Ponudnik je postal napadena povrsina
Posodobljeno za leto 2026
Destletje so varnostne ekipe zasledovale en sam cilj: prepreciti napadalcem vstop v omrezje. Zascititi perimeter. Zakleniti koncne tocke. Nadzorovati, kdo se lahko prijavi. Stari model je predpostavljal, da bodo napadalci napadali organizacijo neposredno.
Stevilke za leto 2024 kazejo, da je ta model zastarel. Vdori v SaaS so se po porocilu Obsidian Security 2025 SaaS Security Threat Report v letu 2024 povecali za 300 %. Napadalci ne napadajo vec organizacij neposredno. Usmerjajo se na SaaS orodja, ki jim te organizacije zaupajo svoje podatke.
Ko je vase oblacno orodje tarca napada, mocno notranje omrezje ne pomaga. Podatki strank, dokumenti zaposlenih in obcutljiva vsebina se nahajajo na streznikih tega orodja. Zakljuceni so s kljuci orodja. Izpostavljeni so, ko je orodje napadeno.
Stevilke o vdorih v SaaS za leto 2024
Stevilke vdorov za leto 2024 razkrivajo obseg tveganja.
Conduent je utrpel vdor, ki je razkril 25,9 milijona zapisov. Conduent izvaja poslovne procese za vladne agencije in velika podjetja. Upravlja ugodnosti, placila in drzavljanske storitve. 25,9 milijona prizadetih oseb ni vedelo, da tretja stran hrani njihove podatke.
NHS Digital je utrpel vdor, ki je prizadel 9 milijonov pacientov. Pacientski zapisi so bili razkril prek streznikov oblacnega orodja. Pacienti so te podatke zaupali svojim zdravstvenim ponudnikom. Niso imeli razloga vedeti, da so kdaj dosegli platformo tretje strani, za katero niso vedeli.
To niso redki dogodki. To je nova normalnost. Veliki vdori zdaj prizadenejo milijone ljudi, ki so zaupali eni organizaciji, a so imeli njihove osebne podatke pri drugi, za katero niso vedeli. Za to, kako pravo dodeljuje odgovornost v takih primerih, glejte nas pregled skladnosti z GDPR.
Zakaj vdori v SaaS delujejo drugace
Klasicni vdor v omrezje zahteva veliko korakov. Napadalci morajo prebiti perimeter. Premikati se morajo skozi sisteme. Izvleci morajo dokumente. Vsak korak je priloznost za odkritje.
Vdori v SaaS delujejo drugace. Ko napadalci napadejo oblacno platformo, dostopajo do zapisov vseh strank, ki so skoznjo poslale vsebino. En vdor prinese dokumente desetin ali stotine strank naenkrat.
9-minutno okno vdora -- cas od prvega dostopa do krade zapisov v SaaS sistemih po podatkih Obsidian Security -- pokazuje, kako hitro to deluje. Znotraj deljene platforme napadalci naenkrat najdejo vsebino od stev strank. Ta koncentracija vrednosti naredi vsak napad visoko ucinkovit.
Pogodbe te vrzeli ne zapirajo. Clanek 82 GDPR dodeljuje skupno odgovornost obdelovalcem za vdore, ki jih povzrocijo. Toda dokazovanje krivde traja mesece. Do takrat so zapiski ze izgubljeni. Glejte naso stran o varnosti in skladnosti za to, kako orodja z nic-znanjem spremenijo ta izid.
DPA ne sciti vasih zapisov
Clanek 28 GDPR doloca, da morajo organizacije uporabljati samo obdelovalce, ki nudijo "zadostna jamstva". Sporazum o obdelavi podatkov je pisni dokaz teh jamstev.
Kot HIPAA Business Associate Agreement, DPA pokriva pravno stran. Ne pokriva, kaj se zgodi z vasimi dokumenti na streznikih ponudnika.
Oblacno orodje s popolnoma GDPR-skladnim DPA lahko se vedno:
- Shranjuje podatke strank s sifiranjem na strani streznika s kljuci v lasti ponudnika
- Obdeluje podatke zaposlenih prek skupnega sistema, ki ga uporablja se veliko drugih strank
- Hrani dnevnike in predpomnjeno vsebino onkraj dogovorjenih namenov
- Utrpi vdor, ki razkril vse navedeno
DPA doloca pravne obveznosti. Ne ustvarja tehnicne stene proti razkritju. Ko napadalci vdrejo v platformo v 9 minutah, DPA jih ne upocasni.
Za razlago v preprostem jeziku o obveznostih po clenu 28 glejte glosar GDPR.
Zakaj je porast za 300 % strukturni pojav
Porast za 300 % odrazuje dve sili, ki delujeta hkrati.
Prvic, obseg obcutljivih informacij v SaaS platformah se je v letu 2024 mocno povecal. Vec organizacij je preneslo vec dela v oblacna orodja. Vec dokumentov je pristalo na streznikih tretjih strank. Vec vsebine pomeni vec razlogov za napad na te streznike.
Drugic, napadalci so se prilagodili. Organizacije zdaj posiljajo podatke strank, financne dnevnike, HR informacije, pravno vsebino in zdravstvene zapise prek SaaS orodij. Napad na eno platformo prinese zapise od stevilnih strank. Matematika nagrajuje napadanje platform namesto napadanja posameznih organizacij.
Stevilka 300 % ni skok v kriminalu. Oznacuje strukturni premik v tem, kam gredo napadi.
Anonimizacija z nic-znanjem kot resitev
Resitev se zacne z eno spremembo v nacinu razmisljanja. Ce je mozno napadati katerokoli platformo -- in podatki za leto 2024 to dokazujejo -- potem nobena platforma ne bi smela prejemati osebnih podatkov vasih strank v berljivi obliki.
Anonimizacija z nic-znanjem pred nalaganjem povsem spremeni tveganje vdora. Ko je platforma, ki hrani vsebino obdelano z nic-znanjem, napadena:
- Napadalci dosezejo anonimizirane zapise brez berljivih identifikatorjev strank
- Obvescanje posameznikov ni potrebno, ker nobeni osebni podatki niso bili razkryti
- Skupna odgovornost po clenu 82 GDPR ni potrebna
- Iz vdora ne sledi nobeno regulatorno ukrepanje
Napad zadene platformo. Ne doseze vasih strank. Njihovi osebni podatki nikoli niso dosegli streznikov platforme v berljivi obliki.
To ni teorija. Je preprosto dejstvo: ni zapisov za krado, ker nobeni niso bili poslani v berljivi obliki. FAQ pokriva pogosta vprasanja o anonimizaciji z nic-znanjem. Nasa stran s cenami pokazuje, kaj ta zascita stane v obsegu.
Porast za 300 % spremeni racun tveganja. Preverjanje varnostne drze dobavitelja in pogodbenih pogojev pomeni staviti, da vas dobavitelj ne bo naslednji v naslovnicah. Anonimizacija z nic-znanjem ta stavo odstrani.