Pertahanan digital perusahaan biasanya berfokus pada jaringan sendiri. Namun aplikasi modern dibangun dari layanan, pustaka, dan pembaruan yang berasal dari banyak pihak. Satu celah pada pemasok dapat melewati lapisan keamanan yang mahal.
Penyerang memahami efek pengganda itu. Mereka menargetkan penyedia dengan sumber daya terbatas tetapi akses luas, lalu menggunakan hubungan tepercaya untuk bergerak ke pelanggan yang lebih besar.
Kontrak menjadi alat pertahanan
Tim keamanan mulai terlibat lebih awal dalam pengadaan. Mereka meminta hak audit, batas waktu pelaporan insiden, serta bukti bahwa vendor dapat memisahkan data pelanggan dan mencabut akses dengan cepat.
Persyaratan tersebut tidak banyak berarti tanpa pengujian. Latihan pemulihan yang melibatkan vendor menunjukkan apakah nomor kontak, cadangan data, dan tanggung jawab benar-benar bekerja saat tekanan meningkat.
Perusahaan tidak dapat mengalihkan risiko hanya dengan menuliskannya di dalam kontrak.
Mengenali apa yang terpasang
Banyak organisasi belum memiliki daftar lengkap komponen perangkat lunak yang mereka gunakan. Tanpa inventaris, tim tidak dapat menjawab dengan cepat apakah kerentanan baru memengaruhi sistem penting.
Keamanan rantai pasok pada akhirnya adalah disiplin operasional: mengetahui ketergantungan, membatasi akses, dan berlatih memutus hubungan ketika kepercayaan tidak lagi dapat diasumsikan.