0 
0 A pandemia do COVID-19 tem sido uma força motriz na aceleração digital e continua a exercer sua influência na forma como as organizações e seus funcionários adotam o trabalho. No esforço para acomodar modelos de trabalho remotos e híbridos, as empresas aumentaram o uso de serviços baseados em nuvem para manter a conectividade e a continuidade em sua força de trabalho.
À medida que o número de relacionamentos comerciais aumentou, também aumentaram as superfícies de ataque e os riscos de comprometimento para as empresas. Ameaças cibernéticas recentes destacaram lacunas de segurança na cadeia de fornecimento de software , e as empresas devem examinar mais de perto seus processos de due diligence de terceiros para garantir confiança e segurança.
As organizações observam suas cadeias de suprimentos de software com cautela
Em uma pesquisa recente realizada pelo Conselho de Segurança Internacional da Neustar (NISC), 76% dos profissionais de segurança e tecnologia da informação em todo o mundo citaram o risco da cadeia de suprimentos de software como uma das principais prioridades de segurança e 77% atribuíram o maior rigor dos processos de due diligence que eles têm em lugar para provedores de serviços gerenciados externos para a vulnerabilidade Log4j e outros ataques proeminentes contra software e provedores de serviços. A natureza do Log4j — uma biblioteca onipresente de código aberto muitas vezes enterrada tão profundamente em uma pilha que algumas organizações nem sabem que a usam — ilustra como as empresas são desafiadas a identificar e resolver todas as falhas ou fraquezas de segurança.
Com o aumento da integração, há um risco maior de exposição para as organizações e seus clientes, mas dispensar provedores de serviços terceirizados não é uma opção. Dois em cada três entrevistados disseram que sua organização depende mais de provedores de serviços terceirizados agora do que antes da pandemia. E, embora a maioria dos tomadores de decisão de segurança tenha dito que está confiante na capacidade de sua organização de responder caso um provedor de serviço crítico sofra um ataque, quase três em cada dez não confiam nos planos de contingência que têm ou simplesmente não sabem qual seria a resposta. implicar.
Além da segurança de TI: um problema de continuidade de negócios
Os maus atores são rápidos em explorar vulnerabilidades, e basta um breve lapso de vigilância para ser vítima. Por exemplo, hardware ou software fornecido por terceiros podem abrigar software malicioso e, devido ao relacionamento de parceiro confiável, o perímetro normal dos mecanismos de defesa é contornado. Com permissão de passagem livre para a rede de uma empresa, os agentes mal-intencionados podem se mover lateralmente e explorar os privilégios do usuário para obter acesso a informações confidenciais para obter ganhos monetários ou causar estragos.
Dado que ataques a parceiros críticos podem interromper a continuidade dos negócios e colocar uma organização e seus clientes em risco, garantir a integridade dos parceiros da cadeia de suprimentos é de suma importância. A verificação adequada dos parceiros é fundamental; as organizações devem poder confiar que não apenas os parceiros operarão ou cumprirão as especificações, mas também que não introduzirão novas vulnerabilidades no ambiente.
Passos para uma cadeia de suprimentos segura
Um bom ponto de partida para aumentar a segurança da sua cadeia de suprimentos de software é uma auditoria abrangente. As organizações devem avaliar o relacionamento de cada fornecedor, observando três áreas principais onde os problemas surgem com mais frequência: o tipo de transferência de dados que ocorre entre o fornecedor e a empresa, o tipo de acesso que os fornecedores têm aos sistemas corporativos e os sistemas ou software que os fornecedores estão instalação na rede corporativa. A partir desse conhecimento básico, as organizações podem priorizar os parceiros para uma análise mais aprofundada.
As organizações podem precisar gastar mais tempo avaliando parceiros com um nível mais alto de integração e acesso empresarial. Para esses casos, pode ser razoável exigir auditorias ou avaliações regulares, incluindo aquelas realizadas por terceiros imparciais, em vários momentos ao longo do ano. Além disso, as empresas podem querer conduzir um nível mais alto de monitoramento dos programas de segurança de seus parceiros mais críticos. Para maior transparência e eficácia, pode ser vantajoso entrar em intercâmbios colaborativos e trabalhar para compartilhar informações sobre ataques e soluções.
Em última análise, os parceiros da cadeia de suprimentos devem ser responsáveis pela manutenção de padrões de segurança tão rigorosos quanto aqueles adotados pela própria empresa. Esses padrões devem ser descritos em acordos contratuais e os principais componentes devem ser abordados em questionários padronizados de coleta de informações.
Mesmo com a adoção de padrões e protocolos reconhecidos pelo setor, como avaliações SSAE-16 e PCI-DSS , as empresas devem estar cientes de que não são à prova de balas. As ameaças – e as oportunidades para os cibercriminosos seguirem em frente – estão em constante mudança, e os planos de contingência fazem parte dos esforços de segurança. Ter uma opção de Plano B é vital em qualquer caso, mas especialmente para casos em que uma empresa não tem uma alternativa clara ou prontamente disponível, caso um parceiro crítico seja colocado offline.
Especialistas em segurança há muito pregam a necessidade de uma abordagem de segurança em várias camadas que englobe o básico – ter uma abordagem completa e planejada para implementar atualizações e correções de patches de software, realizar testes frequentes de vulnerabilidade e penetração e garantir atualizações regulares para sistemas de backup de dados são feitas – e incorpora as melhores práticas para higiene de segurança em áreas-chave, como gerenciamento e segurança de DNS, defesa contra DDoS e gerenciamento de exposição de vulnerabilidades de aplicativos, incluindo a instalação de um WAF. As organizações levaram amplamente essas medidas a sério, mas agora devem pensar além de si mesmas e perguntar se seus parceiros de confiança também estão à altura dos mesmos ideais.
Manter a confiança requer transparência, colaboração
Os negócios modernos estão inextricavelmente interconectados e nenhum setor está imune às ameaças cibernéticas representadas por maus atores. Informações pessoais e ativos financeiros serão sempre visados e a construção de uma defesa forte exigirá uma estreita colaboração em toda a cadeia de suprimentos. Somente fornecendo uma imagem clara de seus sistemas de segurança, protocolos e até mesmo pontos fracos, terceiros podem gerar confiança em seus parceiros corporativos. As informações são poderosas, mas devem ser precisas e completas para que as organizações ajam de acordo com elas e tomem as melhores decisões que protejam a si mesmas e a seus clientes.
FONTE: HELPNET SECURITY