主要ベンダーが不特定の影響で妥協を余儀なくされた場合、私は何を見るべきですか？
ここで私が念頭に置いている具体的な例は 2011年3月のRSAの違反 であり、RSAトークンの疑似乱数を生成するために使用されるシード情報である可能性のある重要な情報を攻撃者は回避しました。
RSAは実際の詳細については非常に静かにしています。そのため、私が組織のセキュリティを担当していた場合、最悪のシナリオから保護するために何ができますか？どうすれば最悪のケースが何であるかを知ることができますか？
あなたのセキュリティベンダーが透明性からかけ離れているという事実は、すでにかなり悪いシナリオです。
ベンダーがセキュリティの詳細を秘密にしている場合-インシデントの詳細であれ、製品自体のセキュリティ内部（または少なくともセキュリティの証明、たとえば暗号アルゴリズム）であれ、これは固有のリスクです。組織のセキュリティ体制全体。
さて、特定の状況ではacceptリスクは正当ですが、このようなリスク（セキュリティアーキテクチャ全体がサードパーティに依存しているため、信頼されているかどうかにかかわらず）は受け入れるべきではありません。軽く。
ベンダーが重要な情報を差し控える方向に傾くようになり、顧客がスマートな選択をするのをサポートするのではなく、リスク受け入れの決定が少しあいまいになり始めていると私は言うでしょう。
その結果、私がその立場にあった場合（そして予算、時間、政治などの制約を無視した場合）、インフラストラクチャの重要な部分を提供するすべてのベンダーとの関係を再評価します。これは実際の影響とは無関係であることに注意してください。影響が大きい欠陥は（ほとんどの場合）誰でも起こります-重要な部分は、どのように対処するかを選択することです。
私の意見では、この場合、彼らがそれに対処した（またはしなかった）方法は、上記のリスクの受け入れを有効にするために必要な信頼関係を理解していないことを示しています。少なくとも、ペナルティ条項を備えた厳密なSLAを介して、ベンダー関係をリスクの1つに変更することを検討する場合がありますtransferranceではなく、受け入れます。
そして、この特定のケースでは？
まあ、この取引が分類されるまで認証メカニズム全体を切り替えることは実際には不可能であると仮定すると、ログインでより多くのログをアクティブ化することを除いて、他にできることはほとんどありません。実行し、通常はユーザーのアクセスを最小限に抑えようとします...
使用しているシステムでベンダーが妥協し、システムへの妥協の影響について十分な詳細を提供することを拒否した場合、探すべきことは...新しいベンダーです。
最悪の場合のシナリオは、セキュリティシステムが使用されていたすべての完全な故障です。例えば。認証システムでは、攻撃者は自分が望む偽のIDで自分自身を認証するのに十分知っており、有効なユーザーの認証を妨害したり、認証プロセスを妨害したり認証プロセスを妨害したりする可能性がありますサーバーが誤ったIDで透過的に認証するようにします。
この質問は本当にリスク管理に戻ります。私は、情報セキュリティ管理から派生したリスク管理についても話していません。
プロジェクト管理のリスク管理について話している。多くの企業がPMO（プロジェクト管理オフィス）を持っていますが、プロジェクトリスクの専門家がいる企業はほとんどありません。
RSA SecurIDなどのベンダーの製品にID管理をアウトソーシングするなど、プロジェクトを詳細に検討すると、プロジェクトのリスク管理者は「この単一ベンダーのソリューションにどれだけのコストを投入すべきか」と言います。 -セキュリティの観点からではなく、単に「ビジネスの運営」の観点から。
私の考えでは、大企業が製品を購入して展開するとき（これはアウトソーシングやSaaSを含むクラウドコンピューティングにも適用されます）、すべての卵を1つのバスケットに入れないという考えがあります。プライマリベンダーがなくなった場合、セカンダリベンダーまたはターシャリベンダーに簡単に移行できますか？
計画を立てるときは、プロバイダー/ベンダーをパーセンテージに分割してオーバーフィルすることを検討するのは簡単です。社内に100％のソリューションがある場合は、20％のギャップを埋める外部ソリューションを1つ追加することを検討してください。次に、別のプロバイダーを追加して、さらに20パーセント（40パーセントの外部ソリューション）を提供します。パフォーマンスアカウンティング（およびおそらく財務アカウンティング）の分析と、その製品に関する独自の内部監査パフォーマンスおよびビジネスメトリックスを分析した後、2つのプロバイダーのうち最も価値のあるプロバイダーを特定します。
1つのソリューションが突出している場合-別の20％をタップし、別の期間（6シグマのサイクルまたは反復）で問題なく動作する場合は、最後の20％を追加します。次に、2つのプロバイダーがあります。1つは20％、もう1つは60％です（20％はまだ社内にあります）。最後の動きとして、3番目のプロバイダー/ベンダーソリューションを20％で追加します（完全に外部委託されたソリューションの場合）。ただし、特定の期間が必要な場合は、20％のソリューションにフォールバックする能力を維持します。彼らのパフォーマンスをご覧ください。 2番目と3番目のプロバイダーの使用-いずれかのプロバイダーが試用実行中に（最初のプロバイダーが行ったように）さらに20％引き継げるかどうかを確認します。問題が解決しない場合は、プライマリプロバイダーを40％に下げ、セカンダリまたはターシャリプロバイダーが一定期間その追加の20％を引き継ぐという障害シナリオを実行します。メトリックと6つのシグマツールを使用して、セカンダリプロバイダーとターシャリプロバイダーのパフォーマンスを分析し、プライマリプロバイダーが失敗した場合は数値をシフトします。
長期的には、あるソリューションポイントから別のソリューションポイントにすばやく移動でき、場合によっては社内ソリューションに戻ることもできます。これは、情報セキュリティ管理、リスク管理、または災害復旧/ビジネスプロセスの運用だけではありません。それは良いプロジェクト管理の実践です！
他の誰かがもっと良い答えを私は確信していると思いますが、最悪の場合、すべてのトークンの即時の取り消しと、トークンが保護に使用されたすべてのシステムの監査が必要になると思います。
最悪のシナリオは、ビジネスごとに、ビジネスごとに定義する必要があると思います。