Защита американских цепочек поставок: стратегии снижения киберугроз

В феврале президент Джо Байден подписал исполнительный приказ 14017, призывающий к комплексной пересмотру критических цепочек поставок США. Действие было реакцией на дефицит медицинских поставок, таких как СИЗ для медицинских работников на передовой во время пика пандемии COVID-19. Другие потребности, выявленные приказом, включали полупроводниковые чипы для автопрома и других высокотехнологичных применений.

Эти проблемы мешают американцам получать основные продукты и создают нестабильность для рабочих в затронутых отраслях. Цель нового приказа, по словам Белого дома — проактивно решать такие проблемы до их повторения.

«Хотя мы не можем предсказать, какой кризис нас ударит, мы должны иметь способность быстро реагировать перед вызовами», — сказал Белый дом. «США должны гарантировать, что производственные дефициты, торговые нарушения, стихийные бедствия и потенциальные действия иностранных конкурентов и противников никогда больше не оставят США уязвимыми».

Президентская кампания сделала ясным, что Администрация обязана комплексно решать риски цепочек поставок. Но успеет ли инициатива?

Сторонняя безопасность: ключевые соображения

С точки зрения безопасности, есть несколько вопросов, которые Администрация должна учитывать. Неуспех приведет к дублированию времени и усилий, растрате ресурсов, не снижая киберрисков, которые могли бы привести к еще одной атаке на цепочку поставок.

Первый шаг к обеспечению безопасности цепочек поставок США — выявление их уязвимостей и рисков. Приказ Байдена фокусируется на шести секторах: оборонная промышленная база, общественное здравоохранение, ИТ и коммуникации, энергия и электричество, транспорт и сельское хозяйство.

Зависимость цепочек поставок от цифровых продуктов и сервисов создала серьезные уязвимости, делая кибербезопасность неотъемлемой частью пересмотра. Страх, что государство-актор может решить заблокировать цепочку поставок через киберпреступность, реален. Раздел 4.4 приказа делает ясным, что управление киберрисками — ключевая проблема и фокус. В течение года должны быть представлены отчеты о текущем состоянии зависимости цепочек поставок от наций-конкурентов. Как правительство вовлечет сообщество информационной безопасности для этой цели — сделает или сломает инициативу во всех секторах.

Обеспечение результатов за один год

Задача охватывает много территории для однолетнего срока. Критично, чтобы сообщество информационной безопасности и технологий, опираясь на уроки прошлого года, дало вклад сторонам, движущим инициативу. Усилия отраслевых групп вроде ISAC (центров обмена и анализа информации) и IT Sector Coordinating Council (ITSCC) будут ядром успеха. Кроме того, есть гора данных и аналитики от big four консалтинговых фирм о том, какие риски приоритизировать при работе с третьими сторонами.

Минобороны США должно сыграть ключевую роль в помощи инициативе для бесшовного развертывания. Сопоставимая попытка, надзираемая DOD — Cybersecurity Maturity Model Certification (CMMC), требующая от поставщиков госзаказов соответствия конкретным стандартам. Один ключевой совет, основанный на публичной и частной реакции на CMMC — избегать смешивания процессов присуждения контрактов и пересмотра. Отраслевые лидеры и госагентства должны работать вместе, чтобы решить на простой но эффективный стандарт кибербезопасности по различным цепочкам поставок.

Важность стандартизации

Создание правильных партнерств и получение вклада от экспертов информационной безопасности — одно, но обеспечение повышенной зрелости кибербезопасности по цепочкам поставок США — совсем другое. Коммуникация — единственный элемент, который может сделать или сломать новые требования при развертывании в такой большой экосистеме. Она движима измерением, с результатами, стандартизированными по группам независимо от их уровня зрелости кибербезопасности. Стандарты вроде NIST CSF Supply Chain Risk Management подкатегории или упомянутого CMMC — отличные инструменты для ясности требований и их эффективной реализации по цепочкам поставков. Методологии кибероценки под NIST CSF особенно ценны для предоставления контекста поставщикам с малым знанием информационной безопасности.

Когда речь идет об измерении, моделирование всех потенциальных рисков в цепочках поставок США невозможно, учитывая сложность глобальных экосистем. Тем не менее, ценно выявлять сценарии, изучающие различные потенциальные точки отказа. Использование существующих методологий квантификации рисков креативными способами — ключ к достижению настоящей устойчивости. Необходимо, чтобы компании понимали риск цепочки поставок как средство достижения хорошего управления, опираясь на вклад команд безопасности, обмен данными и информацией, и прогресс в ПО управления рисками.

Можно только надеяться, что инициатива Байдена по цепочкам поставок воспользуется существующими данными прошлых событий и предиктивными анализами о будущем. Может ли вся цепочка поставок быть забенчмаркена, и все уязвимости выявлены за один год? И можем ли мы смягчить серьезные киберриски в цепочках поставок США? Останется увидеть.

Падрайк О'Рейли — сооснователь и главный продуктовый директор CyberSaint.