Dodavatel je nyní útočnou plochou
Aktualizováno pro rok 2026
Po celé desetiletí se bezpečnostní týmy soustředily na jediný cíl: zabránit útočníkům v přístupu do sítě. Zabezpečit perimetr. Uzamknout koncové body. Řídit přihlašování. Starý model předpokládal, že útočníci půjdou přímo na vaši organizaci.
Čísla za rok 2024 ukazují, že tento model je překonaný. Úniky dat ze SaaS vzrostly v roce 2024 o 300 % podle zprávy Obsidian Security 2025 SaaS Security Threat Report. Útočníci již neútočí přímo na organizace. Zaměřují se na SaaS nástroje, kterým tyto organizace svěřují své záznamy.
Když je vaše cloudová aplikace terčem útoku, silná interní síť nepomáhá. Záznamy zákazníků, firemní dokumenty a citlivý obsah jsou uloženy na serverech nástroje. Jsou chráněny klíči nástroje. A jsou vystaveny riziku, když je nástroj napaden.
Čísla úniků dat ze SaaS v roce 2024
Celkové škody způsobené úniky dat v roce 2024 dokládají rozsah rizika.
Conduent utrpěl únik dat, který odhalil 25,9 milionu záznamů. Conduent zajišťuje zpracování obchodních procesů pro vládní agentury a velké firmy. Spravuje dávky, platby a služby pro občany. Těchto 25,9 milionu dotčených osob vůbec nevědělo, že jejich informace drží třetí strana.
NHS Digital zaznamenal únik dat, který zasáhl 9 milionů pacientů. Záznamy pacientů byly vystaveny prostřednictvím serverů cloudového nástroje. Pacienti poskytli tyto informace svým zdravotnickým poskytovatelům. Neměli důvod vědět, že se kdy dostaly na platformu třetí strany.
Toto nejsou ojedinělé případy. Je to nová norma. Rozsáhlé úniky dat nyní zasahují miliony lidí, kteří důvěřovali jedné organizaci, ale jejich osobní informace přechovávala jiná, o jejíž existenci vůbec nevěděli. Informace o tom, jak zákon přiřazuje odpovědnost v těchto případech, naleznete v našem přehledu souladu s GDPR.
Proč úniky dat ze SaaS fungují jinak
Klasický průnik do sítě vyžaduje mnoho kroků. Útočníci musí překonat perimetr. Musí se pohybovat systémy. Musí extrahovat dokumenty. Každý krok je příležitostí k odhalení.
Úniky dat ze SaaS fungují jinak. Když útočníci zasáhnou cloudovou platformu, získají přístup k záznamům každého klienta, který platformou prošel s citlivým obsahem. Jeden průnik přináší dokumenty od desítek či stovek klientů najednou.
9minutové okno průniku — čas od prvního přístupu k odcizení záznamů v SaaS systémech podle záznamů o incidentech Obsidian Security — ukazuje, jak rychle to funguje. Na sdílené platformě útočníci narazí na obsah od mnoha klientů najednou. Tato koncentrace hodnoty dělá každý útok vysoce efektivním.
Smlouvy tuto mezeru neuzavírají. Článek 82 GDPR přiřazuje zpracovatelům sdílenou odpovědnost za jimi způsobené úniky. Ale prokázání viny trvá měsíce. Do té doby jsou záznamy dávno pryč. Podívejte se na naši stránku o bezpečnosti a souladu s předpisy, kde se dozvíte, jak nástroje s nulovou znalostí mění tento výsledek.
Smlouva DPA vaše záznamy nechrání
Článek 28 GDPR říká, že organizace musí používat pouze zpracovatele poskytující „dostatečné záruky”. Smlouva o zpracování dat (DPA) je písemným dokladem těchto záruk.
Podobně jako Dohoda o obchodním partnerovi podle HIPAA pokrývá DPA právní stránku. Nepokrývá však to, co se děje s vašimi dokumenty na serverech poskytovatele.
Cloudový nástroj s plně GDPR-compliantní DPA může stále:
- Ukládat záznamy zákazníků pomocí šifrování na straně serveru klíči poskytovatele
- Zpracovávat informace o zaměstnancích ve sdíleném systému používaném mnoha dalšími klienty
- Uchovávat protokoly a mezipaměti nad rámec dohodnutého použití
- Být napaden a vystavit vše výše uvedené
DPA stanovuje právní povinnosti. Nevytváří technickou bariéru proti úniku dat. Když útočníci prolomí platformu za 9 minut, DPA je nezpomalí.
Srozumitelnou pomoc s povinnostmi podle článku 28 najdete v glosáři GDPR.
Proč nárůst o 300 % má strukturální příčiny
Nárůst o 300 % odráží dvě síly působící současně.
Zaprvé, objem citlivých informací v SaaS platformách v roce 2024 prudce vzrostl. Více organizací přesunulo více práce do cloudových nástrojů. Více dokumentů skončilo na serverech třetích stran. Více obsahu znamená více důvodů k útoku na tyto servery.
Zadruhé, útočníci se přizpůsobili. Organizace nyní posílají záznamy zákazníků, finanční protokoly, personální informace, právní obsah a zdravotní záznamy přes SaaS nástroje. Úder na jednu platformu přináší záznamy od mnoha klientů. Matematika odměňuje útok na platformy namísto útoku na jednotlivé organizace.
Číslo 300 % není skokem v kriminalitě. Označuje strukturální posun v tom, kam útočníci míří.
Anonymizace s nulovou znalostí jako řešení
Řešení začíná jednou změnou myšlení. Pokud jakákoli platforma může být napadena — a záznamy z roku 2024 to prokazují — pak žádná platforma by neměla dostávat osobní informace vašich zákazníků v čitelné podobě.
Anonymizace s nulovou znalostí před nahráním zcela mění riziko úniku dat. Když je napadena platforma uchovávající obsah zpracovaný s nulovou znalostí:
- Útočníci dosáhnou anonymizovaných záznamů bez čitelných identifikátorů zákazníků
- Není potřeba oznamovat incident subjektům, protože nedošlo k úniku osobních údajů
- Není potřeba řešit případ sdílené odpovědnosti podle článku 82 GDPR
- Z průniku nevznikají žádné regulatorní následky
Útok zasáhne platformu. Nedosáhne na vaše zákazníky. Jejich osobní informace nikdy nedorazily na servery platformy v čitelné podobě.
Toto není teorie. Je to prostý fakt: neexistují žádné záznamy k odcizení, protože žádné nebyly odeslány v čitelné formě. Nejčastější dotazy pokrývají běžné otázky k anonymizaci s nulovou znalostí. Naše stránka s cenami ukazuje, co tato ochrana stojí ve velkém měřítku.
Nárůst o 300 % mění výpočet rizika. Kontrola bezpečnostního postoje a smluvních podmínek dodavatele znamená vsadit na to, že váš dodavatel nebude příštím titulkem zpráv. Anonymizace s nulovou znalostí tuto sázku odstraňuje.
Zdroje
- Obsidian Security 2025 SaaS Security Threat Report — nárůst o 300 % — OVĚŘENO-EXTERNĚ
- BusinessWire: Tisková zpráva Obsidian Security — meziroční nárůst o 300 % — OVĚŘENO-EXTERNĚ
- GDPR Článek 28: Zpracovatel — OVĚŘENO
- GDPR Článek 82: Právo na náhradu škody — OVĚŘENO