Az ellátási lánc biztonsága közös érdek
Egyre fontosabbá válik, hogy a vállalatok képesek legyenek kezelni az ellátási láncokat érintő kockázatokat és sebezhetőségeket. Erre olyan szabályozások is kötelezik őket, mint például a NIS2, amelynek hamarosan számos cégnek kell eleget tennie az EU-ban. Ám nem csupán a kötelező előírások miatt érdemes foglalkozni a kérdéskörrel. Rendszeresen érkeznek hírek arról, hogy nagy szervezetek komoly károkat szenvedtek az ellátási láncaikat ért incidensek miatt. Ilyen támadásnak esett áldozatául például a Toyota, az Atlassian és a DoorDash is. A probléma szinte mindenki számára ismerős: a BlueVoyant felmérésében a vezetők 98%-a mondta azt, hogy előfordult már, hogy negatívan érintette a vállalatát egy, az ellátási láncát ért támadás.
Attól függ…
Egy ilyen incidens számos különféle negatív következménnyel járhat bármely szervezet számára. „A legtöbb vállalatnál a kiindulópont a digitális ellátási lánc védelme, amely magában foglal minden olyan partnert, beszállítót és egyéb harmadik felet, amely hálózati hozzáféréssel rendelkezik a cég rendszereihez. Ha az egyik alvállalkozó nem rendelkezik megfelelő kibervédelemmel, azt a gyenge pontot kihasználhatják a kiberbűnözők. Ez dominóhatást indíthat el a biztonsági kockázatok terén, ami hosszú távú negatív hatással lehet a vállalat pénzügyeire és hírnevére, illetve az ügyfelek adataira és a munkavállalók moráljára. Ám a szervezeteknek ügyelniük kell arra is, hogy a probléma túlmutat a digitális téren, hiszen számos módon függnek a partnereiktől” – hívja fel a figyelmet Csendes Balázs, a BlueVoyant kelet-közép-európai, valamint a közel-keleti térségekért felelős értékesítési igazgatója
Komoly kiesésekhez vezethet, ha egy, az alvállalkozóknak kiszervezett feladatot nem tudnak végrehajtani megfelelően, vagy megszűnik egy időre egy bizonyos támogatási szolgáltatás. Hasonlóan komoly problémák adódhatnak az operációs függőségből. Ha például egy cég beszállítója nem képes időben rendelkezésre bocsátani egy fontos alkatrészt, vagy nincs megfelelő szakember, akkor teljes folyamatok állhatnak le. Ezt pedig már a fogyasztó is megérzi, hiszen ha nem kapható az adott termék, amire szüksége lenne, a céget fogja okolni, nem pedig a beszállítót. A bevételkiesésen túl tehát jelentős presztízvesztést is okozhat egy-egy ilyen, az ellátási láncból begyűrűző probléma.
A megoldás: együttműködés a partnerekkel
A vállalatoknak nemcsak a saját informatikai rendszereiket kell folyamatosan monitorozniuk és elemezniük, hanem a beszállítókét is, mivel az ellátási láncot érintő kiberbiztonsági fenyegetések dinamikusan változhatnak. A BlueVoyant szakértői szerint a kockázatok csökkentéséhez holisztikus megközelítésre van szükség, amely magában foglalja az alábbi lépéseket:
- Holisztikus megközelítés. Ahhoz, hogy a vállalatok átfogó képpel rendelkezzenek az ellátási láncaikkal járó kockázatokról, alaposan meg kell vizsgálniuk minden olyan területet, ami veszélyt jelenthet a beszállítóknál. Ez a digitális térben kiterjed az adatvédelem, a kiberbiztonság, az események monitorozása és elemzése, illetve a vállalati vagy iparági szabályozások teljesítésére is. A fizikai térben pedig olyan aspektusokkal célszerű foglalkozni mint például a teljesítmény, az üzletfolytonosság, a beszállítói stratégia, a versenyhelyzet, a pénzügyi stabilitás, a földrajzi tényezők, az exportot vagy importot érintő esetleges szankciók, illetve a fenntarthatóság.
- Kérdezz-felelek. A szervezetek kérdőíveken keresztül kérhetnek be információkat az alvállalkozóiktól a fontos területekkel kapcsolatban. Ám ez csupán egy pillanatnyi képet biztosít az aktuális állapotról, ezért a későbbiekben is figyelemmel kell kísérniük a helyzetet és az esetleges változásokat a fizikai és a digitális térben egyaránt.
- Hozzáférések feltérképezése. Tanácsos arra is időt szánniuk a cégeknek, hogy feltérképezzék, az egyes partnereik mely rendszereikhez rendelkeznek hálózati hozzáféréssel, és azt is rangsorolják, hogy mely szállítók számítanak kritikus fontosságúnak az üzletmenetünk folytonosságához. Lehetséges, hogy csökkenthetik a harmadik felek rendelkezésére bocsátott hozzáférések számát és adatok mennyiségét, ha azok nem feltétlenül szükségesek az általuk nyújtott szolgáltatáshoz.
- Mindenre felkészülten. Érdemes különféle támadási típusokra is felkészülni, mivel a fenyegetések sokféle formában érkezhetnek a rosszindulatú kódok injektálásától kezdve a hamis szoftverfrissítések telepítésén át az IT- és üzemeltetési technológiákat célzó támadásokig.
- Folyamatos monitorozás és a kritikus kockázatok csökkentése. Ha olyan kockázat merülne fel az ellátási láncban, ami komoly gondokhoz vezethet, azt ajánlott azonnal jelezni az érintett beszállító partnernek. Ha az alvállalkozó megoldási javaslatot és kézzelfogható ajánlást is kap a probléma elhárításához, akkor jó eséllyel rövid idő alatt orvosolhatja a hiányosságot.
- Oktatás = higiénia. Fontos, hogy a szervezetek munkavállalói és a beszállítók alkalmazottai is rendszeres oktatásban részesüljenek, hogy melyek az aktuálisan leggyakoribb támadási módszerek, és milyen intő jelekre kell figyelni. Ezek segíthetnek a felhasználóknak, hogy észleljék a személyes vagy a vállalatokat célzó adathalász kísérleteket, és hogy ne dőljenek be a trükknek. Az alapvető kiberhigiéniai rutin bevezetése és napi szintű alkalmazása számos különféle kockázatot segít mérsékelni vagy elhárítani.
A cégeknek összehangoltan kell dolgozniuk minden beszállítjuk vezetőjével annak érdekében, hogy közösen csökkenthessék az ellátási láncot érintő kockázatokat. Ha túlságosan összetett feladat a függőségek feltérképezése és monitorozása, akkor egyszerűbb és hatékonyabb a cégek számára, ha igénybe veszik egy kibervédelmi szakértő partner segítségét, amely képes pontosan olyan mélységig elemezni mindezeket, amilyenre szükség van a zavartalan működés fenntartásához és az előírások teljesítéséhez.
