Protegendo a Cadeia de Suprimentos Global: Aproveitando Dados Sem Fronteiras para Defesa Cibernética

Ataques de cibersegurança na cadeia de suprimentos não são novos, mas estão longe de estar sob controle.

Um estudo recente da Resilience 360 descobriu que houve quase 300 incidentes de cibersegurança impactando entidades da cadeia de suprimentos em 2019. Com o negócio médio compartilhando dados com mais de 500 terceiros, não é de admirar que o Instituto Ponemon reporte que aproximadamente 61% das empresas dos EUA experimentaram uma violação de dados dentro de suas cadeias de suprimentos.

Enquanto tensões geopolíticas impulsionaram uma ampla faixa desses ataques, 2020 deu lugar a uma tempestade perfeita de oportunidade, pois a COVID-19 forçou uma grande parte da força de trabalho global a mudar para trabalho remoto. Organizações, de governos a empresas, devem assumir a responsabilidade de proteger os dados que processam e compartilham. Com a colaboração sendo tão crucial para sustentar inovação e produtividade, isso deve ser feito sem sufocar o fluxo de ideias e informações, ou tornar sistemas e processos inviáveis.

O Novo Normal do Trabalho Remoto

Quando a COVID-19 atingiu os EUA com força no primeiro trimestre deste ano, organizações responderam movendo funcionários para trabalho remoto quase da noite para o dia. Em junho de 2020, incríveis 42% dos trabalhadores americanos estavam conduzindo negócios remotamente de casa e migrando escritórios. Com uma força de trabalho altamente móvel, e ecossistemas de fornecedores que estão se tornando cada vez mais complexos e globalmente dispersos, a ameaça à propriedade intelectual e informações classificadas ou sensíveis se intensifica.

Equipes de projeto usam plataformas móveis e de nuvem diariamente para compartilhar e armazenar dados, potencialmente expondo-os a acesso por usuários não autorizados. Eles também estão sendo fisicamente transportados para fora da organização em smartphones, discos rígidos removíveis e dispositivos de armazenamento USB que são propensos a roubo e perda. Dentro deste contexto, dados estão constantemente cruzando fronteiras de empresas e nações. Não há mais um perímetro claro para defender.

Embora hacks deliberados sejam agora comuns, uma das maiores ameaças à segurança continua sendo o roubo, perda e uso indevido de dados em movimento. Pesquisa da Apricorn em 2018 notou que 29% das organizações pesquisadas sofreram uma violação de dados como resultado direto de trabalho móvel. A mesma pesquisa conduzida em 2020 mostra que mais da metade dos respondentes ainda acredita que trabalhadores remotos exporão sua organização ao risco de uma violação de dados.

Além disso, pesquisa recente da Digital Guardian mostra um aumento de 123% no volume de dados baixados para mídia USB por funcionários desde que a COVID-19 atingiu, sugerindo que equipes estão usando armazenamento removível para levar grandes volumes de dados para casa. A menos que esses dispositivos sejam criptografados, é apenas uma questão de tempo antes de vermos um pico em violações de dados associadas à vulnerabilidade de trabalhadores remotos.

Abordagem Centrada em Dados e Baseada em Políticas

Uma abordagem centrada em dados, baseada em políticas, para segurança protegerá a informação em si, dentro e fora dos sistemas centrais de uma organização, tanto em movimento quanto em repouso, enquanto permite comunicações seguras. A resposta está em uma abordagem multicamadas combinando pessoas, processos e tecnologia.

Comece de Dentro

Segurança não é apenas sobre soluções tecnológicas. Treinamento de conscientização de segurança e programas de engajamento precisam se estender a equipes de parceiros e contratados. Seu objetivo aqui é tornar todos os funcionários cientes do valor e riscos associados aos dados, e tanto definir quanto reforçar seu papel em protegê-los.

Além disso, coloque as melhores práticas de segurança de dados em vigor, e gerencie a aplicação delas. Você pode dar à sua organização uma vantagem criando práticas e políticas para como interagir com e proteger dados. Ao delinear e aplicar melhores práticas para sua equipe e cadeia de suprimentos, você ajuda a construir uma cultura de responsabilidade.

Pense em Dados em Termos de Ciclo de Vida

Tendo criado melhores práticas para trabalhar com e proteger dados, organizações devem conduzir uma auditoria abrangente, cobrindo:

• Que tipo de dados é mantido, e para que propósito;
• Quem tem acesso a esses dados;
• Para onde os dados fluem, e
• Como eles são atualmente controlados.

Isso tornará mais fácil identificar áreas de não conformidade, apontar onde dados podem estar desprotegidos, e identificar tecnologias, políticas e processos que podem minimizar exposição a riscos.

Aplique Segurança

Defina uma estratégia que inclua a documentação e aplicação de políticas que controlam como dados sensíveis são manuseados e usados, e que são estendidas a todos os endpoints, incluindo parceiros e contratados. Criptografia deve ser um elemento-chave da estratégia. Se um dispositivo de mídia removível cair em mãos erradas, informações criptografadas serão tornadas ininteligíveis para qualquer um tentando acessá-las.

Especialmente no "novo normal" do trabalho remoto, é imperativo que departamentos de TI pesquisem, identifiquem e exijam um dispositivo de armazenamento móvel criptografado padrão corporativo, e apliquem seu uso através de políticas de whitelisting. O dispositivo deve ser pré-configurável para cumprir requisitos de segurança, como força de senha.

E, como estamos falando de cadeia de suprimentos, requisitos devem ser escritos em contratos de terceiros — definindo, por exemplo, as ferramentas e tecnologias que devem ser usadas, e quando devem ser atualizadas. Organizações podem adotar uma abordagem ainda mais proativa e definir esses requisitos no processo de request for proposal (RFP), para que expectativas sejam definidas antes de um terceiro ser escolhido.

Meça, Monitore e Reporte

Para equipes de TI e segurança, o ditado "Você não pode gerenciar o que não pode medir" é especialmente apropriado. A auditoria contínua de conformidade, tanto dentro da organização quanto através da cadeia de suprimentos, fornece visibilidade rápida de violações de política, para que possam ser abordadas através de treinamento ou procedimentos disciplinares. O monitoramento também fornecerá uma trilha de auditoria detalhada que permite à organização demonstrar sua posição de conformidade, bem como um registro preciso de qualquer comportamento de usuário não conforme.

Uma combinação de medidas técnicas e organizacionais pode ajudar a reduzir exposição a riscos na cadeia de suprimentos, enquanto permite a troca segura e mobilidade de informações à medida que continuamos a trabalhar de casa. Empresas que controlam seus dados apropriadamente podem proteger confidencialidade, segurança nacional e sua própria reputação sem comprometer eficiência, agilidade ou sua vantagem competitiva.

A cadeia de suprimentos em constante expansão, junto com mudanças dramáticas em como e onde trabalhamos, significa que organizações têm que focar continuamente na segurança de terceiros. Ao criar um plano estratégico de segurança de dados que audita e mede ao longo do caminho, com ênfase em conscientização e treinamento de funcionários, podemos proteger nossas cadeias de suprimentos apesar da eliminação de fronteiras físicas.

Jon Fielding é diretor administrativo na Apricorn, fabricante de dispositivos de armazenamento USB de dados com criptografia de hardware.