10 основных шагов для защиты вашей цепочки поставок: проверенная кибербезопасная книга правил

По мере того как глобальные цепочки поставок становятся все более цифровыми, компании подвергаются рискам от безумного количества косвенных источников. Система так же сильна, как ее слабое звено, и хакеры будут тщательно охотиться, чтобы раскрыть уязвимый компонент.

Эта эксплуатация стоит дорого. Согласно отчету IBM Security Cost of Data Breach, $5,52 млн — средняя общая стоимость нарушения для предприятий более 25 000 сотрудников и $2,64 млн для организаций менее 500 сотрудников. Большинство компаний платят хакерам выкуп, который они требуют. Это лето Colonial Pipeline Co. и JBS SA заплатили хакерам $4,4 млн и $11 млн соответственно за восстановление зашифрованных данных после массивных кибератак.

Другие последствия включают сбой сервиса клиентов, подрываемое доверие и потерю конкурентного преимущества.

Киберпреступники обходят барьеры и выявляют слабости для более эффективной эксплуатации цепочек поставок, чем когда-либо. В случае Colonial Pipeline хакеры злоупотребили устаревшим профилем виртуальной частной сети (VPN), требовавшим только однофакторную аутентификацию.

Атаки не только калечат компании, но и травмируют клиентов. 80% нарушений затрагивают личную идентифицируемую информацию (PII). Хакеры используют PII и пароли для доступа к различным счетам отдельного лица по сети. Кроме того, любой разрыв в цепочке поставок — будь то ваш бизнес или третьи/четвертые сторонние вендоры — влияет на производство товаров и услуг, одновременно повышая цены.

В отчете CrowdStrike Security — опросе более 1000 участников — две трети старших ИТ-решителей и кибербезопасных профессионалов раскрыли, что их организации пережили атаку на программную цепочку поставок. То же число призналось, что их компания не адекватно подготовлена защищаться от будущего нарушения. Бизнес должен быть проактивным и фокусироваться на построении кибер-устойчивости для предотвращения эксплуатации.

Национальный институт стандартов и технологий (NIST), часть Департамента коммерции США, рекомендует следующие шаги для надлежащей защиты ИТ-активов.

Идентификация

Локализуйте потенциальные векторы угроз — маршруты, которые вредоносные атаки могут использовать, чтобы пройти ваши защиты и заразить вашу сеть — проведя внутренние оценки рисков и уязвимостей. Рассмотрите найм компании для проведения передовой оценки.

Защита

Примите необходимые действия для защиты вашей организации и предотвращения событий угроз:

• Сокращение воздействия. Помимо базовой защиты, предоставляемой файрволами и антивирусным ПО, жизненно важно установить привилегированные процедуры доступа. Следуйте принципу наименьших привилегий — только сотрудники, которым нужен доступ к конфиденциальным данным, получают доступ.

Инструменты вроде поведенческой аналитики, обнаружения и реагирования на конечных точках (EDR), искусственного интеллекта (AI) и угрозной разведки могут укрепить защиту. Компании должны принимать безопасные практики кодирования и ссылаться на OWASP Top 10 веб-уязвимостей.

• Приверженность и обучение сотрудников. Сотрудники — последняя линия обороны в кибербезопасности и один из самых частых векторов угроз. Критично вовлечь каждого сотрудника; C-suite не исключение. Установите культуру здорового подозрения среди сотрудников. Этот подход может показаться чрезмерно параноидальным, но ставки могут быть высокими.

Внедрите обучение осведомленности и внутренние фишинг-кампании для воздействия сотрудников на новейшие спам и социальные инженерные техники. Любой сотрудник, попавшийся на фишинг-кампанию, должен немедленно пройти переобучение. Внутрите сильную культуру паролей, где у сотрудников разные и безопасные пароли. Обеспечьте понимание, что если пароль скомпрометирован в одном месте, возможно и относительно просто для хакеров использовать его на других счетах, связанных с тем же email.

Существует бесчисленное множество полезных (и бесплатных) ресурсов кибербезопасности для дополнения обучения сотрудников и поддержания их в курсе последних отраслевых трендов, таких как виртуальные модули обучения, предоставляемые Департаментом внутренней безопасности США.

• Страхование. Убедитесь, что у вас адекватное страхование в случае атаки. Некоторые страховщики включают защиту от программ-вымогателей. Спросите, что не покрыто в кибератаке.
• Физическая безопасность. Защитите персонал, оборудование, ПО, сети и данные от физического проникновения и действий. Рассмотрите решения вроде камер наблюдения, охраны, систем безопасности, барьеров, замков, ключевых карт, пожарных сигнализаций, спринклеров и других систем, предназначенных для защиты сотрудников и имущества.

Остерегайтесь пиггибэкинга. Держать дверь открытой для входящего в офис с полными руками может показаться вежливым, но создает угрозу безопасности. Убедитесь, что каждый, входящий на территорию компании, авторизованный персонал.

• Выборочные деловые отношения. Кибератаки через сети поставщиков становятся все более распространенными. По исследованию Ponemon Institute 2020 Cyber Resilient Organization Study, 56% организаций сообщают, что пережили кибербезопасное нарушение, вызванное сторонним поставщиком. В определении приемлемого уровня риска будьте избирательны при выборе подрядчиков или партнеров для работы с вашей компанией.
• Сообщение об инцидентах. Внутрите хорошую культуру и образование для сообщения об инцидентах. ИТ-профессионалы более способны снизить потенциальный ущерб, если они знают о нем раньше.

Обнаружение

Говорят, что дом без датчиков дыма — то же, что сеть без мониторинга. Непрерывный мониторинг событий безопасности должен включать физические среды, сети, сервис-провайдеров и активность пользователей. Сканирование уязвимостей — отличный инструмент и должно выполняться регулярно на системах, содержащих конфиденциальную информацию.

Реагирование и восстановление

Корреляция очевидна между временем реагирования и стоимостью атаки. Отрасли, которые дольше всего обнаруживают, реагируют, отвечают и устраняют, несут самые высокие затраты. Быстрое реагирование может помочь смягчить влияние. Тем не менее, оно не может устранить возможность, поэтому всегда есть акцент на предотвращении.

План аварийного восстановления критичен для восстановления доступа к данным и ИТ-инфраструктуры после катастрофы. Восстановление зависит от масштаба ущерба.

Соотнесите план реагирования и дорожную карту ремедиации для всех потенциальных сценариев инцидентов в виде плана непрерывности бизнеса. Включите тактики, которые будут держать бизнес операционным во время катастрофы. Определите критичность вендоров и курс действий, если ключевые вендоры атакованы. Привлеките резервных поставщиков и резервы для ваших резервов на случай, если вам нужно переключиться на другого провайдера для размещения клиентов.

Как часть эффективного плана аварийного восстановления рекомендуется симулировать кибербезопасное нарушение минимум раз в год. Через эти учения релевантный персонал понимает свою роль и процедуры, которые должны быть suivies.

Кибербезопасность будет выдающимся препятствием для бизнеса всех размеров по мере усложнения цепочек поставок. Идентифицируйте слабые звенья в цепочке поставок, чтобы обеспечить минимизацию уязвимостей и предотвращение событий угроз. Построение кибер-устойчивости подготовит вашу компанию к худшему сценарию, который иначе был бы дороже и вреднее.

Марк Льюис — руководитель информационной безопасности в Visible Supply Chain Management.