Secure by Design v praxi: Co si ověřit před nákupem firemního softwaru

Když firma vybírá nový software, typicky řeší cenu, funkce, kompatibilitu nebo rychlost nasazení. Otázka bezpečnosti často přijde na řadu až později – někdy dokonce až ve chvíli, kdy už aplikace běží v infrastruktuře, pracuje s firemními daty a propojuje se s dalšími systémy. Jenže to už bývá na zásadní otázky pozdě.

Oblíbenou praxí útočníků je dnes princip, kdy neútočí na vybranou oběť (firmu) přímo, ale skrze její dodavatelský řetězec. A software je v tomto řetězci jedním z nejcitlivějších vstupních bodů. Stačí špatně zabezpečená cloudová služba, neřešená zranitelnost nebo nedostatečně řízené aktualizace a problém jednoho dodavatele se rychle přenese i do prostředí zákazníka.

Zásadní je prověřit dodavatele

Při výběru softwarového řešení od externího dodavatele je tedy nutné tohoto dodavatele důkladně prověřit, a to i když patří mezi na první pohled důvěryhodné společnosti. Firma by si měla zjistit, jak dodavatel přistupuje ke správě zranitelností, jak pracuje napříč životním cyklem softwaru s aktualizacemi, jak reaguje na bezpečnostní incidenty nebo jaká je architektura práce s daty.

V každé této oblasti existují otázky a odpovědi na ně pomohou odhalit, jak si vlastně v dané věci dodavatel vede.

Správa zranitelností

Důležitý není jen počet zranitelností, ale hlavně rychlost a transparentnost reakce. Dodavatel, který otevřeně komunikuje chyby a vydává bezpečnostní advisories, může být ve výsledku bezpečnější než ten, u kterého „nikdy žádný problém nebyl“. Často totiž nejde o absenci problémů, ale o absenci viditelnosti.

Důležité otázky:

• Jak dodavatel přijímá hlášení zranitelností?
• Má veřejný vulnerability disclosure program?
• Jak rychle chyby opravuje? 
• Jak komunikuje kritické bezpečnostní problémy?
• Existuje historie opakovaných incidentů bez reakce?

Aktualizace a životní cyklus produktu

Mnoho firem řeší aktualizace až ve chvíli, kdy něco přestane fungovat. Jenže právě způsob distribuce aktualizací výrazně ovlivňuje bezpečnost. Velké riziko představují zejména produkty bez jasně definované správy životního cyklu. Firma pak často zjistí až zpětně, že používá software bez podpory a bez bezpečnostních oprav.

Důležité otázky:

• Jak často dodavatel vydává bezpečnostní aktualizace? 
• Jak rychle reaguje na kritické chyby?
• Existuje dlouhodobá podpora verzí? 
• Jak probíhá testování aktualizací? 
• Umí zákazník odložit update? 
• A co se stane po ukončení podpory produktu? 

Incident response

Bezpečnostní incident nemusí znamenat selhání dodavatele. Důležité je, jak reaguje. V praxi totiž často nerozhoduje samotný útok, ale chaos po něm. Firmy potřebují vědět, kdo rozhoduje, kdo komunikuje a jak rychle dostanou relevantní informace. Dodavatel, který nemá definovaný incident response proces, může při reálném problému situaci výrazně zhoršit.

Důležité otázky:

• Kdo incident řeší?
• Jak probíhá komunikace se zákazníky?
• Existují SLA pro bezpečnostní incidenty?
• Jak rychle se zákazník dozví o kompromitaci?
• Má dodavatel připravený krizový plán? 

Architektura a práce s daty

Ne každá firma potřebuje detailní technický audit produktu, ale základní architekturu by měl dodavatel umět vysvětlit. Software totiž může být technicky kvalitní, pokud však například umožňuje příliš široká oprávnění administrátorů nebo neodděluje zákaznická data, riziko výrazně roste. Právě práce s identitami a oprávněními dnes často rozhoduje o rozsahu incidentu.

Důležité otázky:

• Kde jsou data uložena? 
• Kdo k nim má přístup?
• Jaké šifrování řešení používá?
• Podporuje MFA a SSO (Single Sign-On)?
• Jak řeší privilegované účty?

Bezpečný neznamená bez chyb

Jednu z cest k bezpečnému softwaru představuje princip Secure by Design. Ten podporují například agentury CISA, NIST nebo evropské regulatorní rámce včetně NIS2 a Cyber Resilience Act. Jde o přístup, kdy bezpečnost není doplňkem přidaným na konci, ale součástí návrhu, vývoje i správy produktu od samého začátku. A je jedno, zda řešení vyvíjí firma vlastními silami, nechává si ho na míru ušít dodavatelem, nebo kupuje hotový software.

Z praktického hlediska je pak důležité, že daný software neobsahuje jen základní bezpečnostní funkce, ale minimalizuje rizika už při návrhu, při jeho vývoji se počítá s bezpečnostním testováním, dodavatel aktivně spravuje zranitelnosti, aktualizace mají jasný proces a bezpečnostní incidenty mají definovaný postup řešení.

Pro firmy to znamená zásadní změnu pohledu: Nestačí poslouchat, co dodavatel o bezpečnosti tvrdí. Důležité je ověřit, jak software skutečně vzniká, jak se spravuje a jak dodavatel reaguje ve chvíli, kdy se něco pokazí.

8 zásad principu Secure by Design

1. Modelování hrozeb: Pomáhá stanovit bezpečnostní priority a soustředit se na největší rizika už při přípravě softwaru.
   
2. Posun bezpečnosti směrem k raným fázím vývoje: Přístup známý také jako „shift security left“ zajišťuje, že bezpečnost je při vývoji jednou z priorit.
   
3. Ochrana dat: Je nutná v celém životním cyklu dat, tedy při jejich ukládání i přenosu, důležité jsou šifrování a důsledná práce s oprávněními.
   
4. Security as Code (SaC): Pomáhá včasnému odhalení zranitelností v kódu, zahrnuje automatizaci bezpečnostních kontrol a testů v rámci vývoje.
   
5. Postupy bezpečného kódování: Základem jsou ověřování vstupů, kódování výstupů, práce s chybami, správa výjimek a šifrování.
   
6. Hloubková obrana: Spočívá v implementaci překrývajících se obranných systémů a postupů, což snižuje pravděpodobnost narušení.
   
7. Bezpečná konfigurace: Základem jsou standardizovaná bezpečná výchozí nastavení, práce s řízením přístupů a zajištění včasných aktualizací.
   
8. Princip nejnižších oprávnění: Uživatelé by měli mít ta nejnižší možná oprávnění, která jim umožňují provádět jejich úkoly.

Zdroj: Check Point

Secure by Design neznamená, že software nikdy nebude obsahovat chybu. Takový software neexistuje. Bezpečný software počítá s tím, že chyby jednou přijdou, a má připravené procesy, jak jejich dopady minimalizovat.

To jsou věci, které často nejsou na první pohled vidět. Firma je nepozná z produktového letáku ani z obchodní prezentace. Musí se na ně cíleně ptát.

Software jako nechtěná brána do firmy

Princip Secure by Design a otázky, které by v rámci jeho dodržování měly firmy dodavatelům klást, mění samotný proces výběru dodavatele. Bezpečnost přestává být technickým detailem, který si „nějak vyřeší IT“. Stává se součástí řízení firemního rizika. Důvod je jednoduchý: firma dnes nenese jen riziko vlastních chyb, přebírá i část rizika svých dodavatelů.

Praktický checklist pro firmy

1. Zaveďte bezpečnostní otázky do procurement procesu: Bezpečnost nesmí přijít na řadu až po výběru produktu. 
2. Vytvořte základní security checklist pro dodavatele: Například pro aktualizace, incident response nebo správu zranitelností. 
3. Zapojte IT a bezpečnost do rozhodování dřív: Ne až při implementaci. 
4. Evidujte software a cloudové služby používané ve firmě: Řada organizací dnes přesně neví, co všechno používá. 
5. Sledujte lifecycle produktů: Ať firma nepoužívá software bez podpory. 
6. Vyžadujte transparentní komunikaci incidentů: Dodavatel musí mít jasný komunikační proces. 
7. Rozlišujte kritické a běžné aplikace: Ne každý nástroj vyžaduje stejnou úroveň prověřování. 
8. U klíčových systémů si nechte poradit od specialistů: Typicky u ERP, identity managementu nebo bezpečnostních nástrojů.

Stačí se podívat na některé velké incidenty z posledních let. Útoky přes kompromitovaný software nebo aktualizační mechanismus dokázaly zasáhnout tisíce organizací najednou. V mnoha případech přitom zákazníci ani neměli šanci problém sami odhalit – software pocházel od důvěryhodného dodavatele a fungoval přesně tak, jak měl. To je důležitá změna i pro management. 

Známé velké útoky na dodavatelský řetězec softwaru

SolarWinds (2020): Při tomto útoku na dodavatelský řetězec hackeři vložili do softwaru SolarWinds škodlivý kód, díky čemuž se jim podařilo napadnout uživatele tohoto softwaru, mezi nimiž byly vládní agentury i soukromé společnosti.

OKTA (2023): Přední poskytovatel služeb v oblasti správy identit a ověřování oznámil závažný únik dat, při kterém se útočníkům podařilo získat neoprávněný přístup k soukromým údajům zákazníků prostřednictvím systému pro správu podpory.

MOVEit (2023): Nástroj pro bezpečný přenos citlivých souborů se stal terčem útoku na dodavatelský řetězec, který postihl více než 620 organizací včetně významných subjektů jako BBC a British Airways.

Daemon Tools (2026): Oblíbená aplikace pro připojování virtuálních disků obsahovala ve svém oficiálním instalačním balíčku podvodný software, který do něj vložili útočníci. Škodlivý kód se snažil vyvolat instalaci řešení pro sběr dat o daném zařízení.

Nenechte se oklamat

Na mnohé z výše uvedených otázek přitom mohou firmy najít odpovědi samy, aniž by se dodavatele musely ptát. To je důležité, protože někdy dodavatel může mít tendenci svůj obraz v odpovědích vylepšovat a odpovídat tak, jak zákazník vlastně očekává, i když realita může být odlišná.

Varovné signály

1. Dodavatel neumí popsat proces aktualizací: Není jasné, kdy a jak vznikají bezpečnostní opravy.
2. Chybí informace o správě zranitelností: Dodavatel nemá security advisory, disclosure policy ani kontaktní místo pro hlášení problémů.
3. Bezpečnostní dokumentace je čistě marketingová: Samé obecné fráze, ale žádné konkrétní procesy.
4. Produkt vyžaduje příliš široká oprávnění: Například globální administrátorský přístup bez důvodu.
5. Neexistuje jasný incident response proces: Firma neví, kdo ji bude informovat a jak rychle.
6. Dodavatel neumí říct, kde jsou uložena data: Nebo nejasně popisuje práci s daty a přístupy.
7. Historie bezpečnostních incidentů bez vysvětlení: Incident sám o sobě není problém. Rizikem je netransparentní reakce.
8. Produkt dlouhodobě nepodporuje MFA nebo auditní logy: To dnes u firemního softwaru představuje významný bezpečnostní deficit.
9. Dodavatel odmítá bezpečnostní dotazy jako „příliš technické“: Bezpečnost není detail pro vývojáře. Je to součást obchodního vztahu.
10. Dodavatel zlehčuje rizika: I marginalizace rizik, která firma vnímá, budí nedůvěru.
11. Tvrzení, že produkt je 100% bezpečný: Je to signál nepochopení reality. Bezpečnost není stav, ale proces.
12. Firma nemá interně nikoho, kdo by bezpečnost při nákupu řešil: Rizikem nemusí být jen produkt, ale i chybějící proces na straně zákazníka.

Prověření každého dodavatele přitom nemusí být náročný a zdlouhavý proces. Stačí vlastně správně nastavit procesy a postupovat podle jasně definovaných kroků a na základě jasných bezpečnostních otázek.

Jak vybrat dodavatele v oblasti kybernetické bezpečnosti? Položte jim tyto otázky

Zobrazit

Firmy dnes často investují do ochrany sítí, endpointů nebo monitoringu. To všechno je důležité. Jenže první rozhodnutí, které o bezpečnosti softwaru padne, obvykle přichází mnohem dřív – ve chvíli výběru. Právě tehdy firma rozhoduje, jaké riziko si pustí dovnitř.

Princip Secure by Design přitom není jen technická filozofie vývojářů. Je to změna pohledu na odpovědnost. Bezpečnost už neleží jen na zákazníkovi, který musí produkt „správně zabezpečit“. Stále větší část odpovědnosti nesou i samotní dodavatelé. A firmy, které se naučí jejich přístup ověřovat ještě před nákupem, získávají něco důležitějšího než další checklist. Získávají větší kontrolu nad vlastním rizikem.

Co si z článku odnést?

• Bezpečnost softwaru nezačíná až po instalaci, ale už při výběru produktu.
• Secure by Design znamená, že bezpečnost je součástí návrhu, vývoje i správy softwaru.
• Důležitější než marketingová tvrzení jsou konkrétní procesy dodavatele.
• Každý software obsahuje chyby. Rozhoduje rychlost a transparentnost reakce.
• Firmy by měly ověřovat správu zranitelností, aktualizace i incident response.
• Základní bezpečnostní prověření zvládne většina organizací nastavit interně.

Kateřina Dobrá
Marketingový specialista pro B2B

Káťa se věnuje tvorbě článků, O2 CyberCastu a newsletterů na téma kyberbezpečnosti a moderních technologií. Srozumitelně překládá složitá témata do lidské řeči, propojuje technický svět s praxí a ráda jde pod povrch věcí. Zaměřuje se na bezpečnost dat, nové technologické trendy a jejich reálný dopad na firmy i jednotlivce.