略和方式，尤其對新手而言，除了選股以外還會遇到語言、開戶流程、Ap
在台灣中小企業中，3C公司常面臨著機密資訊外洩的風險，尤其在供應鏈管理和外包服務越趨頻繁的情況下。如何運用CNS 27002:2023中的「6.6 機密性或保密協議」控制措施來強化企業資訊安全防護，是每位資訊管理主管與資安人員不可忽視的議題。本文以中小企業日常情境為例，提出具體實踐建議，幫助企業輕鬆
在數位化時代，網絡安全是企業與個人不可忽視的課題。專業駭客透過漏洞分析和滲透測試，幫助企業識別潛在風險並防範網絡攻擊。駭客援助中心整合全球安全專家和技術，提升企業的防禦能力，確保數位安全。本文深入探討駭客服務的功能及價值，幫助企業在不受真實威脅的情況下，強化其安全防護措施。
在這個數位時代，我們的生活和工作越來越依賴網路，從日常的溝通到企業的重要數據保存，幾乎無時無刻不與科技連結。然而，伴隨著科技進步，網路犯罪的威脅也變得愈加嚴峻。勒索病毒和駭客入侵是如今最讓人頭痛的問題之一，這些攻擊不僅會讓企業面臨龐大的經濟損失，甚至會對個人隱私造成不可逆的損害。
數位化時代每個企業都脫離不了資訊化系統、電子化文件，然而4G、5G來臨行動化應用將更為普及，很多企業已開放員工使用手機或平板連網使用公司的資訊系統或是運用坊間通訊軟體做為公司傳遞訊息與文檔之用，然而卻有許多企業尚未準備好行動化應用的資安控管，導致資安事件發生或是因為行動裝置為自有裝置 (BYOD:B
在數位化日益深入的今天，駭客網路攻擊成為了各種組織和個人面臨的嚴重挑戰。本文將探討駭客網路攻擊的種類、影響及其防範策略，幫助讀者更好地理解和應對這一重要的安全問題。
什麼是駭客網路攻擊？
駭客網路攻擊是指未經授權的個人或組織通過技術手段，針對計算機系統、網路基礎設施或數據進行的攻擊行為。攻擊者可
企業面對DDoS攻擊威脅時，擁有全面深入的DDoS防護方案至關重要。這篇文章探討DDoS攻擊的風險和後果，並介紹了有效的防禦策略，如流量分析、黑名單管理和多層次的安全驗證。
在當今數位化的時代，企業資訊安全已經成為了極為重要的議題。隨著科技的不斷進步，網路犯罪的手法也層出不窮，對企業的資訊安全造成了嚴重的威脅。面對這一挑戰，企業應該如何有效地保護自身的資訊安全呢？
在今日的數位時代，網路資安事件已成為全球關注的焦點。最近，聯成公司遭受的網路資安攻擊事件，不僅凸顯了資訊安全的重要性，也提醒我們對於核心技術的防護不能有絲毫懈怠。
2024年4月9日，聯成公司的部分資訊系統遭到駭客攻擊。公司發現網路傳輸異常後，迅速啟動資安防禦和復原機制。
近期，我們可以從媒體上看到兩起資安事件分別在KKday和京鼎公司發生，前者是被前員工從內部搞鬼而被竊密，後者是被外部駭客攻破防線而受到勒索。
除了資安防護的重要性可見一般，還凸顯企業在資安防護上必須要有全方位的準備。更建議從法遵的角度，對於資安風險管理進行積極且全面地落實，以提升自身資安防護環境。