Toimittaja on nyt hyökkäyspinta
Päivitetty vuodelle 2026
Vuosikaudet yritysturvallisuustiimit keskittyivät perimeterin puolustamiseen: suojaa verkko, turvaa päätepisteet, hallitse pääsy sisäisiin järjestelmiin. Vanha uhkamalli oletti hyökkääjien pyrkivän murtautumaan suoraan organisaatioon.
Vuoden 2024 SaaS-tietomurtotiedot osoittavat tämän mallin vanhentuneen. SaaS-tietomurrot kasvoivat 300 % vuonna 2024 Obsidian Securityn vuoden 2025 SaaS Security Threat Reportin mukaan. Hyökkääjät eivät enää kohdistu suoraan organisaatioihin — he kohdistavat SaaS-toimittajiin, joihin nämä organisaatiot luottavat tietojensa kanssa.
Kun toimittajasi on hyökkäyspinta, ei oman verkkosi turvallisuudella ole merkitystä. Asiakastiedot, henkilöstötiedot ja luottamukselliset liiketiedot sijaitsevat toimittajan infrastruktuurissa, ovat käytettävissä toimittajan avaimilla ja paljastuvat, kun heidän järjestelmänsä vaarantuu.
Vuoden 2024 SaaS-tietomurtoluvut
Vuoden 2024 SaaS-tietomurtojen laajuus havainnollistaa altistumista:
Conduent koki tietomurron, joka paljasti 25,9 miljoonaa tietuetta. Conduent tarjoaa liiketoimintaprosessien ulkoistuspalveluja viranomaisille ja suuryrityksille — mukaan lukien etuuksien hallinta, maksujen käsittely ja kansalaispalveluportaalit. 25,9 miljoonaa tietuetta sisälsi henkilöitä, jotka olivat asioineet viranomaisten kanssa eivätkä tienneet kolmannen osapuolen toimittajan säilyttävän heidän tietojaan.
NHS Digital koki tietomurron, joka kosketti 9 miljoonaa potilasta. NHS-tietomurto paljasti SaaS-toimittajan infrastruktuurin kautta käsiteltyjä potilastietoja — kliinisiä tietoja, jotka potilaat olivat antaneet terveydenhuollon tarjoajilleen eikä heillä ollut syytä uskoa niiden siirtyneen kolmannen osapuolen alustalle.
Nämä eivät ole poikkeuksia. Ne edustavat uutta normaalia tietojen paljastumisessa: laajamittaisia tietomurtoja, jotka koskettavat miljoonia henkilöitä, jotka antoivat tietonsa luottamilleen organisaatioille, jotka siirsivät ne toimittajille, joiden olemassaolosta nämä henkilöt eivät tienneet.
Miksi SaaS-tietomurrot ovat rakenteellisesti erilaisia
Perinteiset verkkotietomurrot vaativat hyökkääjiä murtautumaan organisaation perimeterin läpi, navigoimaan sisäisten järjestelmien välillä ja suodattamaan tiedot ulos — monivaiheinen prosessi, jossa on useita havaitsemismahdollisuuksia.
SaaS-tietomurrot toimivat eri tavalla. Hyökkääjät, jotka vaarantavat SaaS-toimittajan, pääsevät käsiksi jokaisen asiakkaan tietoihin, joka on käsitellyt tietoja kyseisen toimittajan kautta. Yksittäinen vaarantuminen tuottaa samanaikaisesti kymmeniä tai satoja yritysasiakkaita koskevat asiakastietueet.
9 minuutin tietomurtoikkuna — aika alkupääsystä tietojen vaarantumiseen SaaS-ympäristöissä Obsidian Securityn tapahtumareagointitietojen mukaan — heijastaa tätä rakenteellista eroa. Päästyään toimittajan infrastruktuuriin hyökkääjät löytävät useiden organisaatioiden tietoja jaetussa ympäristössä. Hyökkäyspinta keskittää arvon.
GDPR:n mukaisia Tietojenkäsittelysopimuksia (DPA) allekirjoittaneiden organisaatioiden osalta tietomurto ei poista vaatimustenmukaisuusvastuuta. GDPR:n 82. artikla asettaa yhteisvastuun tietojenkäsittelijöille tietomurroista, jotka johtuvat niiden velvoitteiden noudattamatta jättämisestä. Mutta yhteisvastuun todistaminen vaatii sen osoittamista, että toimittaja oli laiminlyönyt velvoitteensa — monimutkainen tutkinta, joka vie kuukausia, kun taas tiedot ovat jo uhkatoimijoiden käsissä.
DPA ei suojaa tietoja
GDPR:n 28. artikla edellyttää organisaatioiden käyttävän vain tietojenkäsittelijöitä, jotka tarjoavat "riittävät takuut" asianmukaisten teknisten ja organisatoristen toimenpiteiden toteuttamiseksi. Tietojenkäsittelysopimus on sopimusoikeudellinen todiste näistä takuista.
Kuten HIPAA:n Liikekumppaanisopimus (BAA), DPA käsittelee sopimussuhdetta. Se ei käsittele teknistä todellisuutta siitä, mitä tiedoillesi tapahtuu toimittajan infrastruktuurissa.
GDPR:n mukaisen DPA:n alla toimiva SaaS-toimittaja voi silti:
- Tallentaa asiakastietosi palvelinpuolen salauksella toimittajan hallitsemilla avaimilla
- Käsitellä henkilöstötietojasi monimuuttoympäristössä, joka on jaettu muiden asiakkaiden kanssa
- Säilyttää lokeja, käsittelytietueita ja välimuistisisältöä sopimuksessa määritellyt tarkoitukset ylittäen
- Infrastruktuuri voi vaarantua tavalla, joka paljastaa kaiken edellä mainitun
DPA luo velvoitteita. Se ei luo teknistä estettä tietojen paljastumiselle. Kun hyökkääjät murtautuvat toimittajaan 9 minuutissa, DPA ei hidasta heitä.
300 %:n kasvu on valintavaikutus
300 %:n kasvu SaaS-tietomurroissa heijastaa kahta samanaikaisesti toimivaa trendiä.
Ensinnäkin SaaS-alustoissa olevan datan absoluuttinen määrä kasvoi merkittävästi vuonna 2024. Organisaatioiden siirtäessä yhä enemmän prosesseja pilvipohjaisten toimittajien palveluihin, toimittajaympäristöissä käytettävissä oleva data kasvoi suhteessa. Enemmän dataa toimittajan infrastruktuurissa luo enemmän kannustimia hyökkääjille kohdistua toimittajan infrastruktuuriin.
Toiseksi hyökkääjät ovat mukauttaneet menetelmänsä arvon keskittymistä vastaaviksi. Organisaatiot käsittelevät nykyään enemmän arkaluonteisia tietoja useampien SaaS-toimittajien kautta kuin koskaan ennen — asiakastietueet, taloudelliset tapahtumat, HR-tiedot, oikeudelliset asiakirjat, terveydenhuoltotiedot. SaaS-toimittajista on tullut korkean arvon kohteita, koska yhden toimittajan murtautuminen tuottaa tietoja monelta organisaatiolta.
300 %:n luku kuvaa rakenteellista siirtymää siinä, mihin hyökkäykset kohdistuvat, ei vain yleisen rikollisen toiminnan piristymistä.
Nollatieto-arkkitehtuuri toimittajariskin lieventämiseksi
Nollatieto-arkkitehtuurin edellyttämä käsitteellinen muutos on suoraviivainen: jos toimittajaasi ei voi luottaa tietojesi turvalliseen säilyttämiseen — ei jonkin erityisen epäonnistumisen vuoksi, vaan koska mikä tahansa toimittaja voidaan murtaa — tietojesi ei pitäisi koskaan saavuttaa toimittajaasi tunnistettavassa muodossa.
Nollatieto-anonymisointi ennen SaaS-toimittajille lähettämistä muuttaa tietomurtoaltistumisen perusteellisesti. Kun nollatieto-prosessoitua dataa käyttävä toimittaja murretaan:
- Hyökkääjät pääsevät käsiksi anonymisoituihin tietueisiin, joissa ei ole palautettavissa olevia asiakkaan tunnisteita
- Tietosuojaloukkausilmoitusta ei tarvita, koska henkilötietoja ei paljastunut
- GDPR:n 82. artiklan mukaista yhteisvastuututkintaa ei tarvita
- Tietomurrosta ei aiheudu sääntelyllisiä seurauksia
Tietomurto vaikuttaa toimittajaan. Se ei vaikuta asiakkaidesi tietoihin, koska asiakkaidesi tietoja ei koskaan ollut toimittajan palvelimilla palautettavassa muodossa.
300 %:n kasvu SaaS-tietomurroissa muuttaa toimittajariskilaskelmaa. Organisaatiot, jotka arvioivat toimittajia yksinomaan tietoturva-asennon ja sopimusten sitoumusten perusteella, luottavat siihen, ettei heidän toimittajansa näy seuraavassa tietomurtotilastossa. Nollatieto-arkkitehtuuri poistaa tämän riippuvuuden.
Lähteet: