När semestern kryper runt hörnet är det inte bara konsumenter och återförsäljare som förbereder sig för säsongen. Cyberbrottslingar är på sin svans. Det är ingen hemlighet att stora konsumenthelgdagar – från Amazon Prime Day till årets slutsprint – har stora mål för hotaktörer. Prognoserna för årets Black Friday visar att onlineutgifterna når $ 13 miljarder.
Det är en lukrativ möjlighet för dåliga skådespelare.
I år står återförsäljare redan inför inflation, en förestående lågkonjunktur och hotande lagstiftning om dataskydd. De har helt enkelt inte råd med en $ 4.35 miljoner brott.
Begränsad säkerhet Ho-Ho-Ho i år?
Återförsäljare måste hålla sin säkerhetsställning högst upp i sinnet. Det innebär att implementera effektiv upptäckt och respons; hitta sårbarheter innan de frysningar av detaljhandelsförändringar inträffar som markerar den här tiden på året; hantera tredje parts risker; och se till att anställda får den utbildning de behöver.
Att hitta den svagaste länken före det galna ruset
Det är vanligt att återförsäljare implementerar hårda förändringsfrysningar en till två månader före semesterruschen genom den andra eller tredje veckan i januari. Detta förhindrar att några större systemförändringar (som påverkar konsumenternas upplevelser) implementeras under årets mest hektiska och viktigaste försäljningsdagar.
Under veckorna fram till det hårda förändringsstoppet försöker utvecklare ofta klämma in en sista förändring av kod eller infrastruktur. Denna rusning före deadline kan ibland innehålla fel, vilket gör att system som inte är korrigerade och oprövade är sårbara för attacker. Cyberbrottslingar är alltför bekanta med dessa hårda förändringsfrysningssäsonger och tar ofta tid för sina attacker under detta fönster.
Att köra statiska och dynamiska applikationssäkerhetstester (SAST och DAST) som en del av vanliga app-testprogram är de bästa sätten att identifiera sårbarheter innan den årliga koden fryser. Dessa två tester granskar ansökningar från olika håll. SAST fokuserar på mjukvarubrister som SQL-injektion, medan DAST hittar svagheter som dåliga aktörer kan utnyttja.
Återförsäljare bör fokusera testning på kritiska och högtrafikerade applikationer som betalningsgateways, inmatningsfält och till och med kärnwebbkoder.
Hålla ett öga på tredjepartsleverantörer
Tidigare i år, biltillverkaren Toyota stoppade sin produktion efter att en plast- och elektronikleverantör drabbats av en cyberattack. Den avbrutna produktionen kostade företaget cirka 13,000 XNUMX bilar. Även om produktionsbortfallet kan verka kostsamt, är det ett litet pris att betala jämfört med ett verkligt brott.
Detta visar det tredje parts riskhantering (TPRM) är fortfarande ett underbetjänat område inom säkerhet för många organisationer och återförsäljare måste fortfarande prioritera TPRM och lära av fallstudien.
Frågeformulär för TPRM och leverantörsriskhantering hjälper till att bedöma säkerhetsställningen hos partnerorganisationer. Många undersökningar på företagsnivå har upp till 1,000 XNUMX frågor, men de primära områdena som bör behandlas är: informationssäkerhet, datacentersäkerhet, webbapplikationssäkerhet, infrastrukturskydd samt säkerhetskontroller och -teknik.
Även om återförsäljare regelbundet kör tester på sin egen kod, som inkluderar tredjepartsintegrationer, sträcker den sig inte utöver gränserna för deras egna nätverk. Återförsäljare borde kräver att deras leverantörer kör fullständigt kodpenetrationstest på halvårsbasis och nattliga tester när deras partners uppdaterar eller ändrar koder.
Upprätthålla säkerhetsutbildningar trots talangens svängdörr
Utbildning är utan tvekan den svåraste delen för återförsäljare. De Stor avgång har tvingat företag att omvärdera sina utbildnings- och introduktionsprocesser, där cybersäkerhet är en liten del av det. Men 82% av överträdelserna analyseras av Verizons "Rapport om dataintrångsundersökningar” involverade ett mänskligt element. Detta gör medarbetarnas utbildning viktigare än någonsin.
Etablerade återförsäljare har sannolikt något slags cybersäkerhetsprogram på plats. Men de kan (och bör) expandera på det. När cybersäkerhetsteam identifierar luckor från penetrationstester kan de dela dessa resultat med anställda och förklara hur dessa sårbarheter kan manipuleras. Denna nivå av transparens hjälper anställda att förstå sin roll när det gäller att skydda företagets och konsumenternas data.
Lösenordssäkerhet Paramount
Och sist, men definitivt inte minst, i medarbetarprogrammet: lösenord. Lösenordssäkerhet är fortfarande ett kärnproblem leder till eller spelar en nyckelfaktor i en svindlande mängd dataintrång som inträffar idag. Stulna referenser är ett av de enklaste sätten för hotaktörer att få tillgång till information. Kompromissade referenser är orsaken till 19% av dataöverträdelser (PDF). Den sorgliga delen är 45% av konsumenterna se inte lösenordsdelning som ett allvarligt problem. Återförsäljare bör förstärka prioriteringen av god lösenordshygien, men lika viktigt bör de implementera multifaktorautentisering (MFA) överallt och var som helst där det är möjligt.
Många återförsäljare har redan startat semesterförsäljning för att komma före inflation och personalproblem. Men de får inte glömma sin säkerhetsställning i denna rusning mot årets slut. Organisationer måste göra cybersäkerhet till en prioritet lika viktig som att öka försäljningen genom att införliva SAST och DAST i sina apptester; övervaka och hantera tredje parts risker; och säkra referenser genom utbildning och korrekt autentisering med hjälp av MFA.
