Un titlu cam „școlăresc” dar într-o economie tot mai dependentă de tehnologie, alegerea furnizorilor de echipamente IT, telecomunicații și infrastructură de rețea nu mai poate fi tratată exclusiv ca o decizie comercială în care să conteze prețul. Costul, performanța și disponibilitatea produselor trebuie evaluate împreună cu riscurile de securitate asociate producătorului, lanțului de aprovizionare, dar și proceselor de dezvoltare software. În ultimii ani, numeroase incidente și investigații internaționale au demonstrat că vulnerabilitățile sau mecanismele de acces ascuns integrate în echipamente pot transforma o simplă achiziție într-un risc strategic pentru întreaga organizație.
Conceptul de vendor security assessment presupune evaluarea riguroasă a producătorului înainte de achiziție și pe toată durata colaborării. Acest proces include analiza reputației companiei, verificarea certificărilor de securitate, a istoricului vulnerabilităților, a politicilor de actualizare software, a transparenței privind dezvoltarea produselor și a conformității cu standardele internaționale. Fără astfel de verificări, organizațiile ajung să introducă în propriile rețele echipamente asupra cărora au un control limitat și o vizibilitate redusă.
Unul dintre cele mai discutate subiecte din ultimul deceniu îl reprezintă suspiciunile și investigațiile privind anumite echipamente de telecomunicații provenite din China. Mai multe state occidentale au limitat sau interzis utilizarea unor furnizori în infrastructuri critice pe fondul preocupărilor legate de potențiale activități de spionaj, acces neautorizat la date sau influență exercitată de state străine. Raportările oficiale ale agențiilor de securitate cibernetică și evaluările guvernamentale au evidențiat riscuri privind exploatarea infrastructurilor de comunicații de către actori sponsorizati de state, în special în contextul atacurilor atribuite grupărilor chineze precum Volt Typhoon și Salt Typhoon.
Problema nu se limitează însă la furnizorii mari de echipamente telecom. În 2026, cercetătorii de la compania de securitate VulnCheck au raportat existența unui mecanism de tip backdoor, denumit „Endlessdoors”, identificat în peste 20 de modele de routere produse în China și comercializate la nivel global. Conform analizei publicate, dispozitivele afectate inițiau conexiuni către domenii predefinite, creând posibilitatea accesului și controlului de la distanță asupra echipamentelor și, implicit, asupra rețelelor în care acestea erau instalate.
În paralel, agențiile occidentale de securitate au atras atenția asupra utilizării pe scară largă a routerelor și dispozitivelor IoT compromise pentru construirea unor rețele ascunse folosite în operațiuni de spionaj și atacuri informatice. Volt Typhoon și alte grupări asociate Chinei au exploatat mii de routere SOHO (Small Office/Home Office), camere video și alte echipamente conectate pentru a masca atacurile asupra infrastructurilor critice și pentru a menține acces persistent în rețelele compromise.
Pentru companii, consecințele utilizării unor echipamente provenite de la furnizori insuficient verificați pot fi semnificative: exfiltrarea de date sensibile, compromiterea comunicațiilor, accesul neautorizat la infrastructuri critice, întreruperea operațiunilor și sancțiuni de conformitate. În sectoare precum energie, sănătate, producție, finanțe sau administrație publică, aceste riscuri pot avea inclusiv implicații asupra securității naționale și continuității activității.
O strategie modernă de management al riscului impune implementarea unui proces formal de evaluare a furnizorilor. Acesta trebuie să includă analiza securității lanțului de aprovizionare, verificarea actualizărilor software și firmware, auditarea configurațiilor, monitorizarea vulnerabilităților publice și solicitarea documentației care demonstrează respectarea standardelor de securitate. În plus, organizațiile ar trebui să evite dependența excesivă de un singur furnizor și să aplice principiul zero trust inclusiv echipamentelor hardware instalate în infrastructură.
Pentru organizații, această abordare are implicații directe în procesul de selecție a furnizorilor. Un vendor responsabil trebuie să demonstreze existența unor proceduri clare de gestionare a vulnerabilităților, capacitatea de a furniza rapid actualizări de securitate și colaborarea cu autoritățile și comunitatea de cercetare. De asemenea, ENISA dezvoltă și administrează o bază de date europeană a vulnerabilităților, menită să ofere transparență și acces la informații privind produsele afectate, nivelul de severitate și măsurile de remediere disponibile. În acest context, alegerea unor furnizori maturi din punct de vedere al securității devine efectiv o cerință de conformitate în cadrul noilor reglementări europene privind reziliența cibernetică și managementul riscului din lanțul de aprovizionare
Într-un context geopolitic și tehnologic tot mai complex, încrederea nu poate fi presupusă, ci trebuie validată permanent prin audit, transparență și controale de securitate independente. Securitatea cibernetică nu începe la nivelul firewall-ului sau al soluțiilor de protecție endpoint, ci încă din momentul selectării furnizorilor. Scandalurile și investigațiile recente privind echipamente care conțin vulnerabilități grave sau mecanisme de acces ascuns demonstrează că verificarea riguroasă a vendorilor trebuie să devină o componentă esențială a guvernanței IT și a strategiilor de gestionare a riscului.
