Dobavljač je sada napadnuta površina
Ažurirano za 2026.
Desetljeće su se sigurnosni timovi fokusirali na jedan cilj: spriječiti napadače da uđu u mrežu. Osigurati perimetar. Zaključati krajnje točke. Kontrolirati tko se može prijaviti. Stari model pretpostavljao je da će napadači krenuti izravno na vašu organizaciju.
Brojke iz 2024. pokazuju da je taj model slomljen. SaaS proboji su porasli 300% u 2024., prema Obsidian Security izvješću o SaaS sigurnosnim prijetnjama za 2025. Napadači više ne idu izravno na organizacije. Idu za SaaS alatima kojima te organizacije povjeravaju svoje zapise.
Kada je vaš alat u oblaku meta napada, snažna interna mreža ne pomaže. Korisnički zapisi, dokumenti zaposlenika i osjetljivi sadržaj nalaze se na poslužiteljima alata. Zaključani su ključevima alata. Izloženi su kada alat bude pogođen.
Brojke SaaS proboja u 2024.
Ukupni broj proboja u 2024. pokazuje razmjere rizika.
Conduent je pretrpio proboj koji je izložio 25,9 milijuna zapisa. Conduent obavlja poslove poslovnih procesa za vladine agencije i velike tvrtke. Upravlja naknadama, plaćanjima i uslugama za građane. 25,9 milijuna pogođenih osoba nije znalo da treća strana drži njihove podatke.
NHS Digital je pretrpio proboj koji je pogodio 9 milijuna pacijenata. Pacijentski zapisi izloženi su putem poslužitelja alata u oblaku. Pacijenti su te podatke dali svojim pružateljima zdravstvenih usluga. Nisu imali razloga znati da su ikad dospjeli na platformu treće strane.
Ovo nisu rijetki događaji. To je nova norma. Veliki proboji sada pogađaju milijune ljudi koji su vjerovali jednoj organizaciji, a njihove osobne podatke drži druga o kojoj nisu ni znali. Za pitanje pravne odgovornosti u takvim slučajevima pogledajte naš pregled usklađenosti s GDPR-om.
Zašto SaaS proboji funkcioniraju drukčije
Klasičan mrežni proboj zahtijeva mnogo koraka. Napadači moraju proći perimetar. Moraju se kretati kroz sustave. Moraju izvući dokumente. Svaki korak je prilika da budu uhvaćeni.
SaaS proboji funkcioniraju drukčije. Kada napadači udare na platformu u oblaku, dobivaju pristup zapisima svakog klijenta koji je slao sadržaj kroz tu platformu. Jedan proboj donosi dokumente od desetaka ili stotina klijenata odjednom.
Prozor proboja od 9 minuta — vrijeme od prvog pristupa do krađe zapisa u SaaS sustavima, prema podacima o incidentima Obsidian Security — pokazuje koliko je to brzo. Unutar zajedničke platforme napadači pronalaze sadržaj od mnogo klijenata odjednom. Ta koncentracija vrijednosti čini svaki napad visoko učinkovitim.
Ugovori ne zatvaraju tu prazninu. Članak 82. GDPR-a dodjeljuje zajednički dio odgovornosti obrađivačima za proboje koje prouzroče. Ali dokazivanje krivnje traje mjesecima. Do tada su zapisi već nestali. Pogledajte našu stranicu za sigurnost i usklađenost o tome kako alati s nultim znanjem mijenjaju ovaj ishod.
DPA ne štiti vaše zapise
Članak 28. GDPR-a kaže da organizacije smiju koristiti samo obrađivače koji pružaju dovoljna jamstva. Ugovor o obradi podataka pisani je dokaz tih jamstava.
Kao i HIPAA sporazum poslovnog suradnika, DPA pokriva pravnu stranu. Ne pokriva što se događa s vašim dokumentima na poslužiteljima pružatelja usluge.
Alat u oblaku s potpuno usklađenim DPA-om prema GDPR-u može i dalje:
- Pohranjivati korisničke zapise koristeći enkripciju na strani poslužitelja s ključevima pružatelja
- Pokretati podatke zaposlenika kroz zajednički sustav koji koriste mnogi drugi klijenti
- Čuvati zapisnike i predmemorirani sadržaj izvan dogovorenih svrha
- Pretrpjeti proboj koji izlaže sve navedeno
DPA postavlja pravne obveze. Ne stvara tehnički zid protiv izloženosti. Kada napadači probiju platformu za 9 minuta, DPA ih ne usporava.
Za pomoć na razumljivom jeziku o obvezama iz Članka 28. pogledajte GDPR rječnik.
Zašto je porast od 300% strukturalni
Porast od 300% odražava dvije sile koje djeluju istovremeno.
Prvo, količina osjetljivih podataka u SaaS platformama naglo je porasla u 2024. Više organizacija preselilo je više poslova u alate u oblaku. Više dokumenata dospjelo je na poslužitelje trećih strana. Više sadržaja znači više razloga za napad na te poslužitelje.
Drugo, napadači su se prilagodili. Organizacije sada šalju korisničke zapise, financijske zapisnike, HR podatke, pravni sadržaj i zdravstvene zapise putem SaaS alata. Pogoditi jednu platformu donosi zapise od mnogo klijenata. Matematika nagrađuje napade na platforme umjesto na pojedinačne organizacije.
Brojka od 300% nije skok u kriminalu. Ona označava strukturalni pomak u tome kamo idu napadi.
Anonimizacija s nultim znanjem kao rješenje
Rješenje počinje jednom promjenom u razmišljanju. Ako svaka platforma može biti pogođena — a podaci iz 2024. dokazuju da mogu — onda nijedna platforma ne bi trebala primati osobne podatke vaših klijenata u čitljivom obliku.
Anonimizacija s nultim znanjem prije prijenosa potpuno mijenja rizik od proboja. Kada napadači napadnu platformu koja drži sadržaj obrađen nultim znanjem:
- Napadači dobivaju anonimizirane zapise bez čitljivih identifikatora klijenata
- Nije potrebna obavijest subjektu jer nisu izloženi osobni podaci
- Nije potreban slučaj zajedničke odgovornosti prema Članku 82. GDPR-a
- Iz proboja ne rezultira regulatorna pratnja
Napad pogađa platformu. Ne dostiže vaše klijente. Njihovi osobni podaci nikad nisu stigli na poslužitelje platforme u čitljivom obliku.
Ovo nije teorija. To je jednostavna činjenica: nema zapisa za krađu jer nijedan nije poslan u čitljivom obliku. Česta pitanja pokrivaju uobičajena pitanja o anonimizaciji s nultim znanjem. Naša stranica s cijenama pokazuje koliko ova zaštita košta u velikom opsegu.
Porast od 300% mijenja matematiku rizika. Provjera sigurnosnog položaja i uvjeta ugovora dobavljača znači kladiti se da vaš dobavljač neće biti sljedeća vijest. Anonimizacija s nultim znanjem uklanja tu okladu.
Izvori
- Obsidian Security 2025 SaaS Security Threat Report — porast od 300% — VERIFICIRANO-VANJSKO
- BusinessWire: Priopćenje za tisak Obsidian Security — godišnji porast od 300% — VERIFICIRANO-VANJSKO
- GDPR Članak 28.: Obrađivač — VERIFICIRANO
- GDPR Članak 82.: Pravo na naknadu — VERIFICIRANO