Upravljanje rizikom trećih strana – zvuči kao nešto što radiš kad ti se pokvari server u tri...

Trideset godina u IT-u naučilo me jedno: ljudi će uvijek misliti da je problem u njihovom kodu, dok je istina da je problem u vendoru koji šalje podatke preko HTTP-a jer im je "tako lakše". I sad dolaze pametne kompanije s TPRM rješenjima – treća strana upravljanje rizikom, za one koji vole akronime – i prodaju ti mir. Koji kurac.

Jer evo u čemu je fora: svaka kompanija danas ima sto vendora. SaaS za mail, SaaS za projekte, SaaS za razgovor s drugim SaaS-om, i jedan startup koji ti je obećao da će ti smanjiti broj SaaS-ova za 30 posto, a sad ti prodaje svoj SaaS. I svi ti vendor imaju pristup tvojim podacima. I svi su potpisali NDA. I svi su sigurni. Dok jedan od njih nije.

Prošle godine je jedan od najvećih hakerških napada u povijesti došao preko vendora za klimatizaciju. Nije bilo ništa sofisticirano – netko je hakirao termostat, ušao u mrežu i izvukao podatke o tri milijuna korisnika. A ti misliš da je tvoj problem u firewallu. Pas mater.

TPRM industrija je procvjetala jer su kompanije shvatile da ne mogu vjerovati nikome. I to je istina. Ali evo što je ironično: prodavači TPRM rješenja su i sami vendor. I oni imaju pristup tvojim podacima. I oni su potpisali NDA. I oni su sigurni. Dok jedan od njih nije.

Čitam brojke – tržište TPRM-a vrijedi milijarde. I svaka velika kompanija ga kupuje. Jer je jeftinije platiti rješenje nego platiti odštetu kad ti procuri baza korisnika. Logika je besprijekorna – kao i uvijek kad je u pitanju minimiziranje štete umjesto sprječavanja problema.

Ali ono što me najviše zabavlja je narativ. "Leading enterprises choose Vanta as their TPRM solution." Naravno da biraju. Jer Vanta je postala standard. Ne zato što je najbolja, nego zato što je prva koja je dobila certifikate koje revizori traže. I sad svi moraju imati Vantu, jer ako nemaš Vantu, revizor ti kaže da nisi siguran. I tako smo opet izumili kotač – ovaj put s mjesečnom pretplatom i uvjetima korištenja od 47 stranica.

Jer u svijetu u kojem je sve postalo usluga, i sigurnost je postala usluga. Platiš, dobiješ dashboard, dashboard ti kaže da si siguran, i ti ideš doma sretan. Dok netko ne hakira dashboard.

Nije da sam protiv TPRM-a. Dapače, mislim da je nužan. Ali ono što me živcira je lažni osjećaj sigurnosti. Ljudi misle da su riješili problem jer su instalirali alat. A alat je samo alat. I dalje moraš provjeravati vendore. I dalje moraš čitati ugovore. I dalje moraš imati nekoga tko razumije što piše u tim ugovorima.

A to je, naravno, najveći problem. Jer većina ljudi koji kupuju TPRM rješenja ne znaju što rade. Oni kupuju mir. I to je u redu – dok ne shvate da mir košta više od problema.

Sjećam se devedesetih, kad smo postavljali Kvarner Net. Nije bilo TPRM-a. Nije bilo certifikata. Bili smo mi, server u ormaru i povjerenje da ćeš održati riječ. Danas ti treba ISO 27001, SOC 2, GDPR compliance, i još deset akronima da bi netko povjerovao da nećeš prodati njegove podatke. A prodaješ ih ionako, samo legalno.

I zato, dok velike kompanije biraju Vantu kao svoje TPRM rješenje, ja ću sjediti sa svojim Negronijem i gledati kako se vrti taj film. Jer u tech industriji jedina konstanta je sposobnost ljudi da budu iznenađeni očekivanim. Vendor ti je procurao? Iznenađenje. Nisi provjerio vendora? Iznenađenje. Platio si rješenje koje ti je obećalo da se to neće dogoditi? Iznenađenje.

Budućnost je stigla. Donijela je račun.

Izvor: tech.eu