Cinco maneiras de gerenciar riscos cibernéticos em toda a cadeia de suprimentos

Hoje em dia, é quase impossível administrar um negócio sem a ajuda de fornecedores terceirizados para auxiliar na entrega de seus produtos, sistemas ou serviços. Trabalhar com parceiros externos pode trazer uma série de benefícios, incluindo processos mais simplificados e eficientes para atender às maiores demandas dos clientes. Ao mesmo tempo, novas entidades podem trazer novos riscos, especialmente no domínio da segurança cibernética. Quando as empresas se reúnem e compartilham informações, o risco de uma empresa passa a ser o de toda a cadeia.

Os ataques cibernéticos à cadeia de suprimentos estão aumentando, com um aumento de 42% nos Estados Unidos durante o primeiro trimestre de 2021. Ataques desse tipo são especialmente populares para criminosos cibernéticos, uma vez que fornecem uma oportunidade de se infiltrar em uma rede inteira de organizações por meio de um único fornecedor terceirizado.

Felizmente, como acontece com qualquer tipo de risco, existem maneiras de gerenciar essas ameaças antes que apresentem um problema. A seguir estão algumas ações principais que sua empresa pode realizar para minimizar a chance de um ataque à sua cadeia de suprimentos.

Realize avaliações de risco. Ao entrar em novos relacionamentos com fornecedores, é importante ter certeza de que você sabe onde eles estão em relação à segurança cibernética. Que controles eles possuem? Quais processos e políticas são usados ​​para garantir que os dados sejam bem protegidos? Se você estiver compartilhando qualquer tipo de dados com seus fornecedores, especialmente informações confidenciais de clientes, você deseja saber se eles permanecerão seguros.

Também é uma boa ideia considerar o quão importante será o relacionamento com o fornecedor em geral. Será parte de sua cadeia de suprimentos imediata ou ajudará em uma base ad hoc? Todos os parceiros precisarão ser examinados, mas aqueles que desempenham um papel fundamental em sua cadeia de suprimentos apresentam mais riscos e exigem mais cautela.

Defina os requisitos de segurança. Para estimular um relacionamento transparente com seus fornecedores e definir expectativas claras entre vocês, pode ser útil traçar uma política de fornecedores.

Com esse documento, você pode dedicar seções à segurança cibernética e à proteção de dados, descrevendo o nível de segurança que seus fornecedores devem ser capazes de demonstrar. Uma das maneiras mais fáceis de fazer isso é pedir a seus fornecedores que se alinhem a um conjunto existente de padrões e certificações de segurança cibernética. Nos EUA, os mais populares incluem a ISO 27001, que é reconhecida internacionalmente, e a estrutura NIST. No Reino Unido, o padrão de cibersegurança do governo, Cyber ​​Essentials, ajuda as empresas a reduzir 80% do risco ao se alinhar a cinco controles técnicos essenciais. Obedecer a esses padrões pode ser uma maneira fácil de seus fornecedores demonstrarem uma boa postura de segurança cibernética.

Ao fazer quaisquer requisitos de segurança de seus fornecedores, a melhor prática é garantir que seu próprio negócio já os esteja atendendo. Ao participar de uma cadeia de suprimentos, você se conecta a todos os outros integrantes dela; quaisquer melhorias que você fizer em suas próprias posturas de segurança apenas fortalecerão a cadeia geral.

Implementar treinamento de segurança cibernética. O erro humano ainda é a causa número um dos ataques cibernéticos. Como tal, é um dos elementos mais vitais a abordar. Embora você deva sempre trabalhar para fomentar uma cultura de conscientização sobre a segurança cibernética em sua empresa, essa prática também deve ser incentivada em toda a cadeia de suprimentos.

Considere compartilhar recursos com fornecedores para ajudá-los a educar seus funcionários sobre os riscos cibernéticos. Existem vários exercícios e artigos online gratuitos que oferecem orientação para empresas.

Transferências seguras de dados. Os dados dentro da cadeia de suprimentos devem ser transferidos por meio de canais seguros e protegidos o tempo todo. Os hackers têm maior probabilidade de interceptar dados enquanto eles se movem de um lugar para outro, tornando ainda mais importante manter uma boa segurança durante esse processo. Criptografar os dados antes de transferi-los é uma excelente maneira de minimizar esse risco.

As empresas também devem se certificar de que têm uma visão completa dos diferentes tipos de dados que vivem em sua cadeia de suprimentos e onde eles estão localizados. Isso inclui dados internos (mais sistemas de backup) e os dados aos quais seus fornecedores têm acesso. Esta informação provavelmente irá variar em sensibilidade. Algumas delas podem ser altamente confidenciais, enquanto outras informações são acessíveis ao público. Você pode ajudar a evitar que os dados caiam em mãos erradas classificando-os e rotulando-os corretamente, para saber onde as informações mais valiosas estão localizadas.

Lembre-se de que você também é o fornecedor de alguém. Na maioria das vezes, um hacker tem como alvo uma pequena empresa para acessar o resto de sua cadeia de suprimentos, esperando que suas defesas cibernéticas sejam mínimas ou inexistentes. Vimos isso em um dos primeiros grandes ataques à cadeia de suprimentos a atingir a mídia em 2013, quando um contratado terceirizado que trabalhava com a Target foi comprometido, permitindo que hackers roubassem milhões de detalhes do cartão de crédito do cliente da rede interna do varejista.

As pequenas empresas não precisam apenas considerar a segurança de seus fornecedores, mas também manter um alto padrão de segurança cibernética para convencer os parceiros maiores de que não são um risco à segurança. Muitas empresas, especialmente no setor público, agora exigem que certos padrões de segurança sejam cumpridos por todos os seus fornecedores antes de fechar contratos com eles.

Gerenciar ameaças cibernéticas na cadeia de abastecimento não precisa ser uma tarefa assustadora, mas é importante assumir a responsabilidade por seu próprio risco e manter padrões consistentes de segurança cibernética. É do interesse de todas as empresas compreender os processos, políticas e soluções de segurança de todos os parceiros. Essas etapas não apenas reduzem o risco para toda a cadeia de abastecimento, mas também demonstram aos clientes, parceiros e partes interessadas que seus segredos estão seguros com você.

Clive Madders é o diretor de tecnologia da Cyber ​​Tec Security .