Обеспечьте безопасность своей цепочки поставок: целостная стратегия кибербезопасности

Эволюция сетей цепочек поставок за годы в значительной степени была движима технологиями. Организации всех размеров переходят в цифровое пространство, некоторые вынужденные срывами прошлого года. Пока бизнесы строят кибербезопасные крепости для себя, есть несколько уязвимостей в точках соприкосновения с производителями, поставщиками, глобальными партнерами и другими провайдерами сервисов, которые нужно учитывать. Угрозы скрываются вокруг таких сторон, ожидая взломать безопасность при первой возможности.

Кибербезопасность достигла определенной зрелости для крупных предприятий, хотя сфокусированная внутри периметра организации. Существует отсутствие говернанса и контроля над отдельными отделами, работающими с другими сущностями в экосистеме, многие из которых — малые бизнесы с низкой киберсилой. Это благоприятные точки входа для хакеров.

С появлением разрушительных технологий вроде беспилотных транспортных средств, роботизированной процессной автоматизации и сквозной оцифровки, границы кибербезопасности между организациями становятся размытыми. Около 80% сообщенных взломов происходят в сетях цепочек поставок. Где бы ваша организация ни находилась в цепочке поставок, если вы подключены — вы в риске.

Угрозы цепочек поставок включают отказ в обслуживании, утечки данных, кражи данных клиентов, срыв бизнеса и другие атаки вредоносного ПО вроде вымогательского ПО. Как говорится, цепочка поставок так же сильна, как ее слабое звено.

Подход к кибербезопасности в сети цепочек поставок должен рассматриваться через три призмы: технологии, люди и процессы.

Технологии

Вся цепочка поставок должна быть включена в защиту кибербезопасности, смягчение и планы реагирования. Реагирование и восстановление не должны быть ограничены внутренними технологическими настройками.

Приобретение облачных технологий, устройств интернета вещей (IoT) и виртуальных серверов открывает новые висты для взломов. Обеспечьте правильные процедуры кибербезопасности такие как двухфакторная аутентификация и биометрический контроль доступа по всем внутренним и сторонним системам. Планы смягчения рисков и восстановления должны быть задокументированы как стандартный процесс.

Использование открытого ПО может быть источником угроз, и адекватный мониторинг должен быть запланирован для этих настроек.

Технология блокчейна — الناشющий тренд, который имеет потенциал улучшить прозрачность и эффективность, вместе с высоким уровнем безопасности данных через множественных торговых партнеров. Она может дать лучшую видимость продукта, данных и финансовых потоков по всей цепочке поставок. Она широко принимается бизнесами с сложными операциями и ее реальное влияние еще предстоит увидеть. Эксперты верят, что организации как минимум должны оценить жизнеспособность и потенциальные выгоды блокчейна.

Люди

Все сотрудники и торговые партнеры должны быть включены в рамки безопасности. Четкие роли и ответственности для всех персоны и третьих сторон в защите, обнаружении, реагировании и мерах восстановления — существенны.

Политики принеси свое устройство (BYOD) — главный источник вредоносного ПО и фишинга в цепочке поставок и должны быть ключевым фокусом. Никакое личное устройство персонала не должно быть разрешено к подключению к корпоративной инфраструктуре без каналирования их через виртуальную частную сеть (VPN).

Процессы

Установите процессы должной осмотрительности кибербезопасной позы перед онбордингом любой новой сущности в вашей экосистеме. Регулярный мониторинг для обеспечения соблюдения процессов всеми сущностями — существенен для обеспечения способности плана восстановления и реагирования.

Распространение разведки по угрозам — другой фактор, который может сделать огромную разницу для общего кибербезопасного процесса, но еще не созрел как стандартная практика.

Установите процессы для удаления доступа для третьих сторон после завершения контракта, так как это было дорогой ошибкой для многих бизнесов.

Компании должны внедрять корпоративные гайдлайны и стандарты доступа к данным, особенно когда чувствительные данные делятся между организациями.

Ежемесячные аудиты серверов и сети помогают держать хороший след всех специальных и админских доступов.

Ниже приведены некоторые ключевые гайдлайны для учета при разработке плана безопасности для всей сети торговых партнеров.

• Не сработает, если это не коллаборативное усилие. Вам нужно поощрять и обучать малые бизнесы, с которыми вы работаете, по киберугрозам. МСБ в свою очередь могут искать поддержку у своих крупных партнеров.
• Эксперты цепочек поставок пропагандируют идею предполагать, что взлом произойдет рано или поздно, поэтому наличие плана киберустойчивости — must-have сегодня.
• Все еще не существует широкой рамки, которая бы поддерживала все размеры бизнесов когда речь идет об управлении кибербезопасностью цепочек поставок. Однако поставщики и другие стороны могут проводить независимые и стандартизированные инициативы верификации.
• Тестирование на проникновение может устранить известные и потенциальные уязвимости.
• Центральная команда или менеджер должны быть установлены, которые регулярно мониторят кибербезопасную настройку для всей цепочки поставок, чтобы предотвратить «силосы» неуправляемой сети.
• Компании должны рассмотреть использование искусственного интеллекта для более проактивного обнаружения угроз и взломов и активации систем реагирования вовремя.

Виджая Рао — основатель и CEO TechVio, IT-сервисной фирмы.