Welche Form von Zugriff das Team des Drittanbieters auf Kundensysteme und -daten hat und wie dieser segmentiert und abgesichert ist, sollten Sicherheitsentscheider nach Meinung von Casey Corcoran, Field CISO beim Managed-Service-Anbieter Stratascale, unbedingt erfragen. “Achten Sie darauf, dass dieser Zugriff protokolliert sowie überwacht wird – und bei Bedarf sofort widerrufen werden kann.”
Zudem sollten Sicherheitsverantwortliche dabei die richtigen Aspekte ins Auge fassen, wie John Alford, CSO bei der Unternehmensberatung TeraType, betont: “Viele Kunden konzentrieren sich auf Firewalls, Endpunkt-Agenten und MFA – übersehen dabei aber die Trust-Pfade, die Angreifer bevorzugt nutzen: Helpdesk-Workflows, OAuth-Integrationen, Lieferanten-Support-Portale und Automatisierungs-Konnektoren.”
Alford empfiehlt seinen Berufskollegen außerdem, auf streng definierte Rollenbereiche, mehrstufige Verifizierungen sowie Approval Chains für den Reset von Anmeldedaten zu achten. “Ist nichts davon vorhanden, deutet das auf blinde Flecken hin, die sich nachträglich nicht beseitigen lassen.”