Leverandøren Er Nu Angrebsfladen
I et årti har virksomhedssikkerhedsteams fokuseret på perimeterforsvar: sikre netværket, beskytte slutpunkterne, kontrollere adgangen til interne systemer. Trusselmodellen antog, at angribere ville forsøge at trænge ind i organisationen direkte.
Dataene om SaaS-brud i 2024 viser, at denne model er forældet. SaaS-brud steg med 300% i 2024, ifølge Obsidian Security's 2025 SaaS Security Threat Report. Angribere målretter ikke længere organisationer direkte — de målretter de SaaS-leverandører, som disse organisationer stoler på med deres data.
Når din leverandør er angrebsfladen, er det irrelevant, at dit eget netværk er sikkert. De kundedata, medarbejderoptegnelser og følsomme forretningsoplysninger, du har behandlet gennem den leverandør, er på deres infrastruktur, tilgængelige med deres nøgler og eksponeret, når deres systemer er kompromitteret.
2024's SaaS-brudstal
Omfanget af SaaS-brud i 2024 illustrerer eksponeringen:
Conduent oplevede et brud, der eksponerede 25,9 millioner optegnelser. Conduent leverer outsourcing-tjenester til offentlige myndigheder og store virksomheder — herunder administrationsservice, betalingsbehandling og borgerportaler. De 25,9 millioner optegnelser omfattede personer, der interagerede med offentlige tjenester og ikke havde nogen viden om, at deres oplysninger blev opbevaret af en tredjepartsleverandør.
NHS Digital oplevede et brud, der påvirkede 9 millioner patienter. NHS-bruddet eksponerede patientdata, der blev behandlet gennem en SaaS-leverandørs infrastruktur — kliniske oplysninger, som patienter havde givet til deres sundhedsudbydere og ikke havde nogen grund til at tro, var sendt til en tredjepartsplatform.
Disse er ikke outliers. De repræsenterer den nye normal for dataeksponering: store brud, der påvirker millioner af individer, der har givet data til organisationer, de stolede på, som videregav det til leverandører, som disse individer aldrig vidste eksisterede.
Hvorfor SaaS-brud Er Strukturelt Forskellige
Traditionelle netværksbrud kræver, at angribere trænger ind i en organisations perimeter, navigerer i interne systemer og eksfiltrerer data — en flertrinsproces med flere muligheder for opdagelse.
SaaS-brud fungerer anderledes. Angribere, der kompromitterer en SaaS-leverandør, får adgang til dataene fra hver kunde, der har behandlet information gennem den leverandør. Et enkelt kompromis giver kunderegistrene fra dusinvis eller hundreder af virksomhedskunder samtidig.
Den 9-minutters brudvindue — tiden mellem den indledende adgang og datakomprimering i SaaS-miljøer, ifølge Obsidian Security's hændelsesresponsdata — afspejler denne strukturelle forskel. Når de først er inde i en leverandørs infrastruktur, møder angriberne data fra flere organisationer, der er gemt i et delt miljø. Angrebsfladen koncentrerer værdien.
For organisationer, der har underskrevet GDPR-kompatible databehandlingsaftaler med deres SaaS-leverandører, eliminerer bruddet ikke overholdelsesansvaret. GDPR Artikel 82 tildeler fælles ansvar til databehandlere for brud, der skyldes deres manglende overholdelse af GDPR-forpligtelser. Men fælles ansvar kræver bevis for, at leverandøren var ikke-kompatibel — en kompleks undersøgelse, der tager måneder, mens dataene allerede er i hænderne på trusselaktører.
DPA Beskytter Ikke Dataene
GDPR Artikel 28 kræver, at organisationer kun bruger behandlere, der giver "tilstrækkelige garantier" for at implementere passende tekniske og organisatoriske foranstaltninger. Databehandlingsaftalen er det kontraktuelle bevis på disse garantier.
Ligesom HIPAA's BAA adresserer DPA det kontraktuelle forhold. Det adresserer ikke den tekniske virkelighed af, hvad der sker med dine data på leverandørens infrastruktur.
En SaaS-leverandør, der opererer under en GDPR-kompatibel DPA, kan stadig:
- Opbevare dine kunders data ved hjælp af server-side kryptering med leverandørkontrollerede nøgler
- Behandle dine medarbejderes oplysninger i et multi-tenant miljø delt med andre kunder
- Beholde datalogs, behandlingsoptegnelser og cache-indhold ud over de formål, der er angivet i din aftale
- Få deres infrastruktur kompromitteret på en måde, der eksponerer alt det ovenstående
DPA skaber forpligtelser. Det skaber ikke en teknisk barriere mod dataeksponering. Når angribere bryder ind hos leverandøren på 9 minutter, bremser DPA dem ikke.
Den 300% Stigning Er En Selektions Effekt
Den 300% stigning i SaaS-brud afspejler to tendenser, der opererer samtidig.
For det første voksede det absolutte volumen af data i SaaS-platforme betydeligt i 2024. Efterhånden som flere organisationer flyttede flere processer til skybaserede leverandører, steg de data, der var tilgængelige i leverandørmiljøer, proportionalt. Mere data på leverandørinfrastruktur skaber mere incitament for angribere til at målrette leverandørinfrastruktur.
For det andet har angribere tilpasset deres metodologi til at matche værdikoncentrationen. Organisationer behandler nu mere følsomme data gennem flere SaaS-leverandører end nogensinde før — kunderegistre, finansielle transaktioner, HR-data, juridiske dokumenter, sundhedsoplysninger. SaaS-leverandører er blevet højværdimål, fordi et brud på én leverandør giver data fra mange organisationer.
Tallet på 300% beskriver et strukturelt skift i, hvor angreb rettes, ikke blot en stigning i generisk kriminel aktivitet.
Zero-Knowledge Arkitektur som Leverandør Risikoreduktion
Det konceptuelle skift, som zero-knowledge arkitektur kræver, er ligetil: hvis din leverandør ikke kan stoles på at opbevare dine data sikkert — ikke på grund af nogen specifik fejl, men fordi enhver leverandør kan blive kompromitteret — så bør dine data aldrig nå din leverandør i identificerbar form.
Zero-knowledge anonymisering før transmission til SaaS-leverandører ændrer brudeksponeringen fundamentalt. Når en leverandør, der bruger zero-knowledge-behandlede data, bliver kompromitteret:
- Angribere får adgang til anonymiserede optegnelser uden genoprettelige kundeidentifikatorer
- Ingen underretning til datakontakt er nødvendig, fordi ingen personlige data blev eksponeret
- Ingen GDPR Artikel 82 fælles ansvar undersøgelse er nødvendig
- Ingen reguleringshåndhævelsesundersøgelse følger som resultat af bruddet
Bruddet påvirker leverandøren. Det påvirker ikke dine kunders data, fordi dine kunders data aldrig var på leverandørens servere i genoprettelig form.
Den 300% stigning i SaaS-brud ændrer beregningen af leverandørens risiko. Organisationer, der vurderer leverandører udelukkende på sikkerhedsholdning og kontraktlige forpligtelser, stoler på, at deres leverandør ikke vil optræde i den næste brudstatistik. Zero-knowledge arkitektur eliminerer den afhængighed.
Kilder: