Защита глобальной цепочки поставок данными без границ

Атаки, связанные с кибербезопасностью цепочки поставок, не новость, но они далеки от контроля.

Недавнее исследование Resilience 360 ​​показало, что в 2019 году было зарегистрировано около 300 инцидентов в области кибербезопасности, затронувших предприятия цепочки поставок. Учитывая, что в среднем компания обменивается данными с более чем 500 третьими сторонами, неудивительно, что Институт Ponemon сообщает, что примерно 61% компаний США испытали утечку данных в своих цепочках поставок.

В то время как геополитическая напряженность вызвала широкий спектр этих атак, 2020 год уступил место идеальному шторму возможностей, поскольку COVID-19 вынудил большую часть глобальной рабочей силы перейти на удаленную работу. Организации, от правительств до предприятий, должны взять на себя ответственность за защиту данных, которые они обрабатывают и передают. Поскольку сотрудничество имеет решающее значение для поддержания инноваций и производительности, это необходимо делать, не подавляя поток идей и информации и не делая системы и процессы неработоспособными.

Когда в первом квартале этого года COVID-19 сильно ударил по США, организации отреагировали на это переводом сотрудников на удаленную работу почти в мгновение ока. По состоянию на июнь 2020 года невероятные 42% американских рабочих вели бизнес удаленно из дома и мигрировали из офисов. Благодаря высокомобильной рабочей силе и экосистемам поставщиков, которые становятся все более сложными и рассредоточенными по всему миру, угроза интеллектуальной собственности и секретной или конфиденциальной информации усиливается.

Команды проектов ежедневно используют мобильные и облачные платформы для обмена и хранения данных, потенциально подвергая их доступу неавторизованных пользователей. Его также физически переносят за пределы организации на смартфонах, съемных жестких дисках и USB-накопителях, которые могут быть украдены и утеряны. В этом контексте данные постоянно пересекают границы компаний и стран. Больше нет четкого периметра для защиты.

В то время как преднамеренные взломы стали обычным явлением, одной из самых серьезных угроз безопасности остается кража, потеря и неправомерное использование данных на ходу. Исследование Apricorn в 2018 году показало, что 29% опрошенных организаций пострадали от утечки данных в результате работы с мобильными устройствами. То же исследование, проведенное в 2020 году, показывает, что более половины респондентов по-прежнему считают, что удаленные сотрудники подвергают их организацию риску утечки данных.

Кроме того, недавнее исследование Digital Guardian показывает, что объем данных, загружаемых сотрудниками на USB-носители, с момента заражения COVID-19 увеличился на 123%, что свидетельствует о том, что команды используют съемные носители для передачи домой больших объемов данных. Если эти устройства не будут зашифрованы, то появление всплеска утечек данных, связанных с уязвимостью удаленных сотрудников, только вопрос времени.

Ориентированный на данные, основанный на политике подход к безопасности обеспечит защиту самой информации внутри и вне центральных систем организации, как в движении, так и в состоянии покоя, обеспечивая при этом безопасную связь. Ответ заключается в многоуровневом подходе, объединяющем людей, процессы и технологии.

Начните изнутри. Безопасность - это не только технологические решения. Программы обучения и взаимодействия по вопросам безопасности необходимо распространить на группы партнеров и подрядчиков. Ваша цель здесь - ознакомить всех сотрудников с ценностью и рисками, связанными с данными, а также определить и усилить их роль в их защите.

Кроме того, внедрите передовые методы обеспечения безопасности данных и обеспечьте их соблюдение. Вы можете дать своей организации преимущество, создав практики и политики для взаимодействия с данными и их защиты. Излагая и применяя передовой опыт для своей команды и цепочки поставок, вы помогаете сформировать культуру подотчетности.

Думайте о данных с точки зрения жизненного цикла. Создав передовые методы работы с данными и защиты данных, организации должны провести комплексный аудит, охватывающий:

• Какие данные хранятся и для каких целей;
• У кого есть доступ к этим данным;
• Куда идет поток данных и
• Как это сейчас контролируется.

Это упростит выявление областей несоответствия, выявление мест, где данные могут быть незащищенными, и выявление технологий, политик и процессов, которые могут минимизировать подверженность риску.

Обеспечьте безопасность. Установите стратегию, которая включает в себя документирование и применение политик, которые контролируют обработку и использование конфиденциальных данных и которые распространяются на все конечные точки, включая партнеров и подрядчиков. Шифрование должно быть ключевым элементом стратегии. Если съемный носитель окажется в чужих руках, зашифрованная информация будет недоступна для понимания для всех, кто пытается получить к ней доступ.

Особенно в условиях «новой нормы» удаленной работы крайне важно, чтобы ИТ-отделы исследовали, идентифицировали и предписывали использовать зашифрованное мобильное запоминающее устройство корпоративного стандарта, а также добиваться его использования с помощью политик белого списка. Устройство должно быть предварительно настроено для соответствия требованиям безопасности , например надежность пароля.

И поскольку мы говорим о цепочке поставок, требования должны быть записаны в контракты с третьими сторонами, в которых должны быть указаны, например, инструменты и технологии, которые необходимо использовать, и когда они должны быть обновлены. Организации могут применить еще более активный подход и установить эти требования в процессе запроса предложений (RFP), чтобы ожидания были установлены до того, как будет выбрана третья сторона.

Измеряйте, отслеживайте и составляйте отчеты. Для ИТ-специалистов и отделов безопасности особенно уместна поговорка «Невозможно управлять тем, что невозможно измерить». Постоянный аудит соответствия как внутри организации, так и по всей цепочке поставок обеспечивает быструю визуализацию нарушений политики, чтобы их можно было устранить с помощью обучения или дисциплинарных процедур. Мониторинг также предоставит подробный контрольный журнал, который позволит организации продемонстрировать свою позицию соответствия, а также точную запись любого несоответствующего поведения пользователя.

Сочетание технических и организационных мер может помочь снизить подверженность рискам в цепочке поставок, обеспечивая при этом безопасный обмен и мобильность информации, поскольку мы продолжаем работать из дома. Компании, которые надлежащим образом контролируют свои данные, могут защитить конфиденциальность, национальную безопасность и свою репутацию без ущерба для эффективности, гибкости или своего конкурентного преимущества.

Постоянно расширяющаяся цепочка поставок в сочетании с кардинальными изменениями в том, как и где мы работаем, означает, что организациям необходимо постоянно уделять внимание сторонней безопасности. Создав стратегический план обеспечения безопасности данных, который проверяет и измеряет по ходу дела, с упором на осведомленность и обучение сотрудников, мы можем защитить наши цепочки поставок, несмотря на устранение физических границ.

Джон Филдинг - управляющий директор Априкорн , производитель USB-устройств хранения данных с аппаратным шифрованием.