การโจมตีห่วงโซ่อุปทาน: วิธีปกป้องธุรกิจจากความเสี่ยงจากบุคคลที่สาม

การโจมตีห่วงโซ่อุปทานเกิดขึ้นเมื่ออาชญากรโจมตีบุคคลที่สามที่เชื่อถือได้เพื่อเข้าถึงเป้าหมายที่แท้จริง บุคคลที่สามดังกล่าวอาจเป็นผู้ให้บริการซอฟต์แวร์ ผู้ให้บริการด้านไอที แพลตฟอร์ม SaaS หรือพันธมิตรทางธุรกิจที่มีสิทธิ์เข้าถึงระบบหรือข้อมูล

สำหรับธุรกิจขนาดเล็กและขนาดกลาง ความเสี่ยงนี้มักถูกประเมินต่ำเกินไป แม้จะไม่ได้ดำเนินงานบนโครงสร้างพื้นฐานที่ซับซ้อนหรือมีทีมไอทีขนาดใหญ่ แต่บริษัทน่าจะต้องพึ่งพาบริการภายนอกหลายอย่าง: อีเมลสำหรับธุรกิจ, ระบบจ่ายเงินเดือน, การบัญชี, พื้นที่จัดเก็บข้อมูลบนคลาวด์, ฝ่ายสนับสนุนลูกค้า, CRM และระบบชำระเงิน ผู้ให้บริการทุกรายที่เชื่อมต่อเข้ามาล้วนสร้างเส้นทางที่อาจนำไปสู่ระบบภายในได้

บทความนี้จะอธิบายว่าการโจมตีห่วงโซ่อุปทานคืออะไร เกิดขึ้นได้อย่างไร ทำไมธุรกิจ SMB จึงมีความเสี่ยง รวมถึงวิธีประเมินและลดความเสี่ยงจากห่วงโซ่อุปทานของบุคคลที่สาม

การโจมตีห่วงโซ่อุปทานคืออะไร?

การโจมตีห่วงโซ่อุปทานเกิดขึ้นได้อย่างไร

ทำไมธุรกิจ SMB จึงมีเป้าหมายที่มีมูลค่ามากกว่า

ตัวอย่างที่เกิดขึ้นจริงของการโจมตีห่วงโซ่อุปทาน

วิธีประเมินความเสี่ยงจากบุคคลที่สาม

สิ่งที่ธุรกิจสามารถทำได้เพื่อลดความเสี่ยง

ความเชื่อมโยงของข้อมูลยืนยันตัวตนในการโจมตีห่วงโซ่อุปทาน

ผสานความปลอดภัยจากบุคคลที่สามเข้ากับการดำเนินงานประจำวัน

การโจมตีห่วงโซ่อุปทานคืออะไร?

การโจมตีห่วงโซ่อุปทานคือการโจมตีทางไซเบอร์ที่เข้าถึงองค์กรผ่านความสัมพันธ์ภายนอกที่เชื่อถือได้ แทนที่จะโจมตีธุรกิจโดยตรง อาชญากรจะโจมตีผู้ให้บริการ การอัปเดตซอฟต์แวร์ ผู้ให้บริการระบบ บูรณาการ หรือบัญชีของบุคคลที่สาม แล้วใช้การเข้าถึงดังกล่าวเพื่อเข้าถึงลูกค้าต่อไปในสายงาน

จุดอ่อนภายนอกองค์กรยังคงส่งผลกระทบต่อระบบ ข้อมูล หรือการดำเนินงานได้ หากซัพพลายเออร์เชื่อมต่อกับระบบเหล่านั้น ในทางปฏิบัติ การโจมตีทางไซเบอร์ในห่วงโซ่อุปทานอาจเกี่ยวข้องกับ:

• ผู้ให้บริการซอฟต์แวร์ที่มีกลไกการอัปเดตที่ถูกโจมตี
• แพลตฟอร์ม SaaS ที่ผู้โจมตีใช้เข้าถึงข้อมูลลูกค้า
• ผู้ให้บริการไอทีที่ถูกขโมยข้อมูลยืนยันตัวตนของผู้ดูแลระบบ
• บัญชีของผู้รับเหมาภายนอกที่ยังมีสิทธิ์เข้าถึงแม้โครงการจะสิ้นสุดลงแล้ว
• การเชื่อมต่อระบบของบุคคลที่สามที่ได้รับสิทธิ์อนุญาตเกินความจำเป็น
• บัญชีพนักงานของผู้ให้บริการที่ใช้ในการเข้าถึงระบบของลูกค้า

การโจมตีห่วงโซ่อุปทานอาศัยและใช้ประโยชน์จากความไว้วางใจ ธุรกิจอนุญาตให้มีการเชื่อมต่อเนื่องจากผู้ให้บริการมีบทบาทที่ถูกต้องตามกฎหมาย และจากนั้นผู้โจมตีจะละเมิดความไว้วางใจดังกล่าวเพื่อเข้าใกล้ข้อมูล บัญชี หรือระบบมากขึ้น

การโจมตีห่วงโซ่อุปทานเกิดขึ้นได้อย่างไร

การโจมตีห่วงโซ่อุปทานมักเริ่มต้นจากการเชื่อมต่อที่เชื่อถือได้ ผู้โจมตีไม่จำเป็นต้องเจาะระบบเข้าสู่ธุรกิจโดยตรง หากผู้ให้บริการ ผู้ให้บริการซอฟต์แวร์ ผู้รับเหมา หรือการเชื่อมต่อระบบมีสิทธิ์เข้าถึงสิ่งที่มีค่าอยู่แล้ว

เส้นทางอาจแตกต่างกันไป แต่รูปแบบมักจะคล้ายคลึงกัน:

• โจมตีบุคคลที่สาม
• ใช้ความสัมพันธ์ที่เชื่อถือได้นั้นเพื่อเข้าถึงลูกค้าหรือระบบที่เชื่อมต่อ
• ขยายการเข้าถึงไปยังเครือข่ายธุรกิจ

ผ่านบัญชีผู้ให้บริการที่ถูกโจมตี

ผู้โจมตีอาจขโมยหรือเดาข้อมูลยืนยันตัวตนของผู้ให้บริการ ผู้รับเหมา เอเจนซี่ หรือผู้ให้บริการที่มีการจัดการ หากบุคคลที่สามดังกล่าวมีสิทธิ์เข้าถึงระบบ ผู้โจมตีก็สามารถใช้บัญชีที่ถูกต้องเพื่อเข้าสู่ระบบผ่านเส้นทางที่เชื่อถือได้

เรื่องนี้มีความเสี่ยงสูงอย่างยิ่งเมื่อบัญชีผู้ให้บริการมีสิทธิ์การใช้งานที่กว้างเกินไป มี รหัสผ่านที่คาดเดาง่าย ไม่มี การยืนยันตัวตนแบบหลายปัจจัย หรือมีสิทธิ์เข้าถึงที่ไม่เคยลบออกหลังจากโครงการสิ้นสุดลง นั่นคือเหตุผลที่ควรตรวจสอบการเข้าถึงของบุคคลที่สามเป็นประจำ และยกเลิกทันทีผ่านกระบวนการของผู้ดูแลระบบที่มีการควบคุมเมื่อไม่จำเป็นต้องใช้อีกต่อไป

ผ่านการอัปเดตซอฟต์แวร์และแอปพลิเคชั่น

การโจมตีห่วงโซ่อุปทานของซอฟต์แวร์สามารถเกิดขึ้นได้เมื่อผู้โจมตีเข้าโจมตีวิธีการสร้าง เผยแพร่ หรืออัปเดตแอปพลิเคชั่น จากนั้นธุรกิจอาจติดตั้งหรืออัปเดตซอฟต์แวร์จากผู้ให้บริการที่เชื่อถือได้ โดยไม่รู้ตัวว่าการอัปเดตดังกล่าวถูกแทรกแซงด้วยสิ่งแปลกปลอม

การโจมตีประเภทนี้ตรวจพบได้ยากเนื่องจากกิจกรรมดังกล่าวดูเหมือนจะมาจากผู้ให้บริการซอฟต์แวร์ที่รู้จัก ไม่ใช่จากแหล่งที่ไม่รู้จัก

ผ่านการเชื่อมต่อระบบของบุคคลที่สาม

เครื่องมือประเภทซอฟต์แวร์ในรูปแบบการบริการ (SaaS) จำนวนมากเชื่อมต่อถึงกันผ่านการผสานระบบ ปลั๊กอิน API และการอนุญาตสิทธิ์ การเชื่อมต่อเหล่านี้ช่วยให้ทีมทำงานได้เร็วขึ้น แต่อาจสร้างเส้นทางการเข้าถึงที่ซ่อนอยู่ได้เช่นกัน

หากการเชื่อมต่อระบบถูกโจมตีหรือมีสิทธิ์การใช้งานเกินความจำเป็น ผู้โจมตีอาจเข้าถึงข้อมูล บัญชี หรือขั้นตอนการทำงานที่นอกเหนือจากเครื่องมือเดิมได้

ผ่านข้อมูลยืนยันตัวตนที่มีการแชร์และการเข้าถึงที่ไม่มีการจัดการ

ความเสี่ยงของห่วงโซ่อุปทานยังเพิ่มขึ้นเมื่อการเข้าถึงของผู้ให้บริการขึ้นอยู่กับการเข้าสู่ระบบแบบแชร์ รหัสผ่านที่จัดเก็บไว้ในเอกสาร หรือข้อมูลยืนยันตัวตนที่ส่งผ่านการแชทและอีเมล หากข้อมูลยืนยันตัวตนตัวใดตัวหนึ่งรั่วไหล ธุรกิจอาจไม่รู้เลยว่าใครเป็นผู้ใช้ มีการแชร์ไว้ที่ใดบ้าง หรือยังคงเข้าถึงระบบใดได้บ้าง

การควบคุมการเข้าถึงเป็นกลไกที่แข็งแกร่งที่สุดในการปกป้องความปลอดภัยของห่วงโซ่อุปทาน ยิ่งควบคุมการเชื่อมต่อของผู้ให้บริการแต่ละรายได้ดีเท่าไร ก็ยิ่งจำกัดความเสียหายได้ง่ายขึ้นเท่านั้นหากมีสิ่งผิดปกติเกิดขึ้น

ทำไมธุรกิจ SMB จึงมีความเสี่ยงมากกว่า

ธุรกิจ SMB มักคิดว่าการโจมตีห่วงโซ่อุปทานเป็นปัญหาขององค์กรขนาดใหญ่ แต่ในความเป็นจริง ธุรกิจขนาดเล็กสามารถเข้าถึงได้ง่ายกว่าผ่านบุคคลที่สาม เนื่องจากการเข้าถึงของผู้ให้บริการมักไม่มีพิธีรีตอง ขาดการตรวจสอบ และไม่ค่อยได้รับการทบทวนบ่อยนัก

บริการ SaaS ทุกรายการทำให้เกิดการพึ่งพามากขึ้น

ปัจจุบันธุรกิจขนาดเล็กส่วนใหญ่ต้องพึ่งพาบริการ SaaS ในการทำงานประจำวัน บริการเหล่านี้ช่วยให้ธุรกิจขับเคลื่อนได้อย่างรวดเร็วและยืดหยุ่น แต่ก็เพิ่มจำนวนระบบที่อาจใช้จัดเก็บข้อมูลธุรกิจหรือเชื่อมต่อกับบัญชีของธุรกิจด้วยเช่นกัน

เอเจนซี่ขนาดเล็ก บริษัทที่ปรึกษา สำนักงานกฎหมาย หรือสตาร์ทอัพอาจใช้บริการภายนอกหลายสิบรายการโดยไม่ได้เรียกสิ่งนั้นว่าห่วงโซ่อุปทาน แต่ในมุมมองด้านความปลอดภัย บริการเหล่านั้นถือเป็นส่วนหนึ่งของห่วงโซ่ดังกล่าว

ทีมขนาดเล็กอาจขาดกระบวนการตรวจสอบผู้ให้บริการ

องค์กรขนาดใหญ่มักมีขั้นตอนการจัดซื้อจัดจ้าง แบบสอบถามความเสี่ยงของผู้ให้บริการ การทบทวนความปลอดภัย และกระบวนการทางกฎหมาย แต่ธุรกิจ SMB อาจอาศัยความไว้วางใจที่ไม่มีพิธีรีตองและความรวดเร็วแทน

ตั้งแต่ต้นปี 2025 เป็นต้นมา Data Breach Observatory ของ Proton ตรวจพบการละเมิดข้อมูล 512 ครั้ง ซึ่งส่งผลให้ข้อมูลกว่า 902 ล้านรายการรั่วไหล ข้อมูลเชิงลึกในลักษณะนี้มีความสำคัญ เนื่องจากเมื่อข้อมูลยืนยันตัวตน รายละเอียดผู้ติดต่อ หรือข้อมูลทางธุรกิจถูกเปิดเผย การละเมิดข้อมูลหลายครั้งมักไม่ได้จำกัดอยู่เพียงแค่บริษัทเดียวอีกต่อไป

นี่ไม่ได้หมายความว่าธุรกิจขนาดเล็กจำเป็นต้องมีขั้นตอนแบบราชการเหมือนองค์กรใหญ่ แต่หมายความว่าต้องมีวิธีปฏิบัติที่เหมาะสมในการถามคำถามพื้นฐานก่อนจะอนุญาตให้เข้าถึง และทบทวนสิทธิ์การเข้าถึงเมื่องานเปลี่ยนไป

การเข้าถึงของผู้ให้บริการมักกว้างเกินความจำเป็น

การเข้าถึงของผู้ให้บริการภายในธุรกิจมักขยายขอบเขตขึ้นด้วยเหตุผลในทางปฏิบัติ บางครั้งผู้รับเหมาจำเป็นต้องเข้าถึงไดรฟ์ที่แชร์ หรือเอเจนซี่ต้องการเข้าถึงข้อมูลวิเคราะห์หรือบัญชีโฆษณา ในขณะนั้น การอนุญาตให้เข้าถึงดูเหมือนจะเป็นวิธีที่เร็วที่สุดเพื่อให้งานดำเนินต่อไปได้ โดยเฉพาะอย่างยิ่งสำหรับธุรกิจขนาดเล็กที่มีบุคลากรหรือทรัพยากรจำกัด

ความเสี่ยงจะปรากฏขึ้นในภายหลังเมื่อไม่ได้จำกัดสิทธิ์ ทบทวน หรือลบออก ผู้ให้บริการอาจยังคงมีสิทธิ์เข้าถึงแม้โครงการจะสิ้นสุดลงแล้ว การเข้าสู่ระบบแบบแชร์อาจยังคงมีการใช้งานหมุนเวียนอยู่ หรือการเชื่อมต่อระบบอาจยังคงเปิดอยู่หลังจากหมดความจำเป็นเดิมไปนานแล้ว

ตัวอย่างที่เกิดขึ้นจริงของการโจมตีห่วงโซ่อุปทาน

ข้อมูลการละเมิดข้อมูลเมื่อเร็วๆ นี้แสดงให้เห็นว่าความเสี่ยงจากบุคคลที่สามไม่ใช่เรื่องทางทฤษฎี ระหว่างการศึกษาค้นคว้าสำหรับ ศูนย์สังเกตการณ์การละเมิดข้อมูล มีการตรวจพบเหตุการณ์หลายอย่างที่เชื่อมโยงกับการรั่วไหลของข้อมูลของบุคคลที่สามหรือห่วงโซ่อุปทาน ซึ่งแสดงให้เห็นว่าข้อมูลของลูกค้า พนักงาน หรือธุรกิจสามารถปรากฏในชุดข้อมูลการละเมิดได้อย่างไร แม้ว่าองค์กรที่ได้รับผลกระทบอาจไม่ใช่จุดเริ่มต้นของการถูกโจมตีก็ตาม

Amtrak

ในเดือนเมษายน 2026 Data Breach Observatory ตรวจพบเหตุการณ์จากบุคคลที่สามที่เกี่ยวข้องกับ Amtrak โดยมีข้อมูลรั่วไหลกว่า 7.4 ล้านรายการ ข้อมูลที่ได้รับผลกระทบประกอบด้วยชื่อ ที่อยู่จริง รหัสไปรษณีย์ หมายเลขโทรศัพท์ ที่อยู่อีเมล และชื่อผู้ใช้

สำหรับธุรกิจ นี่คือตัวอย่างที่ชัดเจนว่าเหตุการณ์จากบุคคลที่สามสามารถทำให้ข้อมูลระบุตัวตนและข้อมูลติดต่อรั่วไหลในวงกว้างได้อย่างไร ซึ่งสร้างความเสี่ยงต่อการถูกฟิชชิ่ง การแอบอ้างบุคคลอื่น และการโจมตีโดยใช้ข้อมูลยืนยันตัวตนในลำดับถัดไป

Canada Goose

Canada Goose ซึ่งเป็นบริษัทเครื่องแต่งกาย ได้รับผลกระทบจากเหตุการณ์บุคคลที่สามในเดือนกุมภาพันธ์ 2026 โดยมีข้อมูลรั่วไหลกว่า 921,000 รายการ ข้อมูลที่ได้รับผลกระทบประกอบด้วยชื่อ ที่อยู่จริง หมายเลขโทรศัพท์ และที่อยู่อีเมล

แม้จะไม่มีรหัสผ่าน แต่ชุดข้อมูลลักษณะนี้ก็ยังคงเพิ่มความเสี่ยงทางธุรกิจได้ เนื่องจากผู้โจมตีสามารถใช้ข้อมูลติดต่อเพื่อทำให้กลโกง การพยายามฟิชชิ่ง และวิศวกรรมสังคมมีความน่าเชื่อถือมากขึ้น

วิธีประเมินความเสี่ยงจากบุคคลที่สาม

ไม่จำเป็นต้องมีทีมดูแลความเสี่ยงขนาดใหญ่หรือทรัพยากรจำนวนมากเพื่อเริ่มต้นประเมินความเสี่ยงของธุรกิจ เริ่มต้นด้วยการจัดทำรายการง่ายๆ และมุ่งเน้นไปที่ผู้ให้บริการที่มีความสำคัญที่สุดก่อน

1. กำหนดรายชื่อผู้ให้บริการและการเข้าถึง

ระบุรายชื่อผู้ให้บริการ บริการ SaaS ผู้รับเหมา และพันธมิตรที่มีสิทธิ์เข้าถึงระบบหรือข้อมูล โดยในแต่ละรายให้จดบันทึกสิ่งต่อไปนี้:

• ข้อมูลใดบ้างที่สามารถเข้าถึงได้
• ใช้บัญชีหรือการเชื่อมต่อระบบใดบ้าง
• มีสิทธิ์การใช้งานของผู้ดูแลระบบหรือไม่
• สิทธิ์การเข้าถึงเป็นแบบรายบุคคลหรือแบบแชร์
• ต้องมีการยืนยันตัวตนแบบหลายปัจจัยหรือไม่
• ใครเป็นผู้รับผิดชอบดูแลความสัมพันธ์ภายในองค์กร
• สิทธิ์การเข้าถึงได้รับการทบทวนครั้งล่าสุดเมื่อใด

การจัดทำรายการนี้จะทำได้ง่ายกว่ามากเมื่อมีการจัดการสิทธิ์การเข้าถึงของผู้ให้บริการผ่านระบบควบคุมที่มีความเป็นเจ้าของที่ชัดเจน ผู้ดูแลระบบสามารถมองเห็นการทำงานได้ และสามารถยกเลิกสิทธิ์เข้าถึงได้

2. จัดอันดับผู้ให้บริการตามความเสี่ยง

ไม่จำเป็นต้องตรวจสอบผู้ให้บริการทุกรายอย่างละเอียด โดยผู้ให้บริการระบบจ่ายเงินเดือน แพลตฟอร์มพื้นที่จัดเก็บข้อมูลบนคลาวด์ ผู้ให้บริการไอที CRM หรือผู้ให้บริการที่มีการจัดการ ควรได้รับการตรวจสอบอย่างถี่ถ้วนมากกว่าบริการที่มีความเสี่ยงต่ำและไม่มีข้อมูลที่ละเอียดอ่อน

จัดลำดับความสำคัญของผู้ให้บริการที่จัดการข้อมูลลูกค้า ข้อมูลยืนยันตัวตน การชำระเงิน ข้อมูลพนักงาน ระบบปฏิบัติการจริง หรือสิทธิ์เข้าถึงของผู้ดูแลระบบ

3. ถามคำถามด้านความปลอดภัยก่อนอนุญาตให้เข้าถึง

ก่อนที่จะอนุญาตให้เข้าถึง ควรพิจารณาและประเมินว่าบุคคลที่สามรายนั้นมีความจำเป็นจริงๆ หรือไม่ ต้องเข้าถึงระบบหรือข้อมูลใดบ้าง และระดับสิทธิ์การเข้าถึงดังกล่าวมีความสมเหตุสมผลหรือไม่ ในขั้นตอนนี้ หลายองค์กรพบว่าพึ่งพาผู้ให้บริการ การเชื่อมต่อระบบ และบัญชีภายนอกมากกว่าที่คาดคิดไว้

การตรวจสอบผู้ให้บริการแบบง่ายๆ ก็ยังมีประโยชน์ โดยควรถามดังนี้:

• เกิดอะไรขึ้นกับข้อมูลหากเลิกใช้บริการ
• รองรับ 2FA หรือไม่
• มีวิธีปกป้องข้อมูลลูกค้าอย่างไร
• มีระบบควบคุมการเข้าถึงตามบทบาทหน้าที่หรือไม่
• อนุญาตให้เข้าถึงบันทึกการตรวจสอบหรือรายงานกิจกรรมหรือไม่
• ได้รับการรับรองความปลอดภัยที่เกี่ยวข้อง หรือปฏิบัติตามมาตรฐานความปลอดภัยที่เป็นที่ยอมรับหรือไม่
• มีวิธีการแจ้งเตือนลูกค้าเกี่ยวกับเหตุการณ์ด้านความปลอดภัยอย่างไร
• มีวิธีการจัดการสิทธิ์เข้าถึงของพนักงานภายในองค์กรอย่างไร
• รองรับการกำหนดสิทธิ์การเข้าถึงขั้นต่ำที่จำเป็นหรือไม่

สิ่งที่ธุรกิจสามารถทำได้เพื่อลดความเสี่ยง

การลดความเสี่ยงของห่วงโซ่อุปทานเริ่มต้นที่การควบคุม ในทางปฏิบัติ หมายความว่าธุรกิจต้องมีกฎเกณฑ์ที่ชัดเจนในการตรวจสอบผู้ให้บริการ ข้อมูลที่ผู้ให้บริการสามารถเข้าถึงได้ วิธีการตรวจสอบกิจกรรม และแนวทางปฏิบัติหากบุคคลที่สามถูกโจมตี

ตรวจสอบแนวทางปฏิบัติด้านความปลอดภัยของผู้ให้บริการที่เป็นบุคคลที่สาม

ก่อนที่จะอนุญาตให้ผู้ให้บริการเข้าถึงระบบธุรกิจหรือข้อมูลที่ละเอียดอ่อน ควรตรวจสอบว่าแนวทางปฏิบัติด้านความปลอดภัยสอดคล้องกับระดับความเสี่ยงหรือไม่ ผู้ให้บริการที่ดูแลประวัติลูกค้า ข้อมูลทางการเงิน หรือมีสิทธิ์เข้าถึงของผู้ดูแลระบบควรมีมาตรฐานความปลอดภัยที่สูงกว่าแอปเพื่อการทำงานทั่วไป

ตรวจสอบการรองรับ 2FA สิทธิ์การใช้งานตามบทบาท บันทึกการตรวจสอบ ข้อผูกพันในการแจ้งเตือนเหตุการณ์ การควบคุมการเก็บรักษาข้อมูล และกระบวนการยกเลิกสิทธิ์เข้าใช้งานที่ชัดเจน

นำหลักการกำหนดสิทธิ์การใช้งานขั้นต่ำที่จำเป็นไปใช้กับการเข้าถึงของบุคคลที่สาม

หลักการ การกำหนดสิทธิ์การใช้งานขั้นต่ำที่จำเป็น ช่วยลดขอบเขตความเสียหายหากบัญชีของผู้ให้บริการถูกโจมตี ซึ่งหมายถึงการหลีกเลี่ยงการให้สิทธิ์ผู้ดูแลระบบเมื่อสิทธิ์การเข้าถึงแบบอ่านอย่างเดียวก็เพียงพอแล้ว หรือการหลีกเลี่ยงการแชร์โฟลเดอร์ขนาดใหญ่เมื่อต้องการใช้เพียงโฟลเดอร์ใดโฟลเดอร์หนึ่งเท่านั้น

ใช้หลักการ Zero Trust สำหรับผู้ให้บริการ

Zero Trust ไม่ได้หมายความว่าไม่ไว้วางใจผู้ให้บริการทุกราย แต่หมายความว่าการไม่ทึกทักเอาเองว่าความสัมพันธ์ที่เชื่อถือได้จะนำไปสู่การอนุญาตให้เข้าถึงได้อย่างไม่จำกัด

สำหรับการเข้าถึงของผู้ให้บริการ สิ่งนี้หมายถึงการยืนยันข้อมูลระบุตัวตน การจำกัดสิทธิ์การใช้งาน การทบทวนสิทธิ์การเข้าถึงอย่างสม่ำเสมอ การกำหนดให้ใช้ 2FA การตรวจสอบกิจกรรม และการดูแลจัดการทุกการเชื่อมต่ออย่างเป็นระบบ

ตรวจสอบรูปแบบการเข้าถึงที่ผิดปกติ

ควรตรวจสอบบัญชีที่เชื่อมต่อกับผู้ให้บริการเพื่อดูพฤติกรรมที่ไม่สอดคล้องกับการใช้งานตามปกติ คอยเฝ้าระวังตำแหน่งการเข้าสู่ระบบที่ผิดปกติ การดาวน์โหลดที่ไม่คาดคิด ผู้ใช้ที่เป็นผู้ดูแลระบบรายใหม่ การเปลี่ยนแปลงสิทธิ์การใช้งาน กิจกรรมนอกเวลาทำงาน การเชื่อมต่อระบบใหม่ หรือการเข้าถึงข้อมูลที่อยู่นอกเหนือบทบาทของผู้ให้บริการ

สัญญาณเหล่านี้อาจไม่ได้พิสูจน์ว่ามีการถูกโจมตีเสมอไป แต่สามารถช่วยให้ทีมรับมือได้ทันท่วงทีก่อนที่ปัญหาเล็กๆ จะลุกลามเป็นการละเมิดข้อมูลในวงกว้าง

เตรียมความพร้อมสำหรับกรณีที่บุคคลที่สามถูกโจมตี

แผนการรับมือเหตุการณ์ความมั่นคงปลอดภัย ควรครอบคลุมถึงเหตุการณ์ที่เกิดขึ้นกับผู้ให้บริการด้วย หากซัพพลายเออร์รายงานเหตุการณ์การละเมิดข้อมูล ธุรกิจต้องทราบขั้นตอนที่จะดำเนินการต่อไป ซึ่งสามารถศึกษาเพิ่มเติมเกี่ยวกับ การป้องกันการละเมิดข้อมูล สำหรับธุรกิจ เพื่อช่วยวางโครงสร้างการรับมือของธุรกิจเมื่อบุคคลที่สามถูกโจมตี

กำหนดตัวบุคคลผู้ที่จะติดต่อผู้ให้บริการ ผู้ตรวจสอบสิทธิ์การเข้าถึง ผู้ตรวจสอบบันทึกการใช้งาน ผู้ตัดสินใจว่าควรเปลี่ยนรหัสข้อมูลยืนยันตัวตนหรือไม่ และผู้สื่อสารกับลูกค้าหรือหน่วยงานกำกับดูแลหากจำเป็น

ใช้ข้อมูลยืนยันตัวตนที่ไม่ซ้ำกันสำหรับผู้ให้บริการและเครื่องมือของบุคคลที่สามทุกราย

ข้อมูลยืนยันตัวตนที่ไม่ซ้ำกันเป็นวิธีหนึ่งที่ง่ายที่สุดในการลดขอบเขตความเสียหายในห่วงโซ่อุปทาน หากพอร์ทัลของผู้ให้บริการถูกละเมิดข้อมูลและพนักงานใช้รหัสผ่านนั้นซ้ำในที่อื่น ผู้โจมตีอาจพยายามใช้ข้อมูลยืนยันตัวตนเดียวกันนั้นเพื่อเข้าถึงอีเมล แพลตฟอร์ม SaaS เครื่องมือทางการเงิน หรือระบบของผู้ดูแลระบบ

การตั้งรหัสผ่านที่ไม่ซ้ำกันสำหรับผู้ให้บริการแต่ละรายจะช่วยป้องกันการใช้รหัสผ่านซ้ำโดยตรง และช่วยให้การรับมือกับเหตุการณ์ต่างๆ มีความชัดเจนยิ่งขึ้น เมื่อผู้ให้บริการถูกโจมตี จะทราบได้ทันทีว่าข้อมูลยืนยันตัวตนใดบ้างที่ต้องดูแล แทนที่จะต้องคอยกังวลว่าอาจมีการใช้รหัสผ่านเดียวกันนั้นที่ใดอีกบ้าง

Proton Pass คือ โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ ที่ช่วยสร้างรหัสผ่านที่ปลอดภัยและไม่ซ้ำกันสำหรับผู้ให้บริการและบริการของบุคคลที่สามทุกราย จัดเก็บรหัสผ่านไว้ในห้องนิรภัยที่เข้ารหัส ป้อนอัตโนมัติ และแชร์สิทธิ์เข้าถึงได้อย่างปลอดภัย ซึ่งช่วยให้การดูแลความปลอดภัยของข้อมูลยืนยันตัวตนทำได้ง่ายขึ้นสำหรับบริการภายนอกจำนวนมากที่ธุรกิจยุคใหม่จำเป็นต้องพึ่งพา

ความเชื่อมโยงของข้อมูลยืนยันตัวตนในการโจมตีห่วงโซ่อุปทาน

การโจมตีห่วงโซ่อุปทานมักเริ่มต้นจากผู้ให้บริการ แต่ข้อมูลยืนยันตัวตนจะเป็นตัวกำหนดว่าผลกระทบจะแพร่กระจายไปไกลเพียงใด

หากบัญชีของผู้รับเหมาภายนอกถูกโจมตีแต่มีการเข้าถึงที่จำกัด ความเสียหายก็อาจจะอยู่ในวงแคบ แต่หากบัญชีเดียวกันนั้นมีสิทธิ์การใช้งานที่กว้าง มีการแชร์ข้อมูลยืนยันตัวตน มีการใช้รหัสผ่านซ้ำ หรือเข้าถึงระบบที่ละเอียดอ่อนได้ ผู้โจมตีก็จะมีช่องทางในการดำเนินการได้มากขึ้น

นั่นคือสาเหตุที่การจัดการรหัสผ่านและการเข้าถึงควรเป็นส่วนหนึ่งของการบริหารจัดการความเสี่ยงของห่วงโซ่อุปทาน สำหรับผู้ให้บริการหรือเครื่องมือของบุคคลที่สามทุกราย ธุรกิจควรทราบข้อมูลดังต่อไปนี้:

• มีข้อมูลยืนยันตัวตนใดบ้าง
• ใครบ้างที่มีสิทธิ์เข้าถึงข้อมูลเหล่านั้น
• รหัสผ่านเป็นรหัสที่ไม่ซ้ำกันหรือไม่
• มีการเปิดใช้งาน MFA หรือไม่
• ยังจำเป็นต้องเข้าถึงอยู่หรือไม่
• บัญชีใช้งานเป็นแบบแชร์หรือรายบุคคล
• ใครเป็นผู้ดูแลบัญชีนี้เป็นการภายใน

โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ อย่าง Proton Pass ช่วยให้ตอบคำถามเหล่านั้นได้ง่ายขึ้น แทนที่จะปล่อยให้ข้อมูลยืนยันตัวตนอยู่ในตารางคำนวณ โปรไฟล์เบราว์เซอร์ ข้อความแชท หรือบันทึกส่วนตัว รหัสผ่านของผู้ให้บริการจะสามารถจัดเก็บไว้ในระบบควบคุมที่มีการแชร์อย่างปลอดภัยและมีความเป็นเจ้าของที่ชัดเจนยิ่งขึ้น

นั่นไม่ได้ทำให้หมดความจำเป็นในการตรวจสอบผู้ให้บริการหรือการเฝ้าติดตามกิจกรรม แต่เป็นการเสริมสร้างประสิทธิภาพของหนึ่งในการควบคุมที่มีผลกระทบสูงสุด นั่นคือการตรวจสอบให้แน่ใจว่าการละเมิดข้อมูลของบุคคลที่สามจะไม่กลายเป็นปัญหาการใช้รหัสผ่านซ้ำภายในธุรกิจ

ผสานความปลอดภัยจากบุคคลที่สามเข้ากับการดำเนินงานประจำวัน

การโจมตีห่วงโซ่อุปทานจะเปลี่ยนความไว้วางใจให้กลายเป็นเส้นทางเข้าถึง ผู้ให้บริการ การอัปเดตซอฟต์แวร์ บัญชี SaaS ผู้รับเหมา หรือการเชื่อมต่อระบบที่ปกติช่วยสนับสนุนธุรกิจสามารถกลายเป็นช่องทางที่ผู้โจมตีใช้เพื่อเข้าถึงข้อมูลหรือระบบได้

ธุรกิจขนาดเล็กไม่สามารถหลีกเลี่ยงการใช้บริการจากบุคคลที่สามได้ และไม่จำเป็นต้องหลีกเลี่ยง เครื่องมือ SaaS ผู้ให้บริการไอที ผู้รับเหมา และผู้ให้บริการต่างๆ ล้วนเป็นส่วนหนึ่งของการดำเนินงานของธุรกิจในปัจจุบัน เป้าหมายหลักคือการจัดการความสัมพันธ์เหล่านั้นด้วยการควบคุมที่เพียงพอ เพื่อไม่ให้การถูกโจมตีเพียงครั้งเดียวลุกลามไปสู่การละเมิดข้อมูลในวงกว้าง

เริ่มต้นจากขั้นพื้นฐาน ได้แก่ การกำหนดรายชื่อผู้ให้บริการ การประเมินการเข้าถึง การตั้งคำถามด้านความปลอดภัย การนำหลักการสิทธิ์ขั้นต่ำที่จำเป็นมาใช้ การใช้หลักการ Zero Trust การตรวจสอบกิจกรรมที่ผิดปกติ และการวางแผนรับมือกรณีที่บุคคลที่สามถูกโจมตี จากนั้นจึงลดความเสี่ยงด้านข้อมูลยืนยันตัวตนด้วยการกำหนดรหัสผ่านที่ไม่ซ้ำกันสำหรับผู้ให้บริการและบริการของบุคคลที่สามทุกราย

Proton Pass ช่วยให้ธุรกิจนำการควบคุมนั้นมาใช้ปฏิบัติจริงในทุกๆ วัน เมื่อการเข้าสู่ระบบของผู้ให้บริการแต่ละรายใช้ข้อมูลยืนยันตัวตนที่ไม่ซ้ำกัน สิทธิ์เข้าถึงแบบแชร์จะถูกเก็บรักษาไว้ภายในห้องนิรภัยที่เข้ารหัส และทีมงานสามารถยกเลิกการเข้าถึงได้ทันทีที่สิ้นสุดความสัมพันธ์ ความเป็นไปได้ที่รหัสผ่านซึ่งถูกละเมิดเพียงรหัสเดียวจะกระตุ้นให้เกิดปฏิกิริยาลูกโซ่ไปยังบัญชีธุรกิจต่างๆ ก็จะลดลงอย่างมาก