Protegendo as Cadeias de Suprimentos da América: Estratégias para Mitigar Ameaças Cibernéticas

Em fevereiro, o presidente Joe Biden assinou a Ordem Executiva 14017, pedindo uma revisão abrangente das cadeias de suprimentos críticas dos EUA. A ação foi em resposta a escassez de suprimentos médicos como equipamentos de proteção individual (EPI) para trabalhadores de saúde na linha de frente durante o auge da pandemia de COVID-19. Outras necessidades identificadas pela ordem incluíram chips semicondutores para a indústria automotiva e outras aplicações de alta tecnologia.

Esses problemas dificultam a capacidade dos americanos de obter produtos essenciais e criam instabilidade para trabalhadores em indústrias afetadas. O objetivo da nova ordem, segundo a Casa Branca, é abordar proativamente tais questões antes que recorram.

"Embora não possamos prever qual crise nos atingirá, devemos ter a capacidade de responder rapidamente diante de desafios", disse a Casa Branca. "Os Estados Unidos devem garantir que escassez de produção, interrupções comerciais, desastres naturais e potenciais ações de competidores e adversários estrangeiros nunca deixem os Estados Unidos vulneráveis novamente."

A campanha do Presidente deixou claro que sua Administração está comprometida em abordar riscos da cadeia de suprimentos de forma abrangente. Mas a iniciativa terá sucesso?

Do ponto de vista de segurança, há várias questões que a Administração deve considerar. Falhar nisso resultará em tempo e esforço duplicados, desperdiçando recursos enquanto falha em mitigar riscos cibernéticos que poderiam resultar em outro ataque à cadeia de suprimentos.

O primeiro passo para garantir a segurança das cadeias de suprimentos dos EUA é identificar suas vulnerabilidades e riscos. A ordem executiva de Biden foca em seis setores: base industrial de defesa, saúde pública, tecnologia da informação e comunicações, energia e poder, transporte e agricultura.

A dependência das cadeias de suprimentos em produtos e serviços digitais criou vulnerabilidades sérias, tornando a cibersegurança parte essencial da revisão. O medo de que um ator de Estado-nação possa decidir segurar a cadeia de suprimentos via cibercrime é real. A Seção 4.4 da ordem executiva deixa claro que gestão de risco cibernético é uma preocupação chave e área de foco. Dentro de um ano, relatórios devem ser submetidos cobrindo o estado atual da dependência das cadeias de suprimentos em nações competidoras. Como o governo envolve a comunidade de segurança da informação para esse propósito fará ou quebrará a iniciativa em todos os setores.

Garantindo Resultados em Um Ano

O empreendimento cobre muito território para um prazo de um ano. É crítico que a comunidade de segurança da informação e tecnologia, baseando-se nas lições do ano passado, forneça input às partes que impulsionam a iniciativa. Os esforços de grupos da indústria como centros de compartilhamento e análise de informações (ISACs) e o Conselho de Coordenação do Setor de TI (ITSCC) serão centrais para o sucesso. Além disso, há uma montanha de dados e análises saindo das quatro grandes consultorias sobre quais riscos priorizar ao lidar com terceiros.

O Departamento de Defesa dos EUA deve desempenhar papel chave em ajudar a iniciativa a ser implementada sem problemas. Um esforço comparável supervisionado pelo DOD é a Certificação de Modelo de Maturidade de Cibersegurança (CMMC), exigindo que fornecedores de materiais contratados pelo governo atendam padrões específicos. Um conselho chave, baseado na reação pública e privada ao CMMC até agora, é evitar tanto quanto possível misturar processos de concessão e revisão de contratos. Líderes da indústria setorial e agências governamentais devem trabalhar juntos para decidir um padrão simples mas eficaz para cibersegurança nas várias cadeias de suprimentos simplesmente.

A Importância da Padronização

Criar as parcerias certas e obter input de especialistas em segurança da informação é uma coisa, mas garantir maior maturidade de cibersegurança nas cadeias de suprimentos dos EUA é outra bem diferente. Comunicação é o único elemento que pode fazer ou quebrar novos requisitos quando implementados em um ecossistema tão grande. É impulsionada por medição, com resultados padronizados entre grupos independentemente de seu nível de maturidade de cibersegurança. Padrões como a subcategoria de Gestão de Risco da Cadeia de Suprimentos do NIST CSF ou o CMMC mencionado anteriormente são ótimas ferramentas para tornar requisitos claros e implementá-los efetivamente nas cadeias de suprimentos. As metodologias de avaliação cibernética sob NIST CSF são especialmente valiosas para fornecer contexto a fornecedores com pouco conhecimento de segurança da informação.

Quando se trata de medição, simular todos os riscos potenciais nas cadeias de suprimentos dos EUA é impossível, dada a complexidade dos ecossistemas globais de cadeia de suprimentos. No entanto, é valioso identificar cenários que examinem vários pontos potenciais de falha. Aproveitar metodologias existentes de quantificação de risco de formas criativas é chave para alcançar verdadeira resiliência. É essencial que empresas entendam risco da cadeia de suprimentos como meio de alcançar boa governança, baseando-se em input de equipes de segurança, compartilhamento de dados e informações, e avanços em software de gestão de risco.

Espera-se apenas que a iniciativa de cadeia de suprimentos de Biden aproveite dados existentes de eventos passados e análises preditivas sobre o futuro. Toda a cadeia de suprimentos pode ser benchmarked, e todas as vulnerabilidades identificadas em um único ano? E podemos mitigar o risco cibernético severo nas cadeias de suprimentos dos EUA? Isso resta a ser visto.

Padraic O'Reilly é co-fundador e diretor de produto da CyberSaint.