Пятишаговый план Cisco для надежной кибербезопасности третьих сторон

Вызов кибербезопасности в цепочке поставок

Довольно трудно укрепить кибербезопасность внутри стен своего бизнеса. Но сделать то же для армии партнеров, составляющей глобальную цепочку поставок? Это может быть рядом с невозможным.

Едва ли не каждую неделю появляются новости о новой кибератаке на цепочку поставок крупной компании. И чаще всего проводником для проникновения является третья сторона с слабыми контролями.

В современных цепочках поставок третья сторона может быть любой сущностью, продающей детали, продукты, сервисы, поддержку, ПО — список идет далее. «Для меня это включает любого, кроме нас самих, кто на любом этапе этапов цепочки ценности фактически вовлечен в наши решения», — говорит Эдна Конвей, главный офицер безопасности глобальной цепочки ценности в Cisco Systems, Inc.

Cisco предпочитает термин «цепочка ценности» (value chain) — который любое число компаний и консультантов пытались безуспешно вытеснить «цепочку поставок» как общее описание end-to-end пути продукта на рынок — потому что он подразумевает более широкую вселенную независимых сущностей, вовлеченных в это усилие. Но无论 один принимает корпоративный жаргон или нет, нет сомнений, что пролиферация партнеров поднимает серьезные вопросы кибербезопасности. Без адекватных систем и процедур на месте, любая из них может стать жертвой усилий плохих акторов, включая конкурентов, правительства, вымогателей и даже хакеров из подвалов.

Пятишаговый подход Конвей

Конвей предлагает следующий пятишаговый подход к настройке эффективного плана кибербезопасности для отношений с третьими сторонами.

1. Знайте «кто, что и где» вашей цепочки поставок.

Хотя это может казаться самоочевидным, многие компании не имеют контроля над всеми сторонами, вносящими вклад в бизнес. Это особенно верно для многоуровневых цепочек поставок — и трудно представить продукт сегодня, не полагающийся на такую структуру.

2. Работайте над способами эффективной коммуникации со всеми этими сторонами.

Конвей не имеет в виду все взаимодействия, покрывающие геополитические вопросы или непрерывность поставок, только те, что специально адресуют вопросы безопасности. Она описывает три основных типа угроз: манипуляция (когда информация изменена), шпионаж (и государственный, и промышленный), и сбой (попытки остановить бизнес). Она говорит, что может быть трудно впечатлить разработчика лицензий ПО или стороннего провайдера облачных сервисов важностью защиты от всех трех угроз. То же касается людей на заводском полу, чье внимание может быть сфокусировано на поддержании линии. «Нужно обучение, чтобы сделать безопасность частью повседневного мышления любого в любой роли», — говорит Конвей.

3. Разработайте «гибкую и эластичную» архитектуру.

Подход Cisco к безопасности цепочки поставок охватывает 11 дискретных доменов, отражающих сложность его процессов. Дизайн, разработка, доставка и сервис: каждая дисциплина владеет отношениями с третьими сторонами, создавая возможность бесчисленных слабых точек как внутри, так и вне организации. Стратегия учитывает факт, что различные области производства требуют руководящих принципов, уникальных для их операций. «Мы написали требования так, что вы можете их маппить, так что применяются только те, что основаны на природе того, что вы доставляете нам», — говорит Конвей. «Каждый получает кастомизированную версию».

4. Внедряйте безопасность во всё, что делаете со всеми третьими сторонами.

Конвей призывает компании задавать вопрос: «Почему мы их используем, и как они выполняются согласно нашим метрикам сервиса?» Иронично, когда «Качество» тромбонилось на баннерах и корпоративных Pep-rallies, концепция не была «убедительно вкоренена» в организации. Когда речь идет о кибербезопасности сейчас, качество — не слоган или дискретная функция, говорит Конвей — это вкоренено в каждом процессе внутри цепочки поставок. Cisco назначает баллы третьим сторонам в соответствии с их демонстрируемым приверженностью качеству, и безопасность — ключевая часть этой меры. «Мы делаем это математически значимым, так что если вы фантастичны как поставщик, но ужасны в безопасности, вы можете не остаться предпочтительным поставщиком», — говорит она.

5. Все должны измерять.

Конвей сильно давит на измерение производительности по всей организации. «Мы устанавливаем уровни толерантности против наших собственных спецификаций и процессов», — говорит она. «В конце дня мы заставляем безопасность говорить язык бизнеса».

Поэтапное внедрение

Инициатива безопасности Cisco не была внедрена сразу. Конвей, ранее служившая внешним адвокатом для компании, специализировавшейся на вопросах интеллектуальной собственности, стала ее CSO в начале 2000-х. Вместо немедленного навязывания «монолитной архитектуры» с начала, она сделала это этапами, начиная с партнеров Cisco по электронному производству (EMS), затем двигаясь к производителям печатных плат, инженерии и множеству канальных партнеров, составляющих «цепочку ценности» компании.

В проповеди евангелия кибербезопасности Конвей считает необходимым коммуницировать с исполнительным сюитом, чей мировоззрение укоренен в прибылях и убытках. «Я бы хотела перевести свои уровни толерантности в долларовый риск», — говорит она. «Мы все должны говорить язык бизнеса».