Plano de 5 Passos da Cisco para Cibersegurança Robusta de Terceiros

Já é difícil reforçar a cibersegurança dentro das paredes do seu próprio negócio. Mas fazer o mesmo para o exército de parceiros que compõe uma cadeia de suprimentos global? Isso pode ser quase impossível.

O Problema

Dificilmente passa uma semana sem notícias de outro ciberataque contra a cadeia de suprimentos de uma grande empresa. E mais frequentemente do que não, o conduto para a incursão é um terceiro com controles fracos.

Em cadeias de suprimentos modernas, um terceiro pode ser qualquer entidade que venda peças, produtos, serviços, suporte, software — a lista continua. "Para mim, compreende qualquer um além de nós que em qualquer ponto nas etapas da cadeia de valor estão realmente envolvidos em nossas soluções", diz Edna Conway, diretora de segurança da cadeia de valor global da Cisco Systems, Inc.

Cadeia de Valor vs. Cadeia de Suprimentos

A Cisco favorece o termo "cadeia de valor" — que qualquer número de empresas e consultores tentaram sem sucesso suplantar "cadeia de suprimentos" como descritor geral para a jornada ponta a ponta do produto ao mercado — porque sugere um universo maior de entidades independentes engajadas nesse esforço. Mas independentemente de se abraçar o jargão corporativo, não há dúvida de que a proliferação de parceiros levanta sérias questões de cibersegurança. Sem sistemas e procedimentos adequados, qualquer um deles poderia cair presa dos esforços de atores maliciosos, incluindo empresas rivais, governos, extorsionistas e até hackers de porão.

Abordagem de 5 Passos da Cisco

Conway oferece a seguinte abordagem de cinco passos para configurar um plano eficaz de cibersegurança para relacionamentos com terceiros.

1. Conheça o "quem, o quê e onde" de sua cadeia de suprimentos

Autoevidente embora possa parecer, muitas empresas não têm controle sobre todas as partes que contribuem de alguma forma para o negócio. Isso é especialmente o caso em cadeias de suprimentos multi-nível — e é difícil pensar em um produto manufaturado hoje que não dependa de tal estrutura.

2. Trabalhe em formas de se comunicar efetivamente com todas essas partes

Conway não se refere a todas as interações que cobrem questões geopolíticas ou continuidade de suprimento, apenas aquelas que abordam especificamente questões de segurança. Como tal, ela descreve três tipos principais de ameaças: manipulação (quando informação é alterada), espionagem (tanto de estado-nação quanto industrial), e disrupção (envolvendo tentativas de desligar o negócio). Ela diz que pode ser difícil impressionar um desenvolvedor de licença de software ou provedor de serviço de nuvem de terceiros a importância de se proteger contra as três ameaças. O mesmo vale para indivíduos no chão de fábrica, cuja atenção pode estar focada em manter a linha rodando. "Leva treinamento para fazer segurança parte do pensamento cotidiano de qualquer um em qualquer papel", diz Conway.

3. Desenvolva arquitetura "flexível e elástica"

A abordagem da Cisco para segurança da cadeia de suprimentos abrange 11 domínios discretos que refletem a complexidade de seus processos. Design, desenvolvimento, entrega e serviço: cada disciplina possui relacionamentos com terceiros, criando a possibilidade de inúmeros pontos fracos tanto dentro quanto fora da organização. A estratégia leva em conta o fato de que várias áreas de produção requerem diretrizes únicas para suas operações. "Escrevemos requisitos de forma que você possa mapeá-los, de modo que apenas aqueles baseados na natureza do que você nos entrega se apliquem", diz Conway. "Todos recebem uma versão personalizada."

4. Incorpore segurança em tudo que você faz com todos os terceiros

Conway insta as empresas a perguntar: "Por que estamos usando eles, e como estão performando de acordo com nossas métricas de serviço?" Ironicamente, quando "Qualidade" era proclamada em banners e comícios corporativos, o conceito não era "imbuído persuasivamente" dentro da organização. Quando se trata de cibersegurança agora, qualidade não é um slogan ou função discreta, diz Conway — ela é instilada em todo processo dentro da cadeia de suprimentos. A Cisco atribui pontos a terceiros de acordo com sua adesão demonstrada à qualidade, e segurança é uma parte chave dessa medida. "Tornamos isso matematicamente significativo, então se você é fantástico como fornecedor mas horrível em segurança, pode não permanecer um fornecedor preferido", diz ela.

5. Todos devem medir

Conway tem pressionado fortemente para medir performance pela organização. "Estabelecemos níveis de tolerância contra nossas próprias especificações e processos", diz ela. "No fim do dia, estamos fazendo a segurança falar a linguagem dos negócios."

Implementação Gradual

A iniciativa de segurança da Cisco não foi implementada de uma vez. Conway, que anteriormente serviu como advogada externa da empresa especializada em questões de propriedade intelectual, tornou-se sua CSO no início dos anos 2000. Em vez de impor imediatamente uma "arquitetura monolítica" desde o início, ela fez em etapas, começando com parceiros de manufatura eletrônica (EMS) da Cisco, depois passando para produtores de circuito impresso, engenharia e a multidão de parceiros de canal que compõem a "cadeia de valor" da empresa.

Comunicação com a Alta Gestão

Na pregação do evangelho da cibersegurança, Conway considera essencial comunicar com o C-suite, cuja visão de mundo está enraizada em lucro e prejuízo. "Gostaria de traduzir meus níveis de tolerância em risco em dólares", diz ela. "Todos precisamos falar a linguagem dos negócios."