Обеспечение безопасности глобальной цепочки поставок: использование безграничных данных для киберзащиты

Кибератаки на цепочки поставок не ново, но они далеко от того, чтобы быть под контролем.

Недавнее исследование от Resilience 360 нашло, что было почти 300 инцидентов кибербезопасности, влияющих на сущности цепочек поставок в 2019 году. С средним бизнесом, делящим данными с более чем 500 третьими сторонами, неудивительно, что Ponemon Institute сообщает, что примерно 61% американских компаний пережили утечку данных в своих цепочках поставок.

Пока геополитические напряжения привели широкую свиту тех атак, 2020 год дал путь идеальному шторму возможностей, как COVID-19 заставил большую часть глобальной рабочей силы перейти на удаленную работу. Организации от правительств до бизнеса должны взять ответственность за защиту данных, которые они обрабатывают и делятся. С сотрудничеством, так критическим для поддержания инноваций и продуктивности, это должно делаться без удушья потока идей и информации или делая системы и процессы неработоспособными.

Когда COVID-19 ударил по США с силой в первом квартале этого года, организации отреагировали переводом сотрудников на удаленную работу практически за ночь. На июнь 2020 года невероятные 42% американских работников вели бизнес удаленно из дома и мигрировали офисы. С высокомобильной рабочей силой и экосистемами поставщиков, становящимися все более сложными и глобально разбросанными, угроза интеллектуальной собственности и классифицированной или чувствительной информации интенсифицируется.

Проектные команды используют мобильные и облачные платформы ежедневно для обмена и хранения данных, потенциально выставляя их доступу неавторизованных пользователей. Они также физически выносятся за пределы организации на смартфонах, съемных жестких дисках и USB-накопителях, которые склонны к краже и потере. В этом контексте данные постоянно пересекают границы компаний и наций. Больше нет четкого периметра для защиты.

Пока намеренные взломы теперь обычны, одна из крупнейших угроз безопасности остается кража, потеря и злоупотребление данными в движении. Исследование Apricorn в 2018 году отметило, что 29% опрошенных организаций пострадали от утечки данных как прямого результата мобильной работы. То же исследование, проведенное в 2020 году, показывает, что более половины респондентов все еще верят, что удаленные работники выставят их организацию риску утечки данных.

Далее, недавнее исследование Digital Guardian показывает 123% увеличение объема данных, загруженных на USB-носители сотрудниками с момента удара COVID-19, предполагая, что команды используют съемные носители для выноса больших объемов данных домой. Если эти устройства не зашифрованы, это лишь вопрос времени, прежде чем мы увидим скачок утечек данных, связанных с уязвимостью удаленных работников.

Данно-центричный, основанный на политиках подход к безопасности защитит информацию саму по себе, внутри и вне центральных систем организации, как в движении, так и в покое, позволяя безопасные коммуникации. Ответ лежит в многослойном подходе, объединяющем людей, процессы и технологии.

Начните изнутри.

Безопасность не только про технологические решения. Обучение по осведомленности безопасности и программы вовлечения должны расширяться на команды партнеров и подрядчиков. Ваша цель здесь — сделать всех сотрудников осведомленными о ценности и рисках, ассоциированных с данными, и как определить, так и усилить их роль в защите его.

Дополнительно, внедрите лучшие практики безопасности данных и управляйте их исполнением. Вы можете дать вашей организации преимущество, создавая практики и политики для того, как взаимодействовать с данными и защищать их. Очерчивая и принудительно применяя лучшие практики для вашей команды и цепочки поставок, вы помогаете построить культуру подотчетности.

Думайте о данных в терминах жизненного цикла.

Создав лучшие практики для работы с данными и их защиты, организации должны провести всеобъемлющий аудит, охватывающий:

• Какой вид данных хранится и для какой цели;
• Кто имеет доступ к этим данным;
• Куда текут данные, и
• Как они сейчас контролируются.

Это сделает легче выявить области несоответствия, указать где данные могут быть незащищенными, и идентифицировать технологии, политики и процессы, которые могут минимизировать рискованное воздействие.

Принудительно применяйте безопасность.

Установите стратегию, включающую документирование и принудительное применение политик, контролирующих то, как чувствительные данные обрабатываются и используются, и которые расширены на все эндпойнты, включая партнеров и подрядчиков. Шифрование должно быть ключевым элементом стратегии. Если съемное медиа-устройство окажется в чужих руках, зашифрованная информация будет сделана непонятной для любого, пытающегося получить к ней доступ.

Особенно в «новой нормальности» удаленной работы, императивно, чтобы IT-департаменты исследовали, идентифицировали и мандатировали корпоративный стандарт зашифрованного мобильного устройства хранения, и принудительно применяли его использование через whitelisting политики. Устройство должно быть предварительно конфигурируемым для соответствия требованиям безопасности, таким как сила пароля.

И, потому что мы говорим о цепочке поставок, требования должны быть написаны в контракты третьих сторон — устанавливая, например, инструменты и технологии, которые должны быть использованы, и когда они должны быть обновлены. Организации могут принять даже более проактивный подход и установить эти требования в процесс запроса предложений (RFP), так что ожидания установлены до выбора третьей стороны.

Измеряйте, мониторьте и отчитывайтесь.

Для IT и команд безопасности, поговорка «Вы не можете управлять тем, что не можете измерить» особенно уместна. Постоянный аудит соответствия, как внутри организации, так и через цепочку поставок, обеспечивает быструю видимость нарушений политик, так что они могут быть адресованы через обучение или дисциплинарные процедуры. Мониторинг также предоставит детальный аудиторский след, позволяющий организации демонстрировать свою позицию соответствия, а также точную запись любого несоответствующего поведения пользователей.

Комбинация технических и организационных мер может помочь снизить рискованное воздействие в цепочке поставок, позволяя безопасный обмен и мобильность информации по мере того как мы продолжаем работать из дома. Бизнесы, которые контролируют свои данные адекватно, могут защитить конфиденциальность, национальную безопасность и свою репутацию без компромисса эффективности, гибкости или их конкурентного преимущества.

Вечорасширяющаяся цепочка поставок, в сочетании с драматическими изменениями в том, как и где мы работаем, означает, что организации должны непрерывно фокусироваться на безопасности третьих сторон. Создавая стратегический план безопасности данных, который аудитирует и измеряет по ходу, с акцентом на осведомленность и обучение сотрудников, мы можем обеспечить наши цепочки поставок несмотря на устранение физических границ.

Джон Филдинг — управляющий директор в Apricorn, производителе аппаратно-зашифрованных USB-устройств хранения данных.