Proteja Sua Cadeia de Suprimentos: Uma Estratégia Holística de Cibersegurança

A evolução das redes de cadeia de suprimentos ao longo dos anos foi amplamente impulsionada pela tecnologia. Organizações de todos os tamanhos estão se movendo para o espaço digital, algumas compelidas pelas disrupções do último ano. Enquanto empresas constroem fortalezas de cibersegurança para si mesmas, existem várias vulnerabilidades em pontos de contato com fabricantes, fornecedores, parceiros globais e outros provedores de serviços a considerar. Ameaças estão à espreita em torno de tais partes, esperando violar a segurança na primeira chance.

A cibersegurança amadureceu até certo ponto para empresas maiores, embora focada dentro do perímetro da organização. Existe uma falta de governança e controle sobre departamentos individuais lidando com outras entidades no ecossistema, muitas das quais são negócios menores que são baixos em sua força de cibersegurança. Estes são pontos de entrada favoráveis para hackers.

Com o advento de tecnologias disruptivas como veículos autônomos, automação de processos robóticos e digitalização ponta a ponta, as fronteiras de cibersegurança entre organizações estão ficando mais borradas. Cerca de 80% das violações reportadas ocorrem em redes de cadeia de suprimentos. Onde quer que sua organização apareça na cadeia de suprimentos, se você está conectado, você está em risco.

Ameaças à cadeia de suprimentos incluem negação de serviço, vazamento de dados, roubo de dados de clientes, disrupção de negócios, e outros ataques de malware como ransomware. Como diz o ditado, a cadeia de suprimentos é tão forte quanto seu elo mais fraco.

Abordagem em Três Lentes

Abordar cibersegurança na rede de cadeia de suprimentos deve ser visto através de três lentes: tecnologia, pessoas e processo.

Tecnologia

Toda a cadeia de suprimentos precisa ser incluída em proteção, mitigação e planos de resposta de cibersegurança. Resposta e recuperação não devem ser limitadas a configurações tecnológicas internas.

A adoção de tecnologia em nuvem, dispositivos de internet das coisas (IoT) e servidores virtuais abre novas vistas para violações. Garanta procedimentos adequados de cibersegurança como autenticação de dois fatores e controle de acesso biométrico em todos os sistemas internos e de terceiros. Planos de mitigação de risco e recuperação devem ser documentados como um processo padrão.

Usar software de código aberto pode ser uma fonte de ameaças, e monitoramento adequado deve ser planejado para essas configurações.

A tecnologia blockchain é uma tendência emergente que tem o potencial de aumentar transparência e eficiência, junto com um alto nível de segurança de dados através de múltiplos parceiros comerciais. Pode permitir melhor visibilidade de fluxos de produto, dados e financeiros através da cadeia de suprimentos. É amplamente adotada por empresas com operações complexas e seu impacto real ainda está para ser visto. Especialistas acreditam que organizações pelo menos devem avaliar a viabilidade e benefícios potenciais do blockchain.

Pessoas

Todos os funcionários e parceiros comerciais devem ser incluídos no framework de segurança. Papéis e responsabilidades claras para todo pessoal e entidades terceiras em proteção, detecção, e medidas de resposta e recuperação são essenciais.

Políticas de traga-seu-próprio-dispositivo (BYOD) são uma fonte principal de malware e phishing na cadeia de suprimentos, e precisam ser um foco chave. Nenhum dispositivo de propriedade de pessoal deve ser permitido conectar à infraestrutura corporativa sem canalizá-los através de uma rede privada virtual (VPN).

Processo

Estabeleça processos para due diligence da postura de cibersegurança antes de fazer onboarding de qualquer nova entidade em seu ecossistema. Monitoramento regular para garantir conformidade de processos por todas as entidades é essencial para assegurar a capacidade do plano de recuperação e resposta.

Disseminação de inteligência de ameaças é outro fator que pode fazer uma enorme diferença para o processo geral de cibersegurança, mas ainda tem que amadurecer como prática padrão.

Estabeleça processos para remover acesso para terceiros após o contrato ser concluído, pois isso tem sido um erro caro para muitas empresas.

Empresas precisam implementar diretrizes e padrões corporativos de acesso a dados, especialmente quando dados sensíveis estão sendo compartilhados entre organizações.

Auditorias mensais de servidor e rede ajudam a manter um bom rastro de todos acessos especiais e de admin.

Diretrizes-Chave para um Plano de Segurança

Seguem algumas diretrizes-chave para manter em mente ao desenvolver um plano de segurança para toda a rede de parceiros comerciais.

• Não funcionará se não for um esforço colaborativo. Você precisa encorajar e educar negócios menores com os quais trabalha sobre ameaças de cibersegurança. PMEs por sua vez podem buscar apoio de seus parceiros maiores.
• Especialistas em cadeia de suprimentos promovem a ideia de assumir que uma violação vai ocorrer cedo ou tarde, então ter um plano de resiliência cibernética é obrigatório hoje.
• Ainda não existe um framework amplo que suportaria todos os tamanhos de empresas quando se trata de gestão de cibersegurança de cadeia de suprimentos. No entanto, fornecedores e outras partes podem realizar iniciativas de verificação independentes e padronizadas.
• Testes de penetração podem eliminar vulnerabilidades conhecidas e potenciais.
• Uma equipe central ou gerente deve ser estabelecido que monitore regularmente a configuração de cibersegurança para toda a cadeia de suprimentos, para prevenir "silos" de rede não gerenciada.
• Empresas devem considerar o uso de inteligência artificial para detectar ameaças e violações mais proativamente, e ativar sistemas de resposta a tempo.

Vijaya Rao é fundadora e CEO da TechVio, uma empresa de serviços de TI.