Kontraktorzy i freelancerzy: Czy włączać podmioty zewnętrzne w szkolenia cyber?

W większości nowoczesnych organizacji granice tradycyjnego systemu informatycznego uległy całkowitemu zatarciu. Wewnętrzne działy IT współpracują na co dzień z programistami B2B, zewnętrznymi konsultantami biznesowymi, agencjami rekrutacyjnymi czy dostawcami usług zarządzanych (MSP). Osoby te nierzadko dysponują bardzo szerokimi uprawnieniami: imiennymi kontami w sieci VPN, firmowymi skrzynkami pocztowymi, dostępem do wewnętrznych kanałów na Slacku lub uprawnieniami do zapisu w repozytoriach kodu źródłowego.

Mimo to podczas wdrażania rocznego planu podnoszenia świadomości cyberbezpieczeństwa pojawia się niewidzialna bariera. Z powodu obaw administracyjnych, wysokiej rotacji zewnętrznych specjalistów lub wątpliwości prawnych dotyczących relacji B2B, kontraktorzy bywają całkowicie pomijani w programach edukacyjnych. Ta operacyjna martwa strefa stanowi wymarzoną szansę dla cyberprzestępców, którzy w pierwszej kolejności uderzają w najsłabsze ogniwa łańcucha dostaw.

Dlaczego konta zewnętrzne muszą podlegać tym samym działaniom edukacyjnym?#

W skrócie: Konta podmiotów zewnętrznych korzystają z tych samych zasobów i narzędzi pracy co pracownicy etatowi. Przy braku odpowiednich nawyków higieny cyfrowej skompromitowany kontraktor staje się bezpośrednią furtką umożliwiającą napastnikom ominięcie ochrony obwodowej i infiltrację sieci wewnętrznej.

Dla cyberprzestępcy adres e-mail zarejestrowany w domenie Państwa firmy ma dokładnie taką samą wartość, niezależnie od tego, czy należy do członka Zarządu, czy do konsultanta realizującego zlecenie na okres trzech tygodni. Dopóki konto pozostaje aktywne w Państwa katalogu tożsamości, może posłużyć jako idealny punkt wyjścia do ataku:

• Ruch boczny (lateral movement): Po przejęciu konta kontraktora za pomocą kampanii phishingowej atakujący wykorzystuje naturalne zaufanie do komunikacji wewnętrznej, aby zwieść kolejnych współpracowników lub wykraść poufne dane biznesowe.
• Wykorzystywanie niezarządzanego sprzętu (BYOD): Specjaliści zewnętrzni bardzo często pracują na prywatnych laptopach lub urządzeniach dostarczonych przez ich macierzyste agencje. Sprzęt ten rzadko spełnia restrykcyjne standardy Państwa działu bezpieczeństwa, co wymaga od użytkownika jeszcze większej czujności behawioralnej.
• Brak znajomości procedur wewnętrznych: Kontraktor nie zawsze wie, do którego zespołu zgłosić podejrzany incydent (np. bezpośrednio do wewnętrznego zespołu CSIRT) lub w jaki sposób zweryfikować niestandardową prośbę o zmianę numeru konta bankowego.

Higiena cyberbezpieczeństwa nie może kończyć się na formalnej formie umowy współpracy. Ujednolicenie poziomu czujności wśród pracowników etatowych i współpracowników zewnętrznych realnie zmniejsza ogólną powierzchnię ataku.

Co na temat łańcucha dostaw mówią regulacje ISO 27001 oraz dyrektywa NIS 2?#

W skrócie: Dyrektywa NIS 2 (oraz polska nowelizacja ustawy o Krajowym Systemie Cyberbezpieczeństwa) oraz norma ISO/IEC 27001 nakładają obowiązek rygorystycznego zarządzania bezpieczeństwem łańcucha dostaw. Organizacje muszą weryfikować ryzyko związane z podmiotami trzecimi i zadbać o ich odpowiednie przeszkolenie.

Standardy zgodności jednoznacznie odzwierciedlają rosnącą współzależność ekosystemów cyfrowych. Traktowanie bezpieczeństwa podwykonawców wyłącznie jako zapisu w umowie powierzenia przetwarzania danych lub umowie ramowej to dziś za mało:

Wymagania normy ISO/IEC 27001

W Załączniku A do normy ISO/IEC 27001 (edycja 2022) punkt 5.19 reguluje kwestie bezpieczeństwa informacji w relacjach z dostawcami. Wymaga on uzgodnienia i wdrożenia wymogów ochronnych dla każdego podmiotu uzyskującego dostęp do aktywów organizacji. Z kolei punkt 6.3 bezpośrednio nakłada wymóg regularnego budowania świadomości bezpieczeństwa informacji wśród personelu oraz właściwych stron zainteresowanych.

Zmiany wprowadzane przez dyrektywę NIS 2

W ramach dyrektywy NIS 2 oraz krajowych przepisów KSC nadzorowanych m.in. przy współpracy z NASK i CERT Polska, bezpieczeństwo łańcucha dostaw staje się kluczowym filarem prawnym. Podmioty kluczowe i ważne mają prawny obowiązek oceny praktyk cyberbezpieczeństwa swoich bezpośrednich dostawców. Włączenie kontraktorów mających dostęp do infrastruktury w firmowe inicjatywy podnoszenia świadomości jest dla audytorów namacalnym dowodem należytej staranności w zarządzaniu ryzykiem stron trzecich.

Jak szkolić podmioty zewnętrzne bez zbędnych tarć operacyjnych?#

Próba objęcia dziesiątek kontraktorów i freelancerów tradycyjnymi systemami szkoleniowymi często kończy się chaosem organizacyjnym: martwe licencje, problemy z dostępami do platform LMS oraz 45-minutowe moduły e-learningowe, które specjaliści rozliczani godzinowo po prostu odrzucają.

Aby skutecznie wdrożyć ten proces bez paraliżowania pracy zespołu cyberbezpieczeństwa, warto zastosować kilka sprawdzonych zasad:

• Postawić na mikrolekcje: Formaty trwające po kilka minut bez problemu wpisują się w standardowy dzień pracy zewnętrznego specjalisty, nie zaburzając realizacji powierzonych zadań.
• Zagwarantować dostęp bez barier technicznych: Współpracownicy zewnętrzni nie powinni być zmuszani do skomplikowanej konfiguracji kolejnych kont w ciężkich systemach korporacyjnych.
• Skupić się na realnych wektorach zagrożeń: Warto skierować uwagę na socjotechnikę, rozpoznawanie fałszywych poleceń przelewu (Business Email Compromise), higienę pracy zdalnej oraz skuteczne stosowanie uwierzytelniania wieloskładnikowego (MFA).
• Zapewnić ciągłość zamiast jednorazowych akcji: Zamiast nudnego szkolenia wstępnego, o którym kontraktor zapomina po tygodniu, regularne i zwięzłe impulsy edukacyjne pozwalają utrzymać czujność przez cały okres trwania kontraktu.

Właśnie z myślą o prostocie wdrożenia i wysokiej skuteczności zespół Brain Security stworzył Cyber Journey. Jest to nowoczesny program budowania świadomości cyberbezpieczeństwa oparty na mapie postępów, zwięzłych mikrolekcjach oraz interaktywnym quizie zręcznościowym. Rozwiązanie to, wdrażane wspólnie z naszymi ekspertami, pozwala zaszczepić jednolitą kulturę bezpieczeństwa zarówno wśród pracowników etatowych, jak i partnerów zewnętrznych, eliminując bariery techniczne i biurokrację.

INTERFEJS I DOŚWIADCZENIE BRAIN SECURITY · Cyber Journey

Włącz podwykonawców do strategii cyberbezpieczeństwa już teraz#

Współczesne cyberataki bezlitośnie obnażają słabości w relacjach biznesowych i powiązaniach technicznych. Uznawanie zewnętrznych kontraktorów za użytkowników drugiej kategorii w obszarze bezpieczeństwa naraża całą organizację na niepotrzebne incydenty i paraliż operacyjny.

Dostosowując poziom wiedzy partnerów zewnętrznych do wewnętrznych standardów Państwa firmy, wzmacniają Państwo odporność całego łańcucha dostaw, realizując jednocześnie wytyczne audytowe wynikające z normy ISO 27001 oraz dyrektywy NIS 2.

Chcą Państwo stworzyć zwinny i angażujący program edukacyjny dopasowany do hybrydowych zespołów i kontraktorów? Porozmawiajmy o Państwa wyzwaniach, aby wspólnie zaprojektować skuteczną ścieżkę podnoszenia odporności cyfrowej.

Przeczytaj również: powiązane artykuły i rozwiązania Brain Security#

Powiązane artykuły na ten temat

• Zarządzanie cyberbezpieczeństwem a szacunek dla pracowników: Jak mierzyć postępy bez inwigilacji (Compliance (NIS 2, DORA, ISO)) : Dowiedz się, jak monitorować szkolenia z cyberbezpieczeństwa i RODO bez inwigilacji pracowników, stawiając na podejście zespołowe i budowę kultury zaufania.
• Cyber Resilience Act (CRA): Jak wdrożyć Security by Design w zespołach R&D (Compliance (NIS 2, DORA, ISO)) : Jak przygotować programistów i Product Managerów na wymogi CRA? Poznaj kluczowe nawyki Security by Design i wzmocnij odporność cyfrową produktów.
• Certyfikacja TISAX w motoryzacji: Skuteczna edukacja cyberbezpieczeństwa w R&D i produkcji (Compliance (NIS 2, DORA, ISO)) : Przygotuj firmę do audytu TISAX i VDA ISA. Dowiedz się, jak szkolić zespoły R&D oraz fabryki z ochrony prototypów i danych produkcyjnych.
• Onboarding w cyberbezpieczeństwie: Jak szkolić nowych pracowników od pierwszego tygodnia? (Gamification) : Skuteczny onboarding cyberbezpieczeństwa dla nowych pracowników. Zbuduj odporność organizacji od pierwszego dnia dzięki grywalizacji i mikrolekcjom.

Poznaj rozwiązania Brain Security na naszej stronie

• Powiązane rozwiązanie : Cyber Journey : Ścieżka edukacyjna w formie mapy postępów: krótkie rozdziały i wbudowany quiz arcade bez konieczności zakładania konta.
• Sprawdź przypadki użycia według celów i branż
• Porównaj nasze formaty budowania świadomości cyber i AI
• Zobacz pełny interaktywny katalog Brain Security
• Porozmawiaj o swoich potrzebach z naszym zespołem (demo i wdrożenie)