Ki felel a beszállítói hozzáférésekért az ipari rendszerekben?

Valahol az Önök infrastruktúrájában is lehet egy karbantartó, aki még mindig rendelkezik azokkal a hozzáférési adatokkal, amelyeket egy 2024-es üzembe helyezési munkához kapott. A munka már befejeződött, a hozzáférés azonban megmaradt. Senki sem figyeli az adott munkamenetet.

Az Industrial Cyber által ismertetett felmérés 2026. október 8-án számszerűsítette, mennyire elterjedt ez a probléma. A Claroty 16 iparág 2000 üzleti és technológiai vezetőjének bevonásával végzett globális kutatása szerint a válaszadók 58%-a tapasztalt az előző 12 hónapban az operatív környezetet érintő kibertámadást. A leggyakoribb következmény a működés leállása volt (43%), ezt követték a biztonsági incidensek (40%). A biztonsági vezetők figyelmét azonban egy később közölt adatnak kell igazán felkeltenie: a válaszadók háromnegyede számolt be olyan incidensről, amely hatással volt a működésre, és harmadik fél hozzáférésével is összefüggött. Eközben csaknem felük elismerte, hogy a külső beszállítói kapcsolataikat csak részben vagy egyáltalán nem ellenőrzik.

A hír hallatán kézenfekvő reakció lehet az OT-környezetekben alkalmazott fenyegetésészlelés fejlesztése, a hálózati szegmentáció szigorítása vagy egy újabb biztonsági eszköz bevezetése. Ezekre adott esetben valóban szükség lehet. A középvállalatok számára azonban egy szűkebb fókuszú következtetés sokkal hasznosabb: az operatív környezetekhez biztosított távoli hozzáférést gyakran csupán a beszállítók kezelésének mellékes kérdéseként kezelik, a felmérés pedig most számszerűsítette ennek az elhanyagolásnak az árát.

A válaszadóknak mindössze 16%-a nyilatkozott úgy, hogy az IT-biztonság és az operatív rendszerek biztonsága teljes mértékben integrált. Középvállalati környezetben ez a szétválasztottság jelenti a probléma lényegét. Azt, hogy melyik beszállító rendelkezik VPN-hozzáféréssel az épületfelügyeleti rendszerhez, gyakran nem a biztonsági részleg, hanem egy létesítményüzemeltetési vagy műszaki vezető tudja. A jóváhagyások e-mailben vagy telefonon történnek, ha egyáltalán sor kerül rájuk. A hozzáféréseket akkor vizsgálják felül, amikor valami meghibásodik. Amikor pedig egy ügyfél kérdőívében arra kérdeznek rá, hogy mely külső partnerek érhetik el az éles üzemi rendszereket, a választ emlékezetből és a legutóbbi számlázási adatok alapján állítják össze. A felmérésben szereplő 49%-os arány a gyakorlatban pontosan így jelenik meg egyetlen szervezet működésében.

A külső hozzáféréseket leltározni kell, nem feltételezésekre hagyatkozni

A megfelelően irányított infrastruktúrának három olyan jellemzője van, amely az alkalomszerűen biztosított beszállítói hozzáférésekből gyakran hiányzik: van kijelölt felelőse, naprakész nyilvántartása, és rendszeresen felülvizsgálják. Az operatív rendszerekhez biztosított távoli hozzáférések szabályozása sokszor egy kézzel összeállított leltárral kezdődik. Ha a beszállítói kapcsolatok listájának elkészítéséhez három különböző munkatársat kell megkérdezni, majd egy hetet várni a válaszokra, akkor máris kézzelfoghatóvá válik a probléma.

Minden egyes kapcsolat esetében egyszerű kérdéseket kell feltenni. Ki hozta létre a fiókot? Mely eszközökhöz vagy rendszerekhez biztosít hozzáférést? Ki felel a vállalaton belül a beszállítóval való kapcsolatért? Mi az a minimális jogosultsági szint, amelyre valóban szükség van? Naplózzák vagy rögzítik a munkamenetet, illetve legalább időkorláthoz kötik? Mikor jár le a hozzáférés?

Az utolsó kérdés árulja el a legtöbbet. Az operatív környezetekben gyakori, hogy a folyamatosan aktív hozzáférések egy befejezett üzembe helyezési projekt után is érvényben maradnak.

Egy virtuális CISO-szolgáltatás segíthet abban, hogy az időszakos, kapkodó intézkedéseket naprakészen vezetett nyilvántartás és rendszeres felülvizsgálati folyamat váltsa fel, amelyről a vállalat vezetése is átlátható képet kap. Ez különösen fontos ott, ahol nincs saját információbiztonsági vezető, hiszen ilyen esetben a felelősség könnyen gazdátlanná válik. Kijelölt felelős nélkül a lejárt beszállítói hozzáférések egyszerűen érvényben maradnak mindaddig, amíg valaki egy incidens során fel nem fedezi őket.

A rendszeres felülvizsgálat maga a kontroll

A Claroty jelentése szerint egy szervezetnél átlagosan három, harmadik fél hozzáféréséhez köthető operatív incidens történt. Ez arra utal, hogy nem egyszeri problémáról, hanem folyamatosan fennálló kockázatról van szó: túl sok állandó hozzáférés, túl kevés átláthatóság és olyan felülvizsgálati folyamat, amely csak azután indul el, hogy már megtörtént a baj.

Ezen egy negyedéves felülvizsgálat érdemben változtathat. A folyamatot ne pusztán a naptári negyedévekhez, hanem a szerződések lejáratához is kössék. Ha egy karbantartási szerződés megszűnik, a hozzáférésnek is meg kell szűnnie. Ha egy mérnök kilép a beszállító cégétől, a közös használatú fiókja nem maradhat aktív. A felülvizsgálatnak elég rövidnek és áttekinthetőnek kell lennie ahhoz, hogy egyetlen sorban a vezetői beszámolóba is bekerülhessen: hány beszállítói kapcsolat létezik, ezek közül mennyi aktív, hányhoz tartozik kijelölt felelős, és hány hozzáférést szüntettek meg az adott negyedévben.

A kiberbiztosítási kockázatértékelés során is egyre hangsúlyosabbá válik ez a terület. A felmérés közvetlen kapcsolatot mutat a nem ellenőrzött külső hozzáférések és azon kontrollok között, amelyeket a biztosítók vizsgálnak. A szükséges intézkedések igazolásához nincs feltétlenül szükség külön szabályozási hivatkozásra: a biztosítás megújításakor a kérdés úgyis előkerül. Ha a válasz az, hogy a felügyelet csak részleges, az ma már számszerűsíthető kockázat, amelynek vállalása egyre költségesebbé válhat.

A vállalat biztonsági helyzete egy pontozásos önértékeléssel is felmérhető még azelőtt, hogy a téma a vezetőség elé kerülne, de a nyilvántartás az a kézzelfogható dokumentum, amely valóban megváltoztatja a megbeszélés menetét. A vezetőség egészen másként reagál egy olyan táblázatra, amely felsorolja az összes aktív beszállítói kapcsolatot, a hozzájuk rendelt felelősöket és a lejárati dátumokat, mint egy általános kijelentésre, miszerint a vállalat kezeli a harmadik felek jelentette kockázatokat.

Az éles üzemi folyamatokat támogató beszállítók aligha fognak maguktól hozzáférés-felülvizsgálatot kezdeményezni, különösen akkor, ha a saját mérnökük már a következő munkán dolgozik. Ha a vállalaton belül senki sem felel a nyilvántartásért, akkor végül az állítja össze a listát, aki még mindig be van jelentkezve a rendszerbe.