Forrester propose quelques conseils aux fournisseurs qui rivalisent avec SolarWinds sur la fourniture de produits importants d'infrastructure, de surveillance et de sécurité.
La taille et la portée de SolarWinds en tant que fournisseur de logiciels informatiques et la nature du violation annoncée le 13 décembre a secoué le monde de l’informatique et de la sécurité – à juste titre. Tandis que les responsables de la sécurité guident leurs entreprises pour qu'elles réagissent, il existe des conseils généraux à l'intention du monde des fournisseurs à ce sujet.
Les attaquants continuent d’exploiter les faiblesses de la sécurité des produits
Mises à jour de SolarWinds
- SolarWinds: plus nous en apprenons, plus la situation semble pire
- CISA: les agences gouvernementales américaines doivent mettre à jour immédiatement
- Un deuxième groupe de piratage cible les systèmes SolarWinds
- Des pirates ont accédé au code source de Microsoft
- Microsoft met en quarantaine les applications infectées par des chevaux de Troie
- Microsoft identifie plus de 40 victimes, la plupart aux États-Unis
- Microsoft et ses partenaires industriels s'emparent d'un domaine clé utilisé dans le piratage
- Dépôt SEC: 18 000 clients concernés
- La violation n'est pas une opportunité marketing
Tout au long de l'année 2020, échecs de sécurité du produit se sont produits mois après mois, mais la plupart se sont concentrés sur les produits et services destinés aux consommateurs. Les fournisseurs d'entreprise B2B n'ont pas reçu autant d'attention, mais l'ampleur a été compensée par la faille SolarWinds.
- Les plus gros hacks et violations de données de 2020
Les entreprises en concurrence avec SolarWinds pour la fourniture de produits importants d’infrastructure, de surveillance et de sécurité, ainsi que les fournisseurs de sécurité, devraient se concentrer sur les éléments suivants:
De mauvais efforts en matière de sécurité des produits mettent en péril la part de marché des entreprises B2B. Forrester dispose d'un corpus de recherches sur la sécurité des produits, qui fournit des conseils détaillés sur la manière d'établir ou d'améliorer vos initiatives de sécurité des produits. Attendez-vous à ce que cela devienne une préoccupation majeure des équipes d’approvisionnement et juridiques à la suite de cette violation.
Les fournisseurs ne doivent PAS utiliser la violation de SolarWinds comme opportunité marketing. Tenter d'exploiter le malheur des autres ne donne jamais une bonne image à une entreprise, et dans le secteur de la cybersécurité, tout le monde sait qu'aujourd'hui, ce pourrait être eux, mais demain, ce pourrait être vous. Les poursuites en ambulance, les immersions ou la honte des victimes ne sont pas seulement de mauvais goût. C'est déplorable et cela ne séduira pas les clients. FireEye a fait preuve d'une grande transparence suite à sa violation et a également été en mesure de fournir l'un des premiers rapports techniques détaillés sur l'incident de SolarWinds.
Même un fournisseur de logiciels expérimenté en matière de sécurité aurait pu manquer cela. Pour identifier les failles de sécurité dans leur chaîne d'approvisionnement, les principales sociétés de logiciels effectuent régulièrement des analyses de la composition des logiciels pour identifient les vulnérabilités des composants open source et utilisent des certificats de signature de code pour garantir l'intégrité des composants fournis. code. Aucune des deux approches n'aurait permis de découvrir cette attaque: le code malveillant n'était pas open source. bibliothèque, et la DLL compromise (bibliothèque de liens dynamiques) a été signée par un valide (bien que compromis) certificat. N’assimilez pas la susceptibilité à un manque de maturité en matière de sécurité.
Le degré de transparence de SolarWinds avec sa liste de clients devra peut-être changer. SolarWinds était suffisamment grand et important pour constituer une cible attrayante pour les attaquants sans mentionner les noms des clients. Mais la page client de son site Web est allée jusqu'à répertorier les cinq branches de l'armée américaine, les 10 grandes sociétés de télécommunications américaines et les cinq principaux cabinets comptables comme clients. Cela ne signifie pas qu’aucune de ces organisations n’est prise dans la brèche, mais cela signifie que les attaquants ont une certaine idée de la valeur de SolarWinds en tant que cible s’ils réussissent. La gestion des risques liés aux tiers, les aspects juridiques et les achats obligeront probablement les RSSI à réévaluer s'ils souhaitent être répertoriés à l'avenir.
Sécurité
- 8 habitudes des travailleurs à distance hautement sécurisés
- Comment trouver et supprimer les logiciels espions de votre téléphone
- Les meilleurs services VPN: comment se comparent les 5 meilleurs?
- Comment savoir si vous êtes impliqué dans une violation de données – et que faire ensuite
Pour comprendre les tendances commerciales et technologiques essentielles pour 2021, téléchargez le guide gratuit des prévisions 2021 de Forrester. ici.
Cet article a été rédigé par l'analyste principal Jeff Pollard et a été initialement publié ici.