Tấn công chuỗi cung ứng: cách bảo vệ doanh nghiệp khỏi rủi ro từ bên thứ ba

Tấn công chuỗi cung ứng xảy ra khi tội phạm xâm phạm một bên thứ ba tin cậy để tiếp cận mục tiêu thực sự. Bên thứ ba đó có thể là nhà cung cấp phần mềm, nhà cung cấp dịch vụ CNTT, nền tảng SaaS hoặc đối tác kinh doanh có quyền truy cập vào các hệ thống hoặc dữ liệu.

Đối với các doanh nghiệp vừa và nhỏ, rủi ro này rất dễ bị đánh giá thấp. Có thể không vận hành cơ sở hạ tầng phức tạp hay có đội ngũ CNTT lớn, nhưng công ty có lẽ phụ thuộc vào nhiều dịch vụ bên ngoài: email doanh nghiệp, bảng lương, kế toán, lưu trữ đám mây, hỗ trợ khách hàng, CRM và hệ thống thanh toán. Mỗi nhà cung cấp được kết nối tạo ra một đường dẫn tiềm ẩn vào môi trường.

Sẽ giải thích tấn công chuỗi cung ứng là gì, cách thức xảy ra các cuộc tấn công này, tại sao các doanh nghiệp vừa và nhỏ dễ bị tổn thương, và cách đánh giá cũng như giảm thiểu rủi ro chuỗi cung ứng từ bên thứ ba.

Tấn công chuỗi cung ứng là gì?

Cách thức xảy ra các cuộc tấn công chuỗi cung ứng

Tại sao các doanh nghiệp vừa và nhỏ có giá trị hơn

Ví dụ thực tế về các cuộc tấn công chuỗi cung ứng

Cách đánh giá rủi ro từ bên thứ ba

Những việc doanh nghiệp có thể làm để giảm thiểu rủi ro

Kết nối thông tin đăng nhập trong các cuộc tấn công chuỗi cung ứng

Tích hợp bảo mật bên thứ ba vào hoạt động hàng ngày

Tấn công chuỗi cung ứng là gì?

Tấn công chuỗi cung ứng là một cuộc tấn công mạng tiếp cận một tổ chức thông qua một mối quan hệ bên ngoài tin cậy. Thay vì tấn công trực tiếp doanh nghiệp, tội phạm xâm phạm nhà cung cấp, bản cập nhật phần mềm, nhà cung cấp dịch vụ, tích hợp hoặc tài khoản bên thứ ba và sử dụng quyền truy cập đó để tiếp cận khách hàng ở phía sau.

Một điểm yếu bên ngoài tổ chức vẫn có thể ảnh hưởng đến hệ thống, dữ liệu hoặc hoạt động nếu nhà cung cấp được kết nối với chúng. Trên thực tế, một cuộc tấn công mạng chuỗi cung ứng có thể bao gồm:

• Nhà cung cấp phần mềm có cơ chế cập nhật bị xâm phạm.
• Nền tảng SaaS mà qua đó những kẻ tấn công truy cập dữ liệu khách hàng.
• Nhà cung cấp dịch vụ CNTT có thông tin đăng nhập quản trị viên bị đánh cắp.
• Tài khoản của nhà thầu vẫn có quyền truy cập sau khi dự án kết thúc.
• Tích hợp bên thứ ba có nhiều quyền hơn mức cần thiết.
• Tài khoản nhân viên của nhà cung cấp được sử dụng để truy cập hệ thống của khách hàng.

Tấn công chuỗi cung ứng dựa vào và khai thác sự tin cậy. Doanh nghiệp cho phép kết nối vì nhà cung cấp có vai trò hợp pháp, và sau đó kẻ tấn công lạm dụng sự tin cậy đó để tiếp cận gần hơn với dữ liệu, tài khoản hoặc hệ thống.

Cách thức xảy ra các cuộc tấn công chuỗi cung ứng

Các cuộc tấn công chuỗi cung ứng thường bắt đầu bằng một kết nối tin cậy. Kẻ tấn công không cần phải đột nhập trực tiếp vào doanh nghiệp nếu nhà cung cấp, nhà cung cấp phần mềm, nhà thầu hoặc tích hợp đã có quyền truy cập vào thứ gì đó có giá trị.

Đường dẫn có thể khác nhau, nhưng mô hình thường tương tự:

• Xâm phạm bên thứ ba
• Sử dụng mối quan hệ tin cậy đó để tiếp cận khách hàng hoặc các hệ thống được kết nối
• Mở rộng quyền truy cập vào mạng doanh nghiệp

Thông qua các tài khoản nhà cung cấp bị xâm phạm

Kẻ tấn công có thể đánh cắp hoặc đoán thông tin đăng nhập của nhà cung cấp, nhà thầu, đại lý hoặc nhà cung cấp dịch vụ được quản lý. Nếu bên thứ ba đó có quyền truy cập vào hệ thống, kẻ tấn công có thể sử dụng một tài khoản hợp pháp để xâm nhập qua một lộ trình tin cậy.

Điều này đặc biệt rủi ro khi các tài khoản nhà cung cấp có quyền hạn rộng, mật khẩu yếu, không có xác thực đa yếu tố, hoặc quyền truy cập không bao giờ bị xóa sau khi dự án kết thúc. Đó là lý do tại sao quyền truy cập của bên thứ ba cần được xem xét thường xuyên và thu hồi kịp thời thông qua quy trình quản trị viên được kiểm soát khi không còn cần thiết.

Thông qua các bản cập nhật phần mềm và ứng dụng

Một cuộc tấn công chuỗi cung ứng phần mềm có thể xảy ra khi kẻ tấn công xâm phạm cách một ứng dụng được xây dựng, phân phối hoặc cập nhật. Doanh nghiệp sau đó có thể cài đặt hoặc cập nhật phần mềm từ một nhà cung cấp tin cậy mà không nhận ra rằng bản cập nhật đã bị can thiệp.

Loại tấn công này rất khó phát hiện vì hoạt động này có vẻ như đến từ một nhà cung cấp phần mềm đã biết, chứ không phải từ một nguồn không xác định.

Thông qua các tích hợp bên thứ ba

Nhiều công cụ phần mềm dưới dạng dịch vụ (SaaS) kết nối với nhau thông qua các tích hợp, phần bổ trợ, API và quyền hạn. Các kết nối này giúp các đội ngũ làm việc nhanh hơn, nhưng chúng cũng có thể tạo ra các đường dẫn truy cập ẩn.

If an tích hợp bị xâm phạm hoặc có nhiều quyền hơn mức cần thiết, kẻ tấn công có thể tiếp cận dữ liệu, tài khoản hoặc quy trình làm việc vượt ra ngoài công cụ ban đầu.

Thông qua thông tin đăng nhập được chia sẻ và quyền truy cập không được quản lý

Rủi ro chuỗi cung ứng cũng tăng lên khi quyền truy cập của nhà cung cấp phụ thuộc vào thông tin đăng nhập được chia sẻ, mật khẩu được lưu trữ trong tài liệu hoặc thông tin đăng nhập được gửi qua trò chuyện và email. Nếu một trong những thông tin đăng nhập đó bị lộ, doanh nghiệp có thể không biết ai đã sử dụng, thông tin đó được chia sẻ ở đâu hoặc có bao nhiêu hệ thống vẫn có thể truy cập.

Kiểm soát truy cập là cơ chế mạnh mẽ nhất để bảo vệ an ninh chuỗi cung ứng. Kết nối của từng nhà cung cấp càng được kiểm soát chặt chẽ thì càng dễ dàng hạn chế thiệt hại nếu xảy ra sự cố.

Tại sao các doanh nghiệp vừa và nhỏ dễ bị tổn thương hơn

Các doanh nghiệp vừa và nhỏ thường cho rằng tấn công chuỗi cung ứng là vấn đề của doanh nghiệp lớn. Trên thực tế, các doanh nghiệp nhỏ hơn có thể dễ bị tiếp cận hơn thông qua các bên thứ ba vì quyền truy cập của nhà cung cấp thường ít mang tính chính thức, ít được giám sát và ít khi được xem xét hơn.

Mỗi dịch vụ SaaS đều tăng thêm một sự phụ thuộc

Hầu hết các doanh nghiệp nhỏ hiện nay đều phụ thuộc vào dịch vụ SaaS cho công việc hàng ngày. Các dịch vụ này giúp doanh nghiệp hoạt động nhanh chóng và linh hoạt hơn, nhưng cũng mở rộng số lượng hệ thống có thể lưu giữ dữ liệu doanh nghiệp hoặc kết nối với tài khoản doanh nghiệp.

Một đại lý nhỏ, công ty tư vấn, công ty luật hoặc công ty khởi động có thể sử dụng hàng tá dịch vụ bên ngoài mà không gọi đó là chuỗi cung ứng. Nhưng dưới góc độ bảo mật, những dịch vụ đó là một phần của chuỗi.

Các đội ngũ nhỏ hơn có thể thiếu quy trình đánh giá nhà cung cấp

Các tổ chức lớn thường có quy trình mua sắm, bảng câu hỏi về rủi ro của nhà cung cấp, đánh giá bảo mật và quy trình pháp lý. Thay vào đó, các doanh nghiệp vừa và nhỏ có thể dựa vào sự tin cậy phi chính thức và tốc độ.

Kể từ đầu năm 2025, Đài quan sát vi phạm dữ liệu của Proton đã phát hiện 512 vụ vi phạm làm lộ hơn 902 triệu bản ghi. Khả năng giám sát đó rất quan trọng vì nhiều vụ vi phạm không chỉ dừng lại ở một công ty một khi thông tin đăng nhập, chi tiết liên hệ hoặc dữ liệu kinh doanh bị lộ.

Điều đó không có nghĩa là các doanh nghiệp nhỏ cần thủ tục hành chính kiểu tập đoàn lớn. Điều đó có nghĩa là họ cần một cách thực tế để đặt các câu hỏi cơ bản trước khi cấp quyền truy cập và xem xét lại quyền truy cập sau khi công việc thay đổi.

Quyền truy cập của nhà cung cấp thường rộng hơn mức cần thiết

Quyền truy cập của nhà cung cấp trong doanh nghiệp thường mở rộng vì lý do thực tế. Đôi khi nhà thầu cần truy cập vào ổ đĩa được chia sẻ, hoặc đại lý cần truy cập tài khoản quảng cáo hoặc phân tích. Tại thời điểm đó, việc cấp quyền truy cập có vẻ là cách nhanh nhất để duy trì tiến độ công việc, đặc biệt đối với một doanh nghiệp nhỏ không có nhiều nhân lực hoặc tài nguyên.

Rủi ro chỉ xuất hiện sau đó, khi các quyền hạn đó không được thu hẹp, xem xét lại hoặc xóa bỏ. Nhà cung cấp có thể vẫn giữ quyền truy cập sau khi dự án kết thúc, thông tin đăng nhập được chia sẻ có thể tiếp tục bị phát tán, hoặc một tích hợp có thể vẫn kết nối lâu sau khi nhu cầu ban đầu đã qua.

Ví dụ thực tế về các cuộc tấn công chuỗi cung ứng

Dữ liệu vi phạm gần đây cho thấy rủi ro từ bên thứ ba không phải là lý thuyết. Trong quá trình nghiên cứu cho Đài quan sát vi phạm dữ liệu, nhiều sự cố liên kết với việc lộ lọt thông tin bên thứ ba hoặc chuỗi cung ứng đã được phát hiện, cho thấy dữ liệu của khách hàng, nhân viên hoặc doanh nghiệp có thể xuất hiện trong các tập dữ liệu vi phạm như thế nào, ngay cả khi tổ chức bị ảnh hưởng không nhất thiết phải là điểm xâm phạm ban đầu.

Amtrak

Vào tháng Tư năm 2026, Đài quan sát vi phạm dữ liệu đã phát hiện một sự cố bên thứ ba liên quan đến Amtrak, với hơn 7,4 triệu bản ghi bị lộ. Dữ liệu bị xâm phạm bao gồm tên, địa chỉ thực tế, mã bưu chính, số điện thoại, địa chỉ email và tên người dùng.

Đối với các doanh nghiệp, đây là một ví dụ rõ ràng về cách một sự cố bên thứ ba có thể làm lộ danh tính và dữ liệu liên hệ trên quy mô lớn, tạo ra các rủi ro tiếp theo về lừa đảo, mạo danh và các cuộc tấn công dựa trên thông tin đăng nhập.

Canada Goose

Công ty may mặc Canada Goose đã bị ảnh hưởng bởi một sự cố bên thứ ba vào tháng Hai năm 2026, với hơn 921.000 bản ghi bị lộ. Dữ liệu bị xâm phạm bao gồm tên, địa chỉ thực tế, số điện thoại và địa chỉ email.

Ngay cả khi không có mật khẩu, loại tập dữ liệu này vẫn có thể làm tăng rủi ro cho doanh nghiệp vì kẻ tấn công có thể sử dụng thông tin liên hệ để thực hiện các hành vi lừa đảo và thao túng tâm lý trở nên đáng tin hơn.

Cách đánh giá rủi ro từ bên thứ ba

Không cần một đội ngũ quản lý rủi ro lớn hay nhiều tài nguyên để bắt đầu đánh giá rủi ro của doanh nghiệp. Hãy bắt đầu bằng một danh mục kiểm kê đơn giản và tập trung vào các nhà cung cấp quan trọng nhất.

1. Thiết lập bản đồ nhà cung cấp và quyền truy cập

Liệt kê các nhà cung cấp, dịch vụ SaaS, nhà thầu và đối tác có quyền truy cập vào hệ thống hoặc dữ liệu. Đối với mỗi bên, hãy lưu ý:

• Dữ liệu họ có thể truy cập.
• Các tài khoản hoặc tích hợp họ sử dụng.
• Họ có quyền quản trị viên hay không.
• Quyền truy cập là cá nhân hay được chia sẻ.
• Có yêu cầu xác thực đa yếu tố hay không.
• Ai là người quản lý mối quan hệ này trong nội bộ.
• Quyền truy cập được xem xét lần cuối khi nào.

Danh mục kiểm kê này dễ duy trì hơn nhiều khi quyền truy cập của nhà cung cấp được quản lý thông qua một hệ thống được kiểm soát với quyền sở hữu rõ ràng, khả năng giám sát của quản trị viên và quyền truy cập có thể thu hồi.

2. Xếp hạng nhà cung cấp theo rủi ro

Không phải mọi nhà cung cấp đều cần đánh giá chi tiết. Nhà cung cấp dịch vụ bảng lương, nền tảng lưu trữ đám mây, nhà cung cấp dịch vụ CNTT, CRM hoặc nhà cung cấp dịch vụ được quản lý đáng được xem xét kỹ lưỡng hơn so với một dịch vụ có rủi ro thấp không có dữ liệu nhạy cảm.

Ưu tiên các nhà cung cấp xử lý dữ liệu khách hàng, thông tin đăng nhập, thanh toán, thông tin nhân viên, hệ thống sản xuất hoặc quyền truy cập quản trị viên.

3. Đặt câu hỏi bảo mật trước khi cấp quyền truy cập

Trước khi cấp quyền truy cập, việc lùi lại một bước để đánh giá xem bên thứ ba có thực sự cần thiết hay không, họ cần truy cập hệ thống hoặc dữ liệu nào, và liệu mức độ truy cập đó có hợp lý hay không là điều rất hữu ích. Ở giai đoạn này, many tổ chức phát hiện ra họ phụ thuộc vào nhiều nhà cung cấp, tích hợp và tài khoản bên ngoài hơn họ nghĩ.

Một cuộc đánh giá nhà cung cấp tinh gọn vẫn có thể hữu ích. Hãy hỏi:

• Điều gì xảy ra với dữ liệu nếu ngừng sử dụng dịch vụ?
• Có hỗ trợ 2FA không?
• Dữ liệu khách hàng được bảo vệ như thế nào?
• Có cung cấp các kiểm soát truy cập dựa trên vai trò không?
• Có cho phép xem nhật ký kiểm toán hoặc báo cáo hoạt động không?
• Có sở hữu bất kỳ chứng nhận bảo mật liên quan nào hoặc tuân theo các tiêu chuẩn bảo mật được công nhận không?
• Khách hàng được thông báo về các sự cố như thế nào?
• Quyền truy cập của nhân viên được quản lý nội bộ như thế nào?
• Có hỗ trợ quyền truy cập đặc quyền tối thiểu không?

Những việc doanh nghiệp có thể làm để giảm thiểu rủi ro

Giảm thiểu rủi ro chuỗi cung ứng bắt đầu bằng việc kiểm soát. Trên thực tế, điều đó có nghĩa là doanh nghiệp cần có các quy tắc rõ ràng về cách kiểm duyệt nhà cung cấp, những gì họ có thể truy cập, cách hoạt động của họ được giám sát và điều gì xảy ra nếu một bên thứ ba bị xâm phạm.

Kiểm duyệt các nhà cung cấp bên thứ ba về các biện pháp thực hành bảo mật

Trước khi cấp cho nhà cung cấp quyền truy cập vào các hệ thống doanh nghiệp hoặc dữ liệu nhạy cảm, hãy kiểm tra xem các biện pháp thực hành bảo mật của họ có phù hợp với rủi ro hay không. Nhà cung cấp xử lý hồ sơ khách hàng, dữ liệu tài chính hoặc quyền truy cập quản trị viên cần đáp ứng tiêu chuẩn cao hơn so với một ứng dụng năng suất cơ bản.

Tìm kiếm sự hỗ trợ 2FA, quyền hạn dựa trên vai trò, nhật ký kiểm toán, cam kết thông báo sự cố, kiểm soát lưu giữ dữ liệu và quy trình bàn giao rõ ràng.

Áp dụng đặc quyền tối thiểu cho quyền truy cập của bên thứ ba

Nguyên tắc đặc quyền tối thiểu giúp giảm thiểu phạm vi ảnh hưởng nếu tài khoản nhà cung cấp bị xâm phạm. Điều đó có nghĩa là tránh cấp quyền quản trị viên khi quyền truy cập chỉ đọc là đủ, hoặc tránh chia sẻ các thư mục rộng lớn khi chỉ cần một thư mục cụ thể.

Sử dụng các nguyên tắc zero trust đối với nhà cung cấp

Zero trust không có nghĩa là không tin tưởng mọi nhà cung cấp. Điều đó có nghĩa là không giả định rằng một mối quan hệ tin cậy sẽ tạo ra quyền truy cập không giới hạn.

Đối với quyền truy cập của nhà cung cấp, điều này có nghĩa là xác minh danh tính, giới hạn quyền hạn, xem xét quyền truy cập thường xuyên, yêu cầu 2FA, giám sát hoạt động và xử lý mọi kết nối như một đối tượng cần được quản trị.

Giám sát các mô hình truy cập bất thường

Các tài khoản kết nối với nhà cung cấp cần được giám sát để phát hiện hành vi không phù hợp với mức sử dụng bình thường. Hãy chú ý đến các vị trí đăng nhập bất thường, lượt tải xuống đột xuất, người dùng quản trị viên mới, thay đổi quyền hạn, hoạt động ngoài giờ, các tích hợp mới hoặc quyền truy cập vào dữ liệu ngoài vai trò của nhà cung cấp.

Các tín hiệu này không phải lúc nào cũng chứng minh có sự xâm phạm, nhưng chúng có thể giúp đội ngũ phản ứng trước khi một sự cố nhỏ trở thành một vụ vi phạm rộng hơn.

Chuẩn bị cho trường hợp bên thứ ba bị xâm phạm

Kế hoạch ứng phó sự cố nên bao gồm các sự cố từ nhà cung cấp. Nếu nhà cung cấp báo cáo hành vi vi phạm, doanh nghiệp cần biết phải làm gì tiếp theo. Đã có bài viết về bảo vệ chống vi phạm dữ liệu dành cho doanh nghiệp, có thể giúp xây dựng phản ứng của doanh nghiệp đối với sự xâm phạm từ bên thứ ba.

Xác định rõ ai sẽ liên hệ với nhà cung cấp, ai xem xét quyền truy cập, ai kiểm tra nhật ký, ai quyết định xem có nên thay đổi thông tin đăng nhập hay không, và ai sẽ truyền thông với khách hàng hoặc cơ quan quản lý nếu cần thiết.

Sử dụng thông tin đăng nhập duy nhất cho mỗi nhà cung cấp và công cụ bên thứ ba

Thông tin đăng nhập duy nhất là một trong những cách đơn giản nhất để giảm thiểu phạm vi ảnh hưởng trong chuỗi cung ứng. Nếu cổng thông tin của nhà cung cấp bị vi phạm và nhân viên sử dụng lại mật khẩu đó ở nơi khác, kẻ tấn công có thể thử dùng chính thông tin đăng nhập đó để truy cập email, nền tảng SaaS, công cụ tài chính hoặc hệ thống quản trị viên.

Mật khẩu duy nhất cho mỗi nhà cung cấp giúp ngăn chặn việc tái sử dụng trực tiếp đó. Nó cũng giúp quy trình ứng phó sự cố trở nên rõ ràng hơn. Khi một nhà cung cấp bị xâm phạm, doanh nghiệp sẽ biết thông tin đăng nhập nào cần chú ý thay vì phải tự hỏi mật khẩu đó có thể đã được sử dụng ở những đâu.

Proton Pass là một trình quản lý mật khẩu doanh nghiệp có thể giúp đội ngũ tạo mật khẩu mạnh, duy nhất cho mọi nhà cung cấp và dịch vụ bên thứ ba, lưu trữ chúng trong các kho đã mã hóa, sử dụng tính năng tự động điền và chia sẻ quyền truy cập một cách an toàn. Điều này giúp việc duy trì vệ sinh thông tin đăng nhập trở nên dễ dàng hơn trên nhiều dịch vụ bên ngoài mà các doanh nghiệp hiện đại dựa vào.

Kết nối thông tin đăng nhập trong các cuộc tấn công chuỗi cung ứng

Các cuộc tấn công chuỗi cung ứng thường bắt đầu từ các nhà cung cấp, nhưng thông tin đăng nhập sẽ quyết định mức độ ảnh hưởng có thể lan rộng đến đâu.

Nếu tài khoản của nhà thầu bị xâm phạm nhưng có quyền truy cập hạn chế, thiệt hại có thể được ngăn chặn. Nếu cùng tài khoản đó có quyền hạn rộng, thông tin đăng nhập được chia sẻ, mật khẩu được tái sử dụng hoặc quyền truy cập vào các hệ thống nhạy cảm, kẻ tấn công sẽ có thêm không gian để hoạt động.

Đây là lý do tại sao quản lý mật khẩu và quyền truy cập thuộc về quản lý rủi ro chuỗi cung ứng. Đối với mọi nhà cung cấp hoặc công cụ bên thứ ba, doanh nghiệp cần biết:

• Những thông tin đăng nhập nào tồn tại.
• Ai có quyền truy cập vào chúng.
• Mật khẩu có duy nhất hay không.
• MFA đã được kích hoạt chưa.
• Quyền truy cập có còn cần thiết nữa không.
• Tài khoản là tài khoản chung được chia sẻ hay tài khoản cá nhân.
• Ai là người quản lý tài khoản này trong nội bộ.

Một trình quản lý mật khẩu doanh nghiệp như Proton Pass giúp trả lời những câu hỏi đó dễ dàng hơn. Thay vì thông tin đăng nhập nằm rải rác trong bảng tính, hồ sơ trình duyệt, tin nhắn trò chuyện hoặc ghi chú cá nhân, mật khẩu của nhà cung cấp có thể được lưu trữ trong một hệ thống được kiểm soát với tính năng chia sẻ an toàn và quyền sở hữu rõ ràng hơn.

Điều đó không xóa bỏ nhu cầu kiểm duyệt nhà cung cấp hoặc giám sát hoạt động. Nó củng cố một trong những biện pháp kiểm soát có tác động lớn nhất: đảm bảo rằng một vụ vi phạm bên thứ ba không trở thành vấn đề lạm dụng mật khẩu trên toàn doanh nghiệp.

Tích hợp bảo mật bên thứ ba vào hoạt động hàng ngày

Một cuộc tấn công chuỗi cung ứng biến sự tin cậy thành đường dẫn xâm nhập. Nhà cung cấp, bản cập nhật phần mềm, tài khoản SaaS, nhà thầu hoặc tích hợp thường hỗ trợ doanh nghiệp có thể trở thành lộ trình mà kẻ tấn công sử dụng để tiếp cận dữ liệu hoặc hệ thống.

Các doanh nghiệp nhỏ không thể tránh các bên thứ ba, và họ cũng không cần phải làm vậy. Các công cụ SaaS, nhà cung cấp dịch vụ CNTT, nhà thầu và nhà cung cấp là một phần trong cách thức hoạt động của các doanh nghiệp hiện đại. Mục tiêu là quản lý các mối quan hệ đó với sự kiểm soát đầy đủ để một sự xâm phạm đơn lẻ không trở thành một vụ vi phạm rộng hơn.

Hãy bắt đầu với những điều cơ bản: lập bản đồ các nhà cung cấp, đánh giá quyền truy cập, đặt câu hỏi bảo mật, áp dụng đặc quyền tối thiểu, sử dụng các nguyên tắc zero trust, giám sát hoạt động bất thường và lập kế hoạch ứng phó sự xâm phạm từ bên thứ ba. Sau đó, giảm thiểu rủi ro thông tin đăng nhập bằng cách cấp cho mỗi nhà cung cấp và dịch vụ bên thứ ba một mật khẩu duy nhất.

Proton Pass giúp doanh nghiệp đưa việc kiểm soát đó vào thực tế hàng ngày. Khi mọi thông tin đăng nhập của nhà cung cấp đều có thông tin đăng nhập duy nhất, quyền truy cập được chia sẻ nằm trong các kho đã mã hóa và các đội ngũ có thể thu hồi quyền truy cập ngay khi mối quan hệ kết thúc, một mật khẩu duy nhất bị vi phạm sẽ ít có khả năng gây ra phản ứng dây chuyền trên các tài khoản doanh nghiệp.