Bezpieczeństwo łańcucha dostaw w kontekście NIS 2 

Dyrektywa NIS 2 nakłada na organizacje w UE m.in. obowiązek wzmocnienia bezpieczeństwa łańcucha dostaw. W Polsce implementacja nastąpi poprzez nowelizację ustawy o krajowym systemie cyberbezpieczeństwa. 

23 stycznia 2026 r. Sejm uchwalił nowelizację Ustawy o KSC (NIS 2). Najistotniejszą zmianą względem wcześniejszych projektów jest wydłużenie terminów realizacji kluczowych obowiązków. 

NIS 2 stawia szczególną uwagę na łańcuch dostaw w związku z znaczącym wzrostem ataków przez partnerów biznesowych czy warstwę oprogramowania.

Czym jest łańcuch dostaw w kontekście cyberbezpieczeństwa?

Współczesny łańcuch dostaw to złożony ekosystem technologiczny obejmujący wszystkie komponenty, usługi i relacje zaufania, na których opiera się działalność organizacji. W kontekście cyberbezpieczeństwa łańcuch dostaw wykracza daleko poza tradycyjne rozumienie logistyki i obejmuje:

Dostawców oprogramowania i komponentów:

• Producenci systemów operacyjnych i oprogramowania 
• Biblioteki i komponenty open-source 
• Narzędzia deweloperskie
• Systemy zarządzania wersjami i CI/CD pipelines

Dostawców usług chmurowych i infrastruktury:

• Platformy IaaS, PaaS i SaaS
• Dostawcy usług hostingowych i kolokacyjnych
• Dostawcy DNS i innych usług krytycznych
• Usługi CDN (Content Delivery Network)
• Dostawcy DNS i innych usług krytycznych
• Kontenery

Dostawców sprzętu i komponentów fizycznych:

• Producenci serwerów, stacji roboczych i urządzeń końcowych
• Dostawcy komponentów sieciowych (routery, przełączniki, zapory)
• Producenci urządzeń IoT i systemów przemysłowych
• Firmware i oprogramowanie wbudowane w sprzęt
• Łańcuch produkcji i dystrybucji sprzętu

Partnerów integracyjnych i usługowych:

• Dostawcy zarządzanych usług bezpieczeństwa (MSSP)
• Firmy konsultingowe i integratorzy systemów
• Partnerzy z uprzywilejowanym dostępem do środowisk
• Usługi wsparcia technicznego i utrzymania

Partnerów biznesowych i operacyjnych:

• Dostawcy logistyczni i transportowi
• Partnerzy finansowi i systemy płatności
• Podmioty wspierające produkcję i dystrybucję
• Usługi outsourcingowe (w tym personel zewnętrzny)

Każdy z tych elementów stanowi potencjalny wektor ataku, gdzie kompromitacja jednego ogniwa może prowadzić do szeroko zakrojonych konsekwencji dla całego ekosystemu. Złożoność współczesnych łańcuchów dostaw, z ich wielopoziomowymi zależnościami i zautomatyzowanymi procesami aktualizacji, tworzy powierzchnię ataku, która znacznie przekracza tradycyjny perimetr bezpieczeństwa organizacji.

Znaczenie bezpieczeństwa łańcucha dostaw

Bezpieczeństwo łańcucha dostaw jest szczególnie istotne, ponieważ atak na jednego partnera biznesowego może sparaliżować działalność powiązanych organizacji. Przykładem jest atak ransomware na Change Healthcare w lutym 2024 r., który sparaliżował systemy UnitedHealth Group, powodując straty szacowane na 1,6 mld USD.Ataki na łańcuch dostaw stały się głównym wektorem wykorzystywanym przez zaawansowanych cyberprzestępców, którzy wykryli, że kompromitacja zaufanych relacji biznesowych pozwala ominąć tradycyjne mechanizmy obronne. Współczesne incydenty demonstrują skalę tego zagrożenia:

Skompromitowane mechanizmy aktualizacji oprogramowania: Gdy infrastruktura dystrybucji aktualizacji zostaje przejęta, atakujący mogą dystrybuować złośliwy kod do tysięcy organizacji jednocześnie. Incydent SolarWinds Orion pokazał, jak kanały aktualizacji mogą być uzbrojone do dostarczania backdoorów do tysięcy organizacji poprzez zaufaną metodę dystrybucji. To tworzy wyjątkowo efektywny wektor ataku, gdzie 

pojedyncze naruszenie może wpłynąć na tysiące ofiar, które automatycznie instalują te aktualizacje.

Złośliwy kod wprowadzony podczas rozwoju: Atakujący, którzy uzyskują dostęp do środowisk deweloperskich, mogą wprowadzać subtelne backdoory lub podatności, które omijają wykrycie podczas przeglądów kodu i faz testowania. Po dotarciu kodu do produkcji, atakujący mogą wykorzystywać te celowe słabości do uzyskania nieautoryzowanego dostępu.

Dostawcy usług zewnętrznych z uprzywilejowanym dostępem: Wiele organizacji przyznaje szerokie uprawnienia dostawcom w celach konserwacyjnych, wsparcia lub operacyjnych. Jeśli te podmioty stosują nieodpowiednie praktyki bezpieczeństwa, atakujący mogą najpierw je skompromitować, a następnie wykorzystać ich zaufany dostęp do infiltracji głównego celu. 

Błędne konfiguracje usług chmurowych: Współdzielone środowiska chmurowe wprowadzają unikalne ryzyka, gdy dostawcy usług błędnie konfigurują ustawienia bezpieczeństwa. Pojedynczy błąd może potencjalnie narazić wrażliwe dane należące do licznych klientów, tworząc szeroki wpływ przekraczający granice organizacji. Te ataki są szczególnie niebezpieczne, ponieważ wykorzystują legalne kanały i zaufane relacje, często pozwalając atakującym całkowicie ominąć tradycyjne mechanizmy kontroli bezpieczeństwa.

Kluczowe wyzwania w łańcuchu dostaw

Badania ENISA (2022) pokazują, że wiele organizacji nie zabezpiecza odpowiednio swojego ekosystemu partnerów:

• 76% firm nie definiuje ról w łańcuchu dostaw,
• 61% ogranicza się do zbierania certyfikatów od partnerów,
• 46% reaguje na krytyczne podatności w ciągu miesiąca.

Główne zagrożenia i wektory ataków w łańcuchu dostaw

1. Ataki na mechanizmy aktualizacji oprogramowania

Atakujący kompromitują legalne serwery lub infrastrukturę aktualizacji, aby dystrybuować złośliwy kod do wszystkich systemów, które ufają i automatycznie instalują aktualizacje. 

2. Ataki na środowiska deweloperskie i systemy budowania (CI/CD)

Poprzez infiltrację środowisk, w których kod jest pisany, kompilowany lub budowany, atakujący mogą wprowadzać złośliwy kod na wczesnym etapie cyklu życia rozwoju. Pipeline’y CI/CD i serwery budowania są szczególnie atrakcyjnymi celami, ponieważ zazwyczaj mają uprzywilejowany dostęp do repozytoriów kodu, artefaktów i środowisk wdrożeniowych.

Metody ataków na procesy budowania:

• Manipulacja skryptami budowania, konfiguracjami lub zależnościami w celu wprowadzenia nieautoryzowanego kodu podczas kompilacji lub pakowania, który nie istnieje w samym kodzie źródłowym, co czyni go niewidocznym podczas przeglądów kodu
• Modyfikacja obrazów kontenerów lub ich warstw bazowych w celu włączenia backdoorów lub podatnych komponentów, które są następnie dystrybuowane poprzez rejestry kontenerów do wszystkich systemów używających tych obrazów

3. Ataki na repozytoria pakietów i biblioteki

Ekosystemy open-source, takie jak NPM czy PyPI są częstymi celami ze względu na ich powszechne wykorzystanie i domniemane zaufanie. 

4. Ataki na dostawców usług zewnętrznych i API

Organizacje z uprzywilejowanym dostępem do środowisk klientów stanowią wartościowe cele dla atakujących dążących do efektywnego kompromitowania wielu ofiar.

5. Ataki na certyfikaty i infrastrukturę podpisywania kodu

Kompromitacja możliwości podpisywania kodu pozwala atakującym tworzyć malware, który wydaje się legalny dla narzędzi bezpieczeństwa ufających podpisanemu kodowi. Kradzież certyfikatów lub kompromitacja infrastruktury podpisywania umożliwia atakującym omijanie kontroli bezpieczeństwa, które weryfikują autentyczność kodu.

6. Ataki na komponenty sprzętowe i firmware

Łańcuchy dostaw komponentów sprzętowych przedstawiają możliwości sabotażu podczas produkcji, wysyłki lub instalacji. Skompromitowany sprzęt lub firmware może ustanowić trwałe backdoory, które przetrwają reinstalację systemu operacyjnego lub kontrole bezpieczeństwa.

Kluczowe komponenty nowoczesnego bezpieczeństwa łańcucha dostaw

Efektywne bezpieczeństwo łańcucha dostaw wymaga wielowarstwowego podejścia, które adresuje podatności w całym cyklu życia rozwoju oprogramowania i stosu technologicznego. Ponieważ sprawcy zagrożeń coraz częściej celują w zależności upstream i relacje zaufania, organizacje muszą wdrażać wyspecjalizowane kontrole dla różnych aspektów swojego łańcucha dostaw.

Software Bill of Materials (SBOM)

Software Bill of Materials (SBOM) to formalny inwentarz, który szczegółowo opisuje wszystkie komponenty, biblioteki, moduły i zależności używane w aplikacji oprogramowania. SBOM zapewniają przejrzystość kompozycji oprogramowania, aby ułatwić zarządzanie podatnościami, zgodność licencyjną i ocenę ryzyka łańcucha dostaw.

Bezpieczeństwo łańcucha dostaw oparte na tożsamości 

Bezpieczeństwo oparte na tożsamości (identity-first security) to podejście, które stawia weryfikację tożsamości cyfrowej w centrum strategii bezpieczeństwa organizacji, zapewniając, że wszyscy użytkownicy, urządzenia i aplikacje są uwierzytelniani i autoryzowani na podstawie ich zweryfikowanych tożsamości przed przyznaniem dostępu do zasobów, niezależnie od lokalizacji sieciowej lub metody połączenia.

Kontrola łańcucha dostaw natywna dla chmury 

Kontrola łańcucha dostaw natywna dla chmury to zestaw praktyk i mechanizmów bezpieczeństwa zaprojektowanych specjalnie dla środowisk chmurowych, które uwzględniają dynamiczny charakter infrastruktury, konteneryzację, mikrousługi oraz ciągłą integrację i wdrażanie (CI/CD). Obejmuje to automatyczne skanowanie obrazów kontenerów, weryfikację podpisów cyfrowych artefaktów, zarządzanie sekretami w chmurze oraz monitorowanie zależności w czasie rzeczywistym.

Analiza ryzyka partnerów 

Analiza ryzyka partnerów to systematyczny proces oceny potencjalnych zagrożeń bezpieczeństwa, operacyjnych i zgodności związanych z dostawcami, podwykonawcami i innymi partnerami biznesowymi. Proces ten obejmuje weryfikację praktyk bezpieczeństwa, stabilności finansowej, zdolności operacyjnych oraz historii incydentów bezpieczeństwa partnera, aby zminimalizować ryzyko wynikające z relacji z podmiotami trzecimi.

Definiowanie wymagań dla partnerów 

Definiowanie wymagań dla partnerów to proces ustanawiania jasnych oczekiwań dotyczących standardów bezpieczeństwa i zgodności, które muszą spełniać wszyscy partnerzy biznesowi. Obejmuje to wymaganie posiadania certyfikatów takich jak ISO 27001, raportów SOC 2 Type II, zgodności z RODO/GDPR oraz innych standardów branżowych, aby zapewnić, że partnerzy utrzymują odpowiedni poziom kontroli bezpieczeństwa i operacyjnych.

Definiowanie dostępu do systemów dla partnerów (Partner Access Control)

Definiowanie dostępu do systemów dla partnerów to proces określania i zarządzania uprawnieniami dostępu dla podmiotów zewnętrznych zgodnie z zasadą najmniejszych uprawnień (least privilege). Obejmuje to tworzenie dedykowanych kont, ograniczanie dostępu tylko do niezbędnych systemów i danych, implementację uwierzytelniania wieloskładnikowego (MFA), określanie czasowych ram dostępu, regularny przegląd uprawnień oraz monitorowanie aktywności partnerów w celu wykrycia potencjalnych nadużyć lub nieautoryzowanego dostępu.

Kluczowe kroki wdrożenia

Identyfikacja kluczowych partnerów i procesów – określenie dostawców sprzętu, oprogramowania i powiązanych procesów biznesowych. Rozpocznij od dokumentowania wszystkich zewnętrznych źródeł oprogramowania, usług i dostawców, które przyczyniają się do twojego ekosystemu technologicznego i usług kluczowych czy ważnych z perspektywy NIS 2. 

Analiza zależności – mapowanie współpracy z partnerami i identyfikacja potencjalnych punktów awarii („single points of failure”). Zrozumienie wielopoziomowych relacji w łańcuchu dostaw ujawnia krytyczne zależności, których kompromitacja mogłaby mieć kaskadowe efekty.

Ocena ryzyka partnerów – analiza certyfikacji, środków bezpieczeństwa i zgodności z wymaganiami organizacji. Opracuj podejście warstwowe do oceny dostawców, które alokuje zasoby bezpieczeństwa zgodnie z ryzykiem. Dostawcy z dostępem do wrażliwych danych lub krytycznych systemów wymagają bardziej rygorystycznej oceny niż ci dostarczający usługi nieistotne.

Szacowanie ryzyka – scoring w oparciu o krytyczność procesów, znaczenie biznesowe, reputację i zabezpieczenia partnera.

Wdrożenie procedur ograniczających ryzyko:

• Audyty i kwestionariusze oceny: Wykorzystaj szczegółowe kwestionariusze do oceny dojrzałości cyberbezpieczeństwa dostawców. Dodatkowo, jeśli możesz zautomatyzować ten proces w regularnych odstępach czasu.

• Zarządzanie dostępem i tożsamością: Implementacja kontroli IAM i MFA do zarządzania dostępem stron trzecich

• Bezpieczeństwo informacji i fizyczne: Kompleksowa ochrona obejmująca zarówno cyberbezpieczeństwo, jak i kontrole fizyczne

• Minimalne wymagania bezpieczeństwa: Stwórz jasne standardy bezpieczeństwa dla każdej kategorii dostawców i komponentów w oparciu o ich poziom ryzyka. Te wymagania powinny obejmować kontrole uwierzytelniania, praktyki zarządzania podatnościami, możliwości reagowania na incydenty i inne środki bezpieczeństwa odpowiednie do roli dostawcy w twoim ekosystemie.

Przykładowe pytania oceny cyberbezpieczeństwa dostawców

Firmy wykorzystują następujące pytania do określenia, jak ryzykowne są praktyki cyberbezpieczeństwa ich dostawców:

• Czy proces projektowania oprogramowania/sprzętu dostawcy jest udokumentowany? Powtarzalny? Mierzalny?
• Czy mitygacja znanych podatności jest uwzględniana w projekcie produktu (poprzez architekturę produktu, techniki ochrony runtime, przegląd kodu)?
• Jak dostawca pozostaje na bieżąco z pojawiającymi się podatnościami? Jakie są możliwości dostawcy w zakresie adresowania nowych podatności „zero day”?
• Jakie kontrole są wprowadzone do zarządzania i monitorowania procesów produkcyjnych?
• Słabe praktyki bezpieczeństwa informacji przez dostawców niższego poziomu
• Skompromitowane oprogramowanie lub sprzęt zakupiony od dostawców
• Podatności bezpieczeństwa oprogramowania w systemach zarządzania łańcuchem dostaw lub systemach dostawców

Narzędzia wspierające zarządzanie łańcuchem dostaw

Do efektywnej ochrony łańcucha dostaw rekomenduje się:

• Wdrożenie standardów i polityk współpracy z partnerami – formalne ramy określające wymagania bezpieczeństwa i procesy współpracy

• Przeprowadzenie bieżącej analizy ryzyk wynikających z współpracy z partnerami – ciągła ocena i aktualizacja profili ryzyka

• Narzędzia IAM (Identity and Access Management) i MFA – kontrolują dostęp do systemów i zapewniają weryfikację tożsamości

---

Aleksander Bronowski – GTM Manager z ponad sześcioletnim doświadczeniem w doradztwie transakcyjnym i technologicznym. Na co dzień wspiera klientów w doborze i projektowaniu rozwiązań z obszaru cyberbezpieczeństwa. Specjalizuje się w obszarze zarządzania incydentami, podatnościami i ryzykiem, a także NIS 2.