0
0
As cadeias globais de suprimentos têm lidado com desafios de todos os ângulos nos últimos dois anos, piorados pela pandemia covid. Em 2022, as empresas provavelmente estarão sob pressão crescente à medida que continuarem a enfrentar a escassez, atrasos e aumentos de preços dentro da cadeia de suprimentos. Além disso, a ameaça cibernética em constante evolução está afetando as cadeias de suprimentos em todos os lugares. As empresas devem melhorar a gestão de riscos cibernéticos entre os fornecedores para apoiar a eficiência da cadeia de suprimentos e reduzir a chance de ataques cibernéticos.
Os ataques da cadeia de suprimentos são uma séria causa de preocupação no espaço de segurança cibernética, uma vez que os danos podem ser tão difundidos, e é exatamente por isso que eles se tornaram um método popular para criminosos cibernéticos. Hoje em dia, as cadeias de suprimentos são teias complicadas de empresas que estão adotando processos e tecnologias mais digitalizadas, expandindo a superfície de ataque. Apenas uma vulnerabilidade nos sistemas de um fornecedor pode causar uma interrupção extensiva e dar a um hacker acesso a toda uma cadeia de organizações.
Desde o primeiro maior ataque da cadeia de suprimentos a atingir a mídia em 2013 na loja americana Target, vimos esses ataques aumentarem exponencialmente e cerca de 84% das organizações agora acreditam que os ataques da cadeia de fornecimento de software serão uma das maiores ameaças cibernéticas para as empresas nos próximos três anos.
Existem uma série de métodos de ataque da cadeia de suprimentos usados por criminosos cibernéticos, mas alguns dos mais comuns envolvem o plantio de malware dentro dos sistemas de uma empresa antes de ser distribuído aos usuários. Este foi o caso do conhecido ataque solarwinds de 2020. O código malicioso foi injetado na compilação de software da Orion antes de ser lançado para cerca de 18.000 clientes, incluindo grandes corporações como MasterCard e PwC, bem como agências governamentais, embora o número de clientes finalmente impactados seja agora menor que 100. Outros vetores de ameaças comuns para ataques na cadeia de suprimentos podem incluir:
- Provedores de software de terceiros
- Soluções de armazenamento de dados
- Plataformas de desenvolvimento ou teste
- Serviços de construção de sites.
Muitas vezes, os hackers terão como alvo empresas menores dentro de uma cadeia de suprimentos, pois essas são menos propensas a ter soluções avançadas de segurança implementadas, tornando-as mais fáceis de violar. Se essa empresa é um fornecedor para empresas muito maiores, os hackers podem usá-los como base para obter dados e recursos corporativos mais valiosos.
O impacto de um ataque da cadeia de suprimentos como o SolarWinds é significativo. As perdas financeiras podem se acumular devido a uma variedade de fatores, incluindo multas regulatórias, custos investigativos e gerenciamento de reputação. Esses incidentes podem deixar uma impressão duradoura, afetando a confiança do consumidor e, consequentemente, a receita da empresa. Portanto, é vital para todas as organizações enfrentar a ameaça da cadeia de suprimentos, não importa o tamanho ou setor.
Práticas recomendadas de segurança da cadeia de suprimentos
Em essência, qualquer fornecedor com acesso aos seus sistemas e dados tem o potencial de representar um risco para o seu negócio. Se um fornecedor não segue as melhores práticas de segurança, há uma grande chance de eles serem violados, e é por isso que é importante ir além de avaliar sua postura de segurança interna e olhar para fora para sua cadeia de suprimentos mais ampla. As organizações podem fazer isso até certo ponto, mas muitas, especialmente as maiores, têm um grande número de fornecedores e, portanto, embora possam estar em risco de avaliar seus fornecedores mais diretos, subcontratados ou fornecedores ad hoc podem ser negligenciados. Qualquer um desses fornecedores de nível inferior pode oferecer um backdoor para o hacker, portanto, negligenciar vetá-los corretamente pode adicionar sérios riscos à sua cadeia de suprimentos.
Identifique seus dados: Para formular uma imagem clara de sua cadeia de suprimentos e, finalmente, onde as vulnerabilidades podem estar, é importante acompanhar onde seus dados estão sendo mantidos e quem tem acesso a eles. Como seus fornecedores estão protegendo e armazenando dados? Que controles de acesso ao usuário eles têm no local? Eles estão realizando verificações adequadas de antecedentes dos funcionários e terminando o acesso quando um funcionário deixa a empresa?
Estabeleça expectativas de segurança e comunique-as aos seus fornecedores: Ser transparente com os fornecedores sobre quais padrões você quer que eles aderam ajudará a incentivar um relacionamento de confiança, bem como garantir que todos entendam onde precisam estar em termos de segurança. Esses requisitos podem ser definidos em uma política de fornecedores para maior clareza.
Coisas como proteção contra malware, patches de expectativas e controles de acesso serão importantes aqui, mas é importante lembrar que a segurança cibernética vai além da tecnologia. Garantir que os fornecedores tenham bons processos e políticas para manter o erro humano ao mínimo também será fundamental para reduzir a chance de uma violação.
Muitas empresas pedirão que os fornecedores atendam a um padrão reconhecido de segurança cibernética de terceiros, pois isso torna mais fácil tanto para os fornecedores saber quais medidas de segurança e controles devem implementar, e também para que a empresa veja evidências disso sendo feito, já que a maioria das normas envolverá uma espécie de certificação. Nos EUA, alguns populares incluem NIST e HIPAA e no Reino Unido, o Cyber Essentials do governo cobre controles de segurança essenciais que todas as empresas devem cumprir. Há também a série ISO reconhecida internacionalmente, particularmente 27001, que ajuda as empresas a estabelecer um sistema de gerenciamento de segurança da informação de alto nível.
Certifique-se de que os fornecedores estão relatando incidentes: Se sua cadeia de suprimentos sofrer um ataque, é importante ser capaz de localizar a fonte o mais rápido possível e conter os danos porque esses tipos de ataques podem se espalhar rapidamente. Se um fornecedor descobre atividades suspeitas, deve haver processos em andamento que exigem que o fornecedor tome medidas para identificar a fonte de ataque e notificá-lo do que aconteceu. Você deve ter um plano de comunicação de risco em vigor para que fique claro de quem é o papel de comunicar o quê. Uma vez que você sabe que há uma situação, seu negócio pode então reagir de acordo.
Monitore e mantenha: Segurança cibernética e gerenciamento de riscos da cadeia de suprimentos é um processo contínuo. À medida que as ameaças cibernéticas evoluem e os criminosos cibernéticos se tornam mais sofisticados em seus ataques, suas estratégias podem precisar mudar, por isso é necessário rever regularmente tanto sua configuração interna quanto a de seus fornecedores e garantir que você fique por dentro de quaisquer vulnerabilidades que um hacker possa explorar.
Embora você não possa mitigar completamente o risco de um ataque cibernético em sua cadeia de suprimentos, mais pode ser feito para obter uma melhor supervisão de todos os seus fornecedores individuais e as vulnerabilidades que eles podem estar expondo em seus processos, políticas e controles. A digitalização nas cadeias de suprimentos é necessária para satisfazer as crescentes demandas dos consumidores, e isso provavelmente se desenvolverá ainda mais. A segurança cibernética deve, portanto, ser vista como uma prioridade para aqueles que gerenciam as cadeias de suprimentos, com o objetivo de implementar uma estratégia sólida para minimizar riscos cibernéticos que é revisada e atualizada de acordo com o cenário de ameaças em constante mudança.
FONTE: DC VELOCITY