Brytyjski raport: dostawcy IT narażali dane policji na cyberataki

Opublikowany 27 października raport brytyjskiej inspekcji HMICFRS wskazuje na powtarzające się włamania do dostawców przechowujących informacje policyjne. Nową informacją są ustalenia kontroli bezpieczeństwa policji oraz straży pożarnej. Opisywane ataki miały miejsce wcześniej, w latach 2021–2025.

Co ustalili inspektorzy

Według raportu informacje o atakach przekazały Police Digital Service i National Police Chiefs’ Council. W opisywanych przypadkach naruszono środowiska zewnętrznych dostawców usług informatycznych, w których znajdowały się dane policji.

Publiczna wersja raportu nie wskazuje wszystkich poszkodowanych podmiotów, liczby włamań ani tego, czy dane zostały skradzione. Nie daje więc podstaw do ogłoszenia nowego, policzonego wycieku. Pokazuje natomiast problem z nadzorem nad informacjami przekazanymi poza własną infrastrukturę.

Kontrola objęła trzy formacje policyjne i trzy służby pożarnicze. Inspektorzy opisali brak dostatecznie solidnych procesów sprawdzania bezpieczeństwa dostawców. Weryfikacja często opierała się na deklaracjach, a umowy nie zawsze zapewniały stały nadzór. Problemy dotyczyły również dostępu do zapisów zdarzeń i terminowego powiadamiania o incydentach.

Co powinny sprawdzić organizacje

Wnioski dotyczą także firm powierzających dostawcom dane klientów, pracowników lub dokumentację operacyjną. Poniższe kroki są zaleceniami redakcyjnymi wynikającymi z opisanych braków:

• Ustalić, jakie informacje przechowuje każdy dostawca i jego podwykonawcy.
• Sprawdzić w umowach obowiązek zgłaszania incydentów oraz dostęp do dowodów potrzebnych do dochodzenia.
• Weryfikować zabezpieczenia podczas współpracy, a także po istotnych zmianach usługi.
• Określić, kto może zablokować dostęp dostawcy w sytuacji zagrożenia.
• Przećwiczyć działanie firmy podczas niedostępności zewnętrznej usługi.

Raport obejmuje brytyjskie służby publiczne. Jego zalecenia nie ustanawiają obowiązków prawnych dla polskich przedsiębiorstw, ale opisane braki mogą występować również w innych sektorach.

Komentarz SecurHUB

Ocena dostawcy powinna obejmować możliwość wykrycia i wyjaśnienia incydentu, a także zabezpieczenia opisane w dokumentach. Audyty bezpieczeństwa mogą pomóc uporządkować wymagania wobec partnerów i sprawdzić ich realizację.

Źródła: TSN, CyberWarriors Middle East, Milton Keynes Citizen