Încrederea oarbă în partenerii și furnizorii dvs. în ceea ce privește poziția lor de securitate nu este sustenabilă, ci este timpul să preluați controlul prin gestionarea eficientă a riscurilor venite din partea acestora.

Lanțurile de aprovizionare reprezintă rețeaua conectoare care facilitează comerțul global și prosperitatea. Însă aceste rețele de companii care se suprapun și sunt legate între ele sunt din ce în ce mai complexe și mai opace. Majoritatea implică utilizarea de software și servicii digitale sau, cel puțin, depind într-un anumit nivel de interacțiunile online. Iar acest lucru le expune riscului de perturbare și de compromitere.

Este posibil ca IMM-urile, în special, să nu caute în mod proactiv sau să nu dispună de resursele necesare pentru a gestiona securitatea în lanțurile lor de aprovizionare. Dar încrederea oarbă în partenerii și furnizorii săi în ceea ce privește postura lor de securitate cibernetică nu este sustenabilă în climatul actual. Într-adevăr, este momentul ca acestea să ia în serios gestionarea riscurilor privind lanțul de aprovizionare.

Care sunt riscurile privind lanțului de aprovizionare?

Riscurile cibernetice privind lanțul de aprovizionare pot lua multe forme, de la ransomware și furt de date la atacuri de tip denial-of-service (DDoS) și fraudă. Acestea pot avea impact asupra companiilor ce oferă servicii profesionale (de exemplu, avocați, contabili) sau a celor care furnizează software de business. Atacatorii pot, de asemenea, aibă în vizor furnizorii de servicii gestionate (MSP), deoarece, prin compromiterea unei singure companii în acest mod, ar putea obține acces la un număr potențial mare de utilizatori corporativi din aval. Un raport din 2022 a arătat că 90% dintre MSP au suferit un atac cibernetic în ultimele 18 luni.

Iată câteva dintre principalele tipuri de atacuri cibernetice asupra lanțului de aprovizionare și modul în care acestea se produc:

• Compromiterea software-ului proprietar: Infractorii cibernetici sunt din ce în ce mai îndrăzneți și, în unele cazuri, aceștia au reușit să găsească o modalitate de a compromite dezvoltatorii de software și să introducă programe malware în codul care este ulterior livrat clienților. Acest lucru s-a întâmplat în cadrul campaniei de ransomware Kaseya. Într-un caz mai recent, un software popular de transfer de fișiere, MOVEit, a fost compromis, atacatorii descoperind o vulnerabilitate de tip „zero-day”, iar datele au fost sustrase de la sute de utilizatori corporativi, afectând milioane de clienți. Între timp, compromiterea software-ului de comunicații 3CX a rămas în istorie ca fiind primul incident documentat public în care un atac de tip lanț de aprovizionare a condus la un altul.
• Atacuri asupra lanțurilor de aprovizionare de tip open source: Majoritatea dezvoltatorilor utilizează componente open source pentru a accelera timpul de lansare pe piață a proiectelor lor de software. Însă actorii amenințărilor cunosc acest aspect și au început să introducă programe malware în aceste componente și să le pună la dispoziție în depozitele populare de software. Un raport susține că a existat o creștere de 633% de la an la an a acestor atacuri. De asemenea, actorii amenințători se grăbesc să exploateze vulnerabilitățile găsite în codul open source, pe care unii utilizatori ar putea întârzia să le corecteze prin instalarea de patch-uri de securitate. Acesta este scenariul care s-a întâmplat atunci când a fost descoperit un bug critic într-un instrument cunoscut sub numele de Log4j.
• Impersonarea furnizorilor pentru fraudă: Atacurile sofisticate, cunoscute sub numele de Business Email Compromise (BEC - compromiterea e-mail-urilor de business), implică uneori fraudatori care impersonează furnizorii legitimi pentru a păcăli un client să le trimită bani. Atacatorul va deturna, de obicei, un cont de e-mail aparținând uneia sau alteia dintre părți, monitorizând fluxurile de e-mail așteptând momentul potrivit pentru a interveni și a trimite o factură falsă cu detalii bancare modificate.
• Furtul de credențiale: Atacatorii sustrag datele de conectare ale furnizorilor în încercarea de a pătrunde fie în rețeaua acestora, fie în cea a clienților. Așa s-a întâmplat în cazul breșei masive de la Target din 2013, când hackerii au sustras credențialele unuia dintre furnizorii de HVAC (ventilație și aer condiționat) ai retailerului.

Furtul de date: Mulți furnizori stochează date sensibile despre clienții lor, precum firmele de avocatură, care sunt la curent cu secrete corporative sensibile. Aceștia reprezintă o țintă atractivă pentru actorii de amenințări care caută informații pe care le pot folosi pentru extorcare.

Cum evaluați și reduceți riscurile?

Indiferent de tipul de risc specific al lanțului de aprovizionare, rezultatul final ar putea fi același: daune financiare și reputaționale, precum și riscul de procese, întreruperi operaționale, scăderea vânzărilor și clienți nemulțumiți. Cu toate acestea, este posibil să gestionați aceste riscuri urmând câteva bune practici din industrie:

• Efectuați o verificare prealabilă a oricărui furnizor nou. Aceasta înseamnă că trebuie să verificați dacă programul de securitate al acestuia se aliniază cu așteptările dvs. și dacă dispune de măsuri de bază pentru protecția împotriva amenințărilor, detecția și răspunsul la acestea. În cazul furnizorilor de software, ar trebui să se verifice, de asemenea, dacă aceștia au implementat un program de gestionare a vulnerabilităților și care este reputația lor în ceea ce privește calitatea produselor lor.

• Gestionați riscurile legate de open-source. Acest lucru presupune utilizarea instrumentelor de analiză a compoziției software (SCA - software composition analysis) pentru a obține vizibilitate asupra componentelor software, alături de scanarea continuă a vulnerabilităților și a programelor malware și corectarea promptă a oricăror erori. De asemenea, asigurați-vă că echipele de dezvoltatori acordă importanță securității atunci când dezvoltă produse.

• Efectuați o analiză a riscurilor pentru toți furnizorii. Acest lucru începe prin a înțelege cine sunt furnizorii dvs. și apoi prin a verifica dacă aceștia dispun de măsuri de securitate de bază. Acest lucru ar trebui să se extindă la propriile lanțuri de aprovizionare. Efectuați audituri frecvente și verificați dacă aceștia sunt acreditați în conformitate cu standardele și reglementările din industrie, dacă este cazul.

• Păstrați o listă a tuturor furnizorilor dvs. autorizați și actualizați-o periodic în funcție de rezultatele auditului. Auditul și actualizarea periodică vor permite organizațiilor să efectueze evaluări amănunțite ale riscurilor, identificând vulnerabilitățile potențiale și asigurându-se că furnizorii respectă standardele de securitate cibernetică.

• Stabiliți o politică oficială pentru furnizori. Aceasta ar trebui să prezinte cerințele dvs. de atenuare a riscurilor provenite de la furnizori, inclusiv orice acorduri privind nivelul serviciilor (SLA - Service-Level Agreement) care trebuie respectate. Ca atare, aceasta servește drept document de bază care să cuprindă așteptările, standardele și procedurile pe care furnizorii trebuie să le respecte pentru a asigura securitatea întregului lanț de aprovizionare.

• Gestionați riscurile privind accesul furnizorilor. Definiți reguli de acordare a privilegiilor în rândul furnizorilor, dacă aceștia au nevoie de acces la rețeaua dvs. corporativă. Acest lucru ar putea fi implementat ca parte a unei abordări Zero Trust, în care toți utilizatorii și dispozitivele sunt considerați ca fiind suspecți până la verificare, iar autentificarea continuă și monitorizarea rețelei adaugă un nivel suplimentar de reducere a riscurilor.

• Elaborați un plan de răspuns la incidente. În cazul celui mai rău scenariu, asigurați-vă că aveți un plan bine pus la punct pentru a limita amenințarea înainte ca aceasta să aibă șansa de a avea un impact asupra organizației. Acesta va include modul în care să țineți legătura cu echipele care lucrează pentru furnizorii dvs.
• Luați în considerare implementarea standardelor din industrie. ISO 27001 și ISO 28000 au o mulțime de modalități utile de a realiza unele dintre etapele enumerate mai sus pentru a minimiza riscul provenit din partea furnizorilor.

În SUA, anul trecut, au existat cu 40% mai multe atacuri asupra lanțului de aprovizionare decât atacuri bazate pe malware, potrivit unui raport. Acestea au condus la breșe care au afectat peste 10 milioane de persoane. Este momentul potrivit să preluați din nou controlul printr-o gestionare mai eficientă a riscurilor asociate cu furnizorii.

ARTICOL SIMILAR: Supply-chain attacks: When trust goes wrong, try hope?