10 Passos Essenciais para Proteger Sua Cadeia de Suprimentos: Um Guia Comprovado de Cibersegurança

À medida que as cadeias de suprimentos globais se tornam cada vez mais digitais, as empresas são expostas a riscos de inúmeras fontes indiretas. Um sistema é tão forte quanto seu elo mais fraco, e hackers caçarão meticulosamente para descobrir um componente vulnerável.

Esta exploração vem a um preço alto. Segundo o Relatório de Custo de Violação de Dados da Segurança da IBM, $5,52 milhões é o custo total médio de uma violação para empresas com mais de 25.000 funcionários e $2,64 milhões para organizações com menos de 500 funcionários. A maioria das empresas paga aos hackers o resgate que exigem. Este verão, a Colonial Pipeline Co. e a JBS SA pagaram aos hackers $4,4 milhões e $11 milhões, respectivamente, para recuperar dados criptografados após ciberataques massivos.

Outros impactos incluem serviço ao cliente interrompido, confiança minada e perda de vantagem competitiva.

Cibercriminosos estão evitando barreiras e identificando fraquezas para explorar cadeias de suprimentos mais eficazmente do que nunca. No caso da Colonial Pipeline, hackers abusaram de um perfil de rede privada virtual (VPN) legado que exigia apenas autenticação de fator único.

Ataques não apenas paralisam empresas, mas também ferem clientes. Oitenta por cento das violações envolvem informações de identificação pessoal (PII). Hackers usam PII e senhas para acessar as várias contas de um indivíduo na web. Além disso, qualquer quebra em uma cadeia de suprimentos — seja seu negócio ou fornecedores de terceira ou quarta parte — impacta a produção de bens e serviços enquanto também eleva preços.

No Relatório de Segurança da CrowdStrike — uma pesquisa com mais de 1.000 participantes — dois terços de tomadores de decisão seniores de TI e profissionais de cibersegurança revelaram que suas organizações haviam experimentado um ataque à cadeia de suprimentos de software. O mesmo número confessou que sua empresa não está adequadamente preparada para se defender contra uma futura violação. Empresas devem ser proativas e focar na construção de resiliência cibernética para prevenir exploração.

O Instituto Nacional de Padrões e Tecnologia (NIST), parte do Departamento de Comércio dos Estados Unidos, recomenda os seguintes passos para proteger adequadamente ativos de TI.

Identificação

Localize vetores de ameaça potenciais — rotas que ataques maliciosos podem tomar para passar suas defesas e infectar sua rede — conduzindo avaliações internas de risco e vulnerabilidade. Considere contratar uma empresa para realizar uma avaliação avançada.

Proteção

Tome as ações necessárias para proteger sua organização e prevenir eventos de ameaça:

• Redução de exposição. Além da proteção básica fornecida por firewalls e software antivírus, é vital estabelecer procedimentos de acesso privilegiado. Siga o princípio do menor privilégio — apenas funcionários que precisam de acesso a dados sensíveis têm permissão de acesso.

Ferramentas como análises comportamentais, detecção e resposta de endpoint (EDR), inteligência artificial (IA) e inteligência de ameaças podem fortalecer defesas. Empresas devem adotar práticas de codificação segura e consultar os Top 10 Riscos de Segurança de Aplicações Web do Open Web Application Security Project (OWASP).

• Compromisso e treinamento de funcionários. Funcionários são a última linha de defesa em cibersegurança e um dos vetores de ameaça mais comuns. É crítico engajar cada funcionário; a suíte executiva não está isenta. Estabeleça uma cultura de suspeita saudável entre funcionários. Esta abordagem pode parecer excessivamente paranóica, mas as apostas podem ser altas.

Institua treinamento de conscientização e campanhas internas de phishing para expor funcionários às mais novas técnicas de spam e engenharia social. Qualquer funcionário que caia em uma campanha de phishing deve ser imediatamente obrigado a passar por treinamento. Incuta uma forte cultura de senhas na qual funcionários tenham senhas variadas e seguras. Garanta que eles entendam que se uma senha for violada em um lugar, é possível e relativamente simples para hackers usá-la em outras contas associadas ao mesmo e-mail.

Existem incontáveis recursos de cibersegurança úteis (e gratuitos) disponíveis para complementar o aprendizado dos funcionários e mantê-los atualizados sobre as últimas tendências da indústria, como os módulos de treinamento virtual fornecidos pelo Departamento de Segurança Interna dos EUA.

• Seguro. Certifique-se de ter seguro adequado no caso de um ataque. Alguns provedores de seguro incluem proteções contra ransomware. Pergunte sobre o que não é coberto em um ciberataque.
• Segurança física. Proteja pessoal, hardware, software, redes e dados de invasão e ações físicas. Considere soluções como câmeras de vigilância, guardas de segurança, sistemas de segurança, barreiras, fechaduras, cartões de acesso, alarmes de incêndio, sprinklers e outros sistemas projetados para proteger funcionários e propriedade.

Cuidado com carona. Segurar a porta aberta para alguém entrando no escritório com as mãos cheias pode parecer educado, mas representa uma ameaça de segurança. Certifique-se de que todos que entram nas dependências da empresa são pessoal autorizado.

• Relacionamentos de negócios seletivos. Ciberataques através de redes de fornecedores estão se tornando cada vez mais comuns. Segundo o Estudo de Organização Ciber-Resiliente 2020 do Instituto Ponemon, 56% das organizações relatam que experimentaram uma violação de cibersegurança causada por um fornecedor terceirizado. Ao determinar um nível aceitável de risco, seja seletivo ao escolher contratados ou parceiros para trabalhar com sua empresa.
• Relato de incidentes. Incuta uma boa cultura e educação para relato de incidentes. Profissionais de TI são mais capazes de reduzir danos potenciais se souberem sobre isso mais cedo.

Detecção

Diz-se que uma casa sem detectores de fumaça é o mesmo que uma rede sem monitoramento. Monitoramento contínuo para eventos de segurança deve incluir ambientes físicos, redes, provedores de serviços e atividade de usuários. Varreduras de vulnerabilidade são uma ótima ferramenta e devem ser realizadas regularmente em sistemas contendo informações sensíveis.

Resposta e Recuperação

Uma correlação é evidente entre tempo de resposta e custo de um ataque. Indústrias que levam mais tempo para detectar, reagir, responder e remediar incorrem nos custos mais altos. Uma resposta rápida pode ajudar a mitigar o impacto. Ainda assim, não pode eliminar a possibilidade, então sempre há ênfase na prevenção.

Um plano de recuperação de desastres é crítico para restaurar acesso a dados e infraestrutura de TI após um desastre. A recuperação depende do escopo do dano.

Desenhe um plano de resposta e um roteiro de remediação para todos os cenários de incidentes potenciais na forma de um plano de continuidade de negócios. Inclua táticas que manterão o negócio operacional durante um desastre. Determine criticidade de fornecedores e um curso de ação se fornecedores-chave forem atacados. Aliste fornecedores de backup e backups para seus backups caso você precise mudar para outro provedor para acomodar clientes.

Como parte de um plano eficaz de recuperação de desastres, é recomendado simular uma violação de cibersegurança no mínimo uma vez por ano. Através desses exercícios, pessoal relevante entende seu papel e os procedimentos a serem seguidos.

A cibersegurança será um obstáculo proeminente para empresas de todos os tamanhos à medida que as cadeias de suprimentos se tornam mais complexas. Identifique elos fracos na cadeia de suprimentos para garantir que vulnerabilidades sejam minimizadas e para prevenir eventos de ameaça. Construir resiliência cibernética preparará sua empresa para um cenário pior que seria mais caro e danoso.

Marc Lewis é chefe de segurança da informação na Visible Supply Chain Management.