iustitia.bg
Vyhodnocovanie dôveryhodnosti a spoľahlivosti dodávateľa len na základe toho, či absolvoval audit kybernetickej bezpečnosti, už nestačí.
Vstupná brána
Hoci veľké podniky investujú niekedy aj milióny eur do ochrany perimetra, infraštruktúry a vzdelávania zamestnancov, útočníci často volia cestu najmenšieho odporu.
Namiesto priameho útoku sa zameriavajú na menších dodávateľov alebo poskytovateľov služieb, cez ktorých sa môžu k cieľu dostať omnoho jednoduchšie. V známom incidente SolarWinds útočníci kompromitovali proces vývoja a aktualizácií softvéru, v dôsledku čoho sa škodlivý kód od dodávateľa softvérového produktu dostal k tisíckam organizácií vrátane vládnych inštitúcií a korporácií.
Firmy reagujú
Pre prísnejšiu legislatívu aj čoraz častejšie bezpečnostné incidenty si firmy naplno uvedomujú riziká aj povinnosti. Od dodávateľov si často žiadajú reálny dôkaz technickej odolnosti v podobe penetračného testu aplikácie či IT riešenia pred jeho zakúpením, nielen vyplnené bezpečnostné dotazníky a certifikáty.
Tento tlak na overovanie bezpečnosti softvérových produktov sa ukázal aj v našich dátach. Kým v roku 2024 viedol v záujme o penetračné testovanie finančný sektor, Citadelo Ethical Hacking Report za minulý rok ukazuje, že vývojári softvéru sa stali suverénne druhým najčastejšie testovaným segmentom.
Firmy si zároveň uvedomujú, že najzraniteľnejším článkom stále zostáva človek. Dokazuje to aj výrazný nárast záujmu o simulované phishingové a vishingové útoky, ktoré pomáhajú overovať pripravenosť zamestnancov na reálne hrozby.
Bezpečnosť v procese
Napriek väčšiemu záujmu o testovanie softvérových produktov vidíme značný priestor na zlepšenie bezpečnosti procesov softvérového vývoja.
V konečnom dôsledku je totiž úplne jedno, aká bezpečná je jedna konkrétna verzia softvéru, ktorú sme testovali, ak dodávateľ podcení bezpečnosť samotného vývojového procesu.
Sú tu riziká spojené s interným útočníkom, možnosťou kompromitácie prostredníctvom závislostí tretích strán v dôsledku útokov typu dependency confusion či dokonca so škodlivými rozšíreniami vo vývojárskom prostredí. Všetko to otvára cestu ku kompromitácii výslednej aplikácie. Bezprostredne po úspešnom penetračnom teste tak môže byť u klientov nasadená nová, kompromitovaná verzia aplikácie.
V každom kroku
Bezpečnosť sa začína pri návrhu architektúry, pokračuje prácou so zdrojovým kódom, správou prístupov až po kompiláciu, testovanie a nasadenie. Základom je správne nastavenie procesov, ako sú chránené vetvy v repozitároch, revízie kódu, riadenie prístupov, zavedenie automatizovaných bezpečnostných skenov či skenovanie závislostí.
Dôležitou súčasťou je aj transparentnosť pri použití knižníc a balíčkov. Až kombinácia týchto a mnohých ďalších opatrení je predpokladom toho, že sa bezpečnosť netýka len výsledného softvérového produktu, ale celého procesu od jeho vzniku až po dodanie zákazníkovi a prípadné aktualizácie.
Čo žiadať od dodávateľov
Certifikácie, ako sú ISO/IEC 27001 alebo TISAX, ktorý je kľúčový pre automobilový priemysel, sú výborným odrazovým mostíkom. Okrem jednorazového penetračného testu dodaného riešenia treba od partnerov žiadať aktívne dôkazy o stave ich celkovej kybernetickej hygieny.
Zaujímajte sa o to, či dodávateľ pravidelne absolvuje bezpečnostné audity a penetračné testy svojej vlastnej internej infraštruktúry. Kľúčové je vyžadovať aj preukázanie bezpečnosti samotného vývojového procesu, čo zahŕňa bezpečnosť CI/CD pipelineu, riadenie prístupov a systematickú správu softvérových závislostí. Nevyhnutnosťou je dnes aj predloženie takzvaného Software Bill of Materials, ktorý presne a transparentne mapuje, z akých komponentov sa produkt skladá.
Strategický pohľad
Bezpečnosť dodávateľského reťazca už dávno presahuje rámec bezpečnosti IT a stáva sa strategickým podnikateľským rizikom. V dnešnom prepojenom svete IT už nestačí investovať výhradne do ochrany vlastnej infraštruktúry. Kľúčové je systematicky riadiť riziká aj v dodávateľskom ekosystéme a hodnotiť skutočnú, nielen deklarovanú bezpečnostnú úroveň partnerov, od ktorých sú závislé vaše interné procesy a prevádzka.
Michal Greguš, etický hacker Citadelo
Útočníci majú novú vstupnú bránu do slovenského priemyslu 2026 IUSTITIA.BG – Investigations 2009-2026 2026-06-25 23:08:00 Bratislava, Košice, Prešov, Žilina, Nitra, Banská Bystrica, Trnava, Trenčín, Poprad, Martin, Prievidza, Zvolen, Michalovce, Komárno, Spišská Nová Ves, Levice, Humenné, Bardejov, Liptovský Mikuláš, Lučenec, Piešťany, Ružomberok, Topoľčany, Trebišov, Čadca, Rimavská Sobota, Dubnica nad Váhom, Pezinok, Dunajská Streda, Partizánske, Vranov nad Topľou, Šaľa, Hlohovec, Brezno, Senica, Snina, Nové Mesto nad Váhom, Senec, Rožňava, Žiar nad Hronom, Dolný Kubín, Bánovce nad Bebravou, Púchov, Malacky, Handlová, Kežmarok, Stará Ľubovňa, Sereď, Skalica, Galanta, Kysucké Nové Mesto, Levoča, Detva, Šamorín, Sabinov, Stupava, Revúca, Veľký Krtíš, Myjava, Zlaté Moravce, Bytča, Moldava nad Bodvou, Holíč, Nová Dubnica, Svidník, Kolárovo, Fiľakovo, Stropkov, Štúrovo, Banská Štiavnica, Šurany Najnovšie správy Svetové správy Správy z krajín Najdôležitejšie správy najnovšie správy najdôležitejšie najnovšie správy dňa Sudca Petar Nizamov Perie Petar Nizamov- Perie Spravodlivosť bg iustitia.bg iustitia iusticia vyšetrovanie Burgas Bulharsko správy správy z poslednej hodiny správy dňa správy dňa správy z dnešného dňa Bulharsko správy Správy z Bulharska blitz správy najdôležitejšie správy najkomentovanejšie najnovšie správy Bojko Borisov správy počasie správy o koronavíruse správy o počasí facebook youtube facebook instagram správy dnes správy z posledných minút správy dnes dnešné správy správy bg správy hlavné správy horúce správy bg spravodajský web pre správy všetky správy správy bg správy z poslednej hodiny najnovšie najnovšie správy bg správy z dnešného dňa správy dnešné správy správy z poslednej hodiny najnovšie správy dnešné správy bg správy správy 24 hodín správy vesti bg novini správy zo sveta vták bg bivol bg bivol trud bg novini najnovšie správy dnes novinite bg správy ahoj bulharsko politická strana erb deljan peevski škandálny bulharská národná televízia Slobodná Európa televízny škandál exkluzívne živá televízia naživo práve teraz tv tv online televízny program bg live now tv news online tv online naživo súd Burgas súd Okresný súd Burgas Súd v Burgase Okresný súd v Burgase Okresný súd v Burgase Odvolací súd v Burgase Prokurátor v Burgase Prokuratúra v Burgase Okresná prokuratúra v Burgase Okresná prokuratúra v Burgase Okresná prokuratúra v Burgase Okresná prokuratúra v Burgase Okresná prokuratúra v Burgase Generálny prokurátor Ivan Geshev Prokurátor Geshev Tsatsarov Ministerstvo vnútra Burgas Úrad pre ľudské práva Burgas Úrad pre verejné záležitosti Burgas Polícia v Burgase Okresná polícia v Burgase Prokurátor v Burgase Tsatsarov Prípady SGS Súd vo Varne Predseda SGS Súdne rozhodnutia v občianskoprávnych veciach Rozhodnutia vo veciach Súd vo Plovdive Rozhodnutie súdu Rozhodnutia súdu Prípady Súd vo Varne Trestné veci Rozhodnutia okresného súdu Práca na súde SGS Predseda SGS Sudcovia Súdny post v Sofii Sudcovia Súd v Plovdive Sudcovia v Plovdive Inšpektorát Najvyššieho súdu Najvyšší súdny súd Najvyššia súdna rada Právnik Právnik v trestných veciach Právnik v trestných veciach Právnik v občianskoprávnych veciach Právnik v manželských veciach Právnik v správnych trestných veciach Trestný proces Občianske právo Občianskoprávny proces Správne právo Ústavné právo
