Príručka kybernetickej bezpečnosti predajcu a odolnosti DMS

1. Zmapujte skutočnú útočnú plochu predajcu vozidiel

DMS málokedy funguje samostatne. Vymieňa si dáta o zákazníkoch, vozidlách, cenách, opravách, dieloch a účtovníctve s CRM, portálmi výrobcov, poskytovateľmi financovania, webmi, telefónnymi systémami, diagnostickými nástrojmi a tabuľkami. Siete pobočiek zahŕňajú kancelárske zariadenia, dielenské vybavenie, Wi-Fi, tlačiarne, kamery a vzdialený prístup dodávateľov. Každá identita a rozhranie sú súčasťou prevádzkovej hranice.

Začnite inventárom aktív a dátových tokov. Zaznamenajte vlastníka, účel, používateľov, správcu, vystavenie internetu, overovanie, integrácie, citlivosť dát, dodávateľa a závislosť obnovy. Zahrňte neaktívne rozhrania a robotické účty. Neznáme staršie prepojenia sú obzvlášť nebezpečné, pretože si môžu ponechať široké oprávnenia aj po zániku obchodného účelu.

ENISA pre svoju správu Threat Landscape 2025 analyzovala 4 875 incidentov. V podmnožine kybernetickej kriminality pripadalo na ransomware 81,1 %, zatiaľ čo narušenia spojené s ransomwarom predstavovali 15,2 % všetkých incidentov. [1] Tieto menovatele sa líšia a nesmú sa zamieňať. Prevádzkovým poučením je, že predajcovia vozidiel potrebujú prevenciu aj schopnosť obnovy.

2. Urobte z identity rovinu riadenia bezpečnosti

Tam, kde je dostupné, vyžadujte viacfaktorové overovanie odolné voči phishingu, najmä pre správcov, e-mail, vzdialený prístup a financie. Kde je to praktické, centralizujte prihlasovanie a zakážte zdieľané používateľské účty. Servisné účty potrebujú vlastníkov, úzky rozsah, pravidelne obmieňané tajomstvá a zákaz interaktívneho použitia. Prihlasovacie údaje API ukladajte v správcovi tajomstiev, nie v skriptoch alebo tiketoch.

Zaveďte proces nástupu, zmeny pozície a odchodu, ktorý zohľadňuje fluktuáciu a zmeny rolí u predajcu vozidiel. Pri odchode rýchlo vypnite prístup, pri preradení odstráňte staré oprávnenia pobočky a pravidelne kontrolujte privilegované prístupy. Oddeľte možnosť založiť dodávateľa, schváliť platbu, exportovať zákaznícke dáta a meniť bezpečnostné nastavenia.

Sledujte neobvyklé miesta prihlásenia, nemožné presuny, hromadné exporty, zmeny oprávnení, vypnuté protokoly a hromadné zmeny záznamov. Výstrahy potrebujú vlastníkov a postupy reakcie. Audítne protokoly uchovávajte mimo dosahu sledovaného účtu a synchronizujte čas naprieč systémami, aby vyšetrovatelia mohli rekonštruovať udalosti.

3. Znížte technickú expozíciu a riziká integrácií

Najprv opravujte zneužívané zraniteľnosti a tie vystavené internetu, podľa kritickosti aktív a informácií o hrozbách. Odstráňte nepodporovaný softvér na vzdialenú správu a zatvorte nepoužívané porty. Oddeľte diagnostické a dielenské zariadenia od finančných služieb a služieb identít. Prístup dodávateľov má byť časovo obmedzený, schválený a monitorovaný.

Integrácie zabezpečujte ako produkčný softvér. Overujte schému a autorizáciu, používajte idempotenciu proti duplicitným finančným udalostiam, obmedzujte vracané dáta a chráňte koncové body webhookov pred podvrhnutím a opakovaním. Pre každé prostredie a partnera používajte samostatné prihlasovacie údaje. Jediný všemocný integračný účet marí návrh rolí.

4. Navrhnite obnovu podľa prevádzky predajcu

Definujte cieľový bod obnovy, cieľovú dobu obnovy a maximálny tolerovaný výpadok pre príjem dopytov, plánovanie dielne, diely, fakturáciu, výdaj vozidiel a mzdy. Závislosti sú podstatné: obnovenie DMS bez identít, DNS, úložiska dokumentov alebo prepojenia s výrobcom nemusí obnoviť použiteľnú službu.

Udržiavajte nemenné alebo izolované zálohy chránené prihlasovacími údajmi oddelenými od správy produkcie. Testujte obnovu do čistého prostredia a overujte konzistenciu dát, nielen existenciu súborov. Zaznamenávajte potrebný čas a ručné kroky. Kontakty dodávateľov a licenčné informácie uchovávajte v offline balíku pre reakciu.

Pripravte riadené postupy pre výpadok: ako overiť zákazníkov, zachytiť prácu, schváliť výdaj vozidla, evidovať diely, chrániť papierové formuláre a po obnove odsúhlasiť transakcie. Precvičujte ich s vedúcimi pobočiek. Ručná kontinuita nie je oprávnením obchádzať kontroly podvodov a súkromia.

5. Považujte dodávateľov za súčasť kontrolného prostredia

Vyžadujte doklady úmerné riziku: hosting a umiestnenie dát, šifrovanie, riadenie identít, audítne protokoly, bezpečný vývoj, správu zraniteľností, nezávislé overenie, prístup k penetračnému testovaniu, históriu incidentov, ďalších spracovateľov, kontinuitu, vrátenie a vymazanie dát. Certifikát je užitočný, no neodpovedá na otázku, či predajca nastavil MFA alebo príliš široké oprávnenia.

Zmluvy majú vymedziť oznamovanie incidentov, spoluprácu, uchovávanie dôkazov, ciele obnovy, zmeny ďalších spracovateľov a podporu pri ukončení. Zmapujte ďalšie strany, ktoré môžu výrazne narušiť službu. Posúdenie zopakujte pri obnove zmluvy a po významných zmenách architektúry alebo vlastníctva.

Pre osobné údaje článok 32 GDPR vyžaduje, aby prevádzkovatelia a sprostredkovatelia používali opatrenia zodpovedajúce riziku, prípadne vrátane šifrovania, odolnosti, obnovy a pravidelného testovania. [2] Ide o prístup založený na riziku, nie pevný kontrolný zoznam.

6. Chápte NIS2 a pravidlá pre vozidlá bez preháňania

NIS2 je smernica (EÚ) 2022/2555, ktorú členské štáty prevádzajú do vnútroštátneho práva. Pôsobnosť závisí od odvetvia, typu subjektu, pravidiel veľkosti, národných volieb a určenia. Výroba motorových vozidiel je uvedená v prílohe II a niektoré cloudové, spravované a digitálne služby patria medzi pokryté kategórie. Bežný predajca vozidiel nespadá automaticky do pôsobnosti len preto, že predáva alebo servisuje vozidlá. [3]

Aj keď predajca nespadá priamo do pôsobnosti, zmluvy s výrobcom alebo dodávateľmi môžu požiadavky prenášať. Pokryté subjekty majú podľa vnútroštátnej úpravy povinnosti v oblasti riadenia, správy rizík a hlásenia incidentov. Overte právnickú osobu a aktuálnu národnú legislatívu namiesto spoliehania sa na zhrnutie na úrovni EÚ.

Predpisy EHK OSN č. 155 a 156 riešia kybernetickú bezpečnosť vozidiel a správu aktualizácií softvéru v rámci schvaľovania typu. [4] Týkajú sa najmä výrobcov a schválených typov vozidiel, nie certifikácie každého DMS predajcu. Predajcovia vozidiel napriek tomu môžu v širšom automobilovom reťazci podporovať riadené aktualizácie softvéru, doklady o servisných akciách a eskaláciu incidentov.

Kam zapadá Omnetic

Zdokumentované moduly Omnetic prepájajú CRM, životný cyklus vozidla, zásoby, cenotvorbu a kontrolné postupy. Menej nekontrolovaných odovzdaní môže zlepšiť prevádzkový prehľad, konsolidácia však tiež sústreďuje závislosť a musí byť primerane chránená. Produktová dokumentácia uvádza API, webhooky, externé identifikátory a plánované exporty, no nezverejňuje úplný verejný katalóg bezpečnosti ani rozhraní.

Pred výberom požiadajte Omnetic o doklady k hostingu, umiestneniu dát, šifrovaniu, RBAC, MFA alebo 2FA, audítnym protokolom, izolácii záloh, testom obnovy, podmienkam incidentov, správe zraniteľností, ďalším spracovateľom a bezpečnosti integrácií. Overte konfiguráciu a zodpovednosti pre zamýšľanú krajinu a balík.