Dobavljač je sada površina napada
Ažurirano za 2026.
Deceniju unazad, bezbednosni timovi su se fokusirali na jedan cilj: sprečiti napadače da uđu u mrežu. Osigurati perimetar. Zaključati krajnje tačke. Kontrolisati ko se može prijaviti. Stari model je pretpostavljao da će napadači direktno ciljati vašu organizaciju.
Brojevi za 2024. pokazuju da je taj model slomljen. SaaS proboji su porasli 300% u 2024. godini, prema izveštaju Obsidian Security 2025 SaaS Security Threat Report. Napadači više ne ciljaju direktno organizacije. Oni napadaju SaaS alate kojima te organizacije poveravaju svoje podatke.
Kada je vaš cloud alat meta napada, snažna interna mreža ne pomaže. Podaci o klijentima, dokumenti zaposlenih i osetljivi sadržaj žive na serverima tog alata. Zaključani su ključevima tog alata. Izloženi su kada alat bude napadnut.
Brojevi SaaS proboja u 2024.
Ukupni rezultati proboja u 2024. pokazuju razmere rizika.
Conduent je pretrpeo proboj koji je izložio 25,9 miliona zapisa. Conduent obavlja poslove poslovnih procesa za vladine agencije i velika preduzeća. Upravlja beneficijama, plaćanjima i građanskim uslugama. 25,9 miliona pogođenih ljudi nije imalo pojma da treća strana čuva njihove informacije.
NHS Digital je imao proboj koji je pogodio 9 miliona pacijenata. Pacijentski dosijei su bili izloženi putem servera cloud alata. Pacijenti su te informacije dali svojim zdravstvenim ustanovama. Nisu imali razloga da znaju da su ikad dospele na platformu treće strane.
Ovo nisu retki događaji. To je nova norma. Veliki proboji sada pogađaju milione ljudi koji su verovali jednoj organizaciji, ali su imali lične podatke kod druge, za čije postojanje nisu ni znali. Za to kako zakon dodeljuje odgovornost u ovakvim slučajevima, pogledajte naš pregled GDPR usklađenosti.
Zašto SaaS proboji funkcionišu drugačije
Klasičan proboj mreže zahteva mnogo koraka. Napadači moraju proći kroz perimetar. Moraju se kretati kroz sisteme. Moraju izvući dokumente. Svaki korak je prilika da budu uhvaćeni.
SaaS proboji funkcionišu drugačije. Kada napadači udare na cloud platformu, dolaze do dosijea svakog klijenta koji je kroz tu platformu slao sadržaj. Jedan proboj donosi dokumente od desetina ili stotina klijenata odjednom.
Prozor od 9 minuta — vreme od prvog pristupa do krađe zapisa u SaaS sistemima, prema evidenciji incidenata Obsidian Security — pokazuje koliko je to brzo. Unutar zajedničke platforme, napadači pronalaze sadržaj od mnogih klijenata odjednom. Ta koncentracija vrednosti čini svaki napad visoko efikasnim.
Ugovori ne zatvaraju tu prazninu. GDPR član 82 dodeljuje zajedničku odgovornost obrađivačima za proboje koje prouzrokuju. Ali dokazivanje krivice traje mesecima. Do tada su dosijei već odneseni. Pogledajte našu stranicu o bezbednosti i usklađenosti za informacije o tome kako zero-knowledge alati menjaju ovaj ishod.
DPA ne štiti vaše zapise
GDPR član 28 nalaže organizacijama da koriste samo obrađivače koji pružaju dovoljna jemstva. Ugovor o obradi podataka je pisani dokaz tih jemstava.
Kao i HIPAA Business Associate Agreement, DPA pokriva pravnu stranu. Ne pokriva šta se dešava sa vašim dokumentima na serverima dobavljača.
Cloud alat sa potpuno GDPR-usklađenim DPA-om i dalje može:
- Čuvati podatke o klijentima koristeći serversku enkripciju sa ključevima u posedu dobavljača
- Obrađivati informacije o zaposlenima kroz zajednički sistem koji koriste mnogi drugi klijenti
- Čuvati logove i keširani sadržaj van dogovorenih namena
- Pretrpeti proboj koji izlaže sve navedeno
DPA postavlja pravne obaveze. Ne stvara tehnički zid protiv izloženosti. Kada napadači probiju platformu za 9 minuta, DPA ih ne usporava.
Za pomoć na razumljivom jeziku u pogledu obaveza iz člana 28, pogledajte GDPR rečnik.
Zašto je skok od 300% strukturalan
Skok od 300% odražava dve sile koje deluju istovremeno.
Prvo, obim osetljivih informacija na SaaS platformama naglo je porastao u 2024. Više organizacija je preselilo više posla na cloud alate. Više dokumenata je dospelo na servere trećih strana. Više sadržaja znači više razloga za napad na te servere.
Drugo, napadači su se prilagodili. Organizacije sada šalju podatke o klijentima, finansijske logove, HR informacije, pravni sadržaj i zdravstvene dosijee kroz SaaS alate. Udaranje na jednu platformu donosi dosijee od mnogih klijenata. Matematika nagrađuje napad na platforme umesto na pojedinačne organizacije.
Broj od 300% nije skok u kriminalu. On označava strukturalnu promenu u tome kuda napadi idu.
Zero-knowledge anonimizacija kao rešenje
Rešenje počinje jednom promenom u razmišljanju. Ako svaka platforma može biti napadnuta — a rekord iz 2024. to dokazuje — onda nijedna platforma ne bi trebalo da prima lične podatke vaših klijenata u čitljivom obliku.
Zero-knowledge anonimizacija pre otpremanja potpuno menja rizik od proboja. Kada napadači udare na platformu koja čuva sadržaj obrađen po zero-knowledge principu:
- Napadači dobijaju anonimizovane zapise bez čitljivih identifikatora klijenata
- Nije potrebno obaveštavanje subjekata jer nisu izloženi lični podaci
- Ne traži se postupak zajedničke odgovornosti po GDPR članu 82
- Iz proboja ne sledi regulatorna istraga
Napad pogađa platformu. Ne dostiže vaše klijente. Njihovi lični podaci nikada nisu stigli na servere platforme u čitljivom obliku.
Ovo nije teorija. To je jednostavna činjenica: nema zapisa za krađu jer nijedan nije poslat u čitljivom obliku. FAQ pokriva uobičajena pitanja o zero-knowledge anonimizaciji. Naša stranica o cenama pokazuje šta ova zaštita košta u većem obimu.
Skok od 300% menja računicu rizika. Provera bezbednosne pozicije dobavljača i uslova ugovora znači kladiti se da vaš dobavljač neće biti sledeći naslov u novinama. Zero-knowledge anonimizacija uklanja tu okladu.
Izvori
- Obsidian Security 2025 SaaS Security Threat Report — skok od 300% — VERIFIED-EXTERNAL
- BusinessWire: Obsidian Security saopštenje za štampu — godišnji skok od 300% — VERIFIED-EXTERNAL
- GDPR član 28: Obrađivač — VERIFIED
- GDPR član 82: Pravo na naknadu štete — VERIFIED