På slutten av 2022 ble vi bedt om å liste opp de viktigste cybertrendene vi forventet ville dominere overskriftene i 2023 , og vi markerte forsyningskjeden. Og det hadde vi rett i! De siste tre månedene har forsyningskjedesikkerhet vært i søkelyset, og av alle de gale grunnene.
I mars ble IT-outsourcinggiganten Capita rammet av et ransomware-angrep som påvirket mange offentlige og private kunder, inkludert Royal Mail, Axa og USS, et av Storbritannias største pensjonsfond. Den britiske visestatsministeren, Oliver Dowden, advarte om risikoen for kritiske nasjonale infrastrukturforsyningskjeder og utstedte en formell advarsel til bedrifter om innkommende angrep fra uforutsigbare aktører.
Nylig ble store merkevarer, inkludert BA, Boots og BBC, fanget av et personlig og økonomisk datainnbrudd som påvirker ansatte og kunder. Den skyldige? En feil i et filoverføringsverktøy kalt MOVEit, som deres lønnsleverandør, Zellis, brukte.
Utfordringene for forsyningskjedesikkerhet
Så hvorfor virker forsyningskjedesikkerhet så vanskelig for organisasjoner å komme på toppen av? En av de kritiske utfordringene er den økte kompleksiteten og gjensidig avhengighet av globale forsyningskjeder. Organisasjoner har ofte begrenset synlighet og kontroll over deres utvidede nettverk, noe som gjør det utfordrende å sikre sikkerheten til data og systemer utenfor deres umiddelbare rekkevidde.
I tillegg står informasjonssikkerhet i forsyningskjeden overfor sårbarheter som utilstrekkelig sikkerhetspraksis fra leverandører, svake autentiseringsmekanismer, utdatert programvare og til og med potensielle forsyningskjedeavbrudd forårsaket av naturkatastrofer eller geopolitiske hendelser.
Virkningen av et brudd i forsyningskjeden kan være alvorlig og vidtrekkende. Ikke bare kan det føre til økonomiske tap, omdømmeskader og juridiske konsekvenser, men det kan også forstyrre driften og kompromittere tilliten til kunder og interessenter. Den sammenkoblede naturen til forsyningskjeder betyr at et brudd i én organisasjon kan ha kaskadeeffekter på flere enheter i kjeden, og forsterke den potensielle skaden.
Hva informasjonssikkerhetsrapporten forteller oss om forsyningskjedesikkerhet
Til tross for de veldokumenterte risikoene og den økende mengden overskrifter, mister mange selskaper fortsatt oversikten over forsyningskjedene sine. Faktisk, ifølge vår rapport om informasjonssikkerhetstilstanden i 2023, mente bare 30 % av organisasjonene at de slet med å administrere forsyningskjeden sin, men over 57 % innrømmet å ha opplevd minst én cyberhendelse som følge av forsyningskjedebrudd de siste 12 månedene, og mange innrømmet mer enn én hendelse.
Hvor kommer denne mangelen på tilknytning? NCSC utførte nylig sin egen undersøkelse og fant at «litt over én av ti bedrifter vurderer risikoene som utgjøres av deres nærmeste leverandører (13 %), og andelen for den bredere forsyningskjeden er halvparten så høy (7 %).»
Så selv om mange organisasjoner forstår at forsyningskjeden deres bør være bekymringsfull, gjenstår det en:
- mangel på investeringer for å beskytte mot denne cyberrisikoen
- begrenset synlighet i forsyningskjeder
- utilstrekkelig verktøy og ekspertise for å evaluere leverandørenes cybersikkerhet
mangel på klarhet rundt hva du bør be leverandørene om å gjøre
Disse problemene etterlater forsyningskjeder utsatt og risikerer å bli utnyttet av nettkriminelle.
Regulatoriske utfordringer og forsyningskjedesikkerhet
I løpet av de siste 12 månedene har nesten to tredjedeler (60 %) av britiske virksomheter fått en bot på grunn av databrudd eller brudd på regelverket. Gjennomsnittlig sum betalt i bøter var nesten £250,000.
De vanligste bøtene for datainnbrudd varierte fra £50,000 til £100,000 (21 %), etterfulgt av £100,000 til £250,000 (17.5%). Nesten 21 % av de spurte mottok bøter på over 250,000 500,000 pund, og i underkant av halvparten innrømmet å ha mottatt en straff fra 1,000,000 XNUMX pund til svimlende XNUMX XNUMX XNUMX pund.
Av disse bøtene skyldtes alarmerende 42 % enten direkte eller indirekte et datainnbrudd eller en hendelse som inkluderte en forsyningskjede eller en tredjepartsleverandørkompromiss. Fremhev hvor integrert leverandørstyring er for en organisasjons informasjonssikkerhet og regeloverholdelse.
Nøkkeltrender som påvirker forsyningskjedesikkerhet
En av hovedtrekkene fra State of Information Security Report er den økende sofistikeringen av cyberangrep rettet mot forsyningskjeder. Nettkriminelle bruker avanserte vedvarende trusler (APT), som er snikende og svært målrettede angrep som tar sikte på å kompromittere integriteten til forsyningskjeden. Disse angrepene kan forbli uoppdaget i lengre perioder, slik at trusselaktører kan få uautorisert tilgang til sensitive data eller til og med manipulere eller ta kontroll over kritiske systemer.
En gang i systemet vil angripere ofte kreve løsepenger for å få tilgang tilbake til disse kritiske systemene eller true med å frigi sensitive data med mindre de betales. Nesten 25 % av organisasjonene i undersøkelsen vår hadde blitt holdt til løsepenger i løpet av de siste 12 månedene, med ytterligere 25 % som også har opplevd nettverksinntrenging i samme periode.
Dessuten belyser rapporten den økende utbredelsen av kompromissangrep i forsyningskjeden, med 19 % av respondentene som oppgir at de hadde blitt påvirket på denne måten de siste 12 månedene. I disse scenariene utnytter angripere sårbarheter i én eller flere forsyningskjedekomponenter for å infiltrere hele økosystemet.
For eksempel, ved å kompromittere en leverandørs nettverk eller systemer, kan angripere få uautorisert tilgang til nedstrømspartnere, noe som fører til en ringvirkning av sikkerhetsbrudd. Dette understreker sammenhengen og gjensidig avhengighet av forsyningskjedesikkerhet, noe som gjør det avgjørende for organisasjoner å vurdere og redusere risikoer ikke bare innenfor systemene deres, men også på tvers av hele forsyningskjedenettverket.
En annen bekymringsfull trend identifisert i rapporten er økningen i phishing-angrep i forsyningskjeden. Cyberkriminelle bruker sosiale ingeniørteknikker for å lure enkeltpersoner i forsyningskjeden, lure dem til å røpe sensitiv informasjon eller utilsiktet laste ned skadelig programvare.
Disse phishing-angrepene kan være overbevisende, ofte etterligne pålitelige leverandører, leverandører eller interne interessenter. Det er derfor kanskje ikke overraskende at 28 % av respondentene i undersøkelsen sa at de hadde blitt misligholdt som et resultat av et phishing-angrep rettet mot ansatte i løpet av de siste 12 månedene. Organisasjoner må utdanne sine ansatte om disse truslene og implementere robuste e-postsikkerhetstiltak for å bekjempe disse stadig mer sofistikerte phishing-forsøkene.
Vanlige forsyningskjede-sårbarheter og angrepsvektorer
ISMS.onlines State of Information Security Report avslører også flere vanlige sårbarheter og angrepsvektorer som trusselaktører utnytter for å kompromittere leverandørsikkerheten.
En utbredt sårbarhet er svak leverandørkontroll. Mange leverandører har kanskje ikke robuste sikkerhetstiltak, noe som gjør dem til et enkelt mål for nettangrep. Disse sårbarhetene kan omfatte utdatert programvare, utilstrekkelig patchadministrasjon eller slappe tilgangskontroller. Angripere utnytter disse svakhetene for å få uautorisert tilgang til sensitiv informasjon eller introdusere ondsinnet kode i forsyningskjedens økosystem.
En annen sårbarhet oppstår på grunn av manglende due diligence under leverandøronboarding. Organisasjoner overser ofte viktigheten av grundig gjennomgang av leverandørenes sikkerhetspraksis før de engasjerer seg i forretningsforhold. Dette tilsynet skaper et potensielt gap i forsyningskjedens forsvar, og lar angripere utnytte det svakeste leddet. For eksempel kan en leverandør med utilstrekkelige sikkerhetstiltak utilsiktet utsette hele forsyningskjeden for betydelig risiko.
Utilstrekkelig sikkerhetsbevissthet og opplæring i hele forsyningskjeden er en annen sårbarhet angripere utnytter. Ansatte på ulike nivåer i forsyningskjeden har kanskje ikke tilstrekkelig kunnskap om beste praksis for cybersikkerhet eller de potensielle truslene de står overfor. Dette kunnskapsgapet gjør dem utsatt for angrep fra sosiale ingeniører, phishing-forsøk eller utilsiktet introduksjon av skadelig programvare i systemet.
Faktisk hadde mindre enn halvparten av de undersøkte organisasjonene levert regelmessig opplæring i informasjonssikkerhet eller databevissthet i løpet av de siste 12 månedene (47 %), noe som tyder på at 53 % av organisasjonene ennå ikke hadde gitt regelmessig opplæring i bevissthet for ansatte i det hele tatt. Organisasjoner må prioritere opplæring i sikkerhetsbevissthet og etablere en kultur for årvåkenhet på tvers av hele forsyningskjeden.
Rapporten legger også vekt på risikoen forbundet med tredjeparts programvare og maskinvarekomponenter. Å integrere disse komponentene i forsyningskjeden introduserer et nivå av avhengighet av eksterne enheter, noe som øker angrepsoverflaten og potensielle sårbarheter. Ondsinnede aktører kan kompromittere disse komponentene, noe som kan føre til forsyningskjedeavbrudd, datainnbrudd eller introduksjon av kompromittert programvare eller maskinvare.
Videre utgjør innsidetrusler innenfor forsyningskjeden en betydelig risiko. Insidertrusler kan oppstå når personer med autorisert tilgang til forsyningskjedens økosystem misbruker privilegiene sine eller bevisst engasjerer seg i ondsinnede aktiviteter. Dette kan være en misfornøyd ansatt, en entreprenør med uautorisert tilgang eller en kompromittert insider. Over 20 % av de i undersøkelsen vår hadde opplevd en hendelse som et resultat av en innsidetrusselkompromiss de siste 12 månedene. Slike trusler kan ha alvorlige konsekvenser, inkludert datainnbrudd, tyveri av intellektuell eiendom eller sabotasje.
Å forstå disse sårbarhetene er avgjørende for at organisasjoner skal utvikle målrettede risikoreduserende strategier. Organisasjoner kan forbedre informasjonssikkerheten i forsyningskjeden betydelig ved å identifisere og håndtere svake leverandørkontroller, implementere strenge due diligence-prosesser, fremme sikkerhetsbevissthet og opplæringsprogrammer, og tett administrere tredjeparts programvare- og maskinvarekomponenter.
Navigere i kompleksiteten til informasjonssikkerhet i forsyningskjeden
Den økende avhengigheten av tredjepartsrelasjoner og det utviklende trussellandskapet nødvendiggjør en omfattende tilnærming for å redusere risikoer og beskytte sensitive data. La oss utforske noen viktige områder å vurdere når vi navigerer i vanskelighetene med informasjonssikkerhet i forsyningskjeden.
Risikovurdering og avbøtende strategier:
En grundig risikovurdering er grunnlaget for effektiv informasjonssikkerhet i forsyningskjeden. Det innebærer å identifisere og evaluere potensielle sårbarheter og trusler innenfor forsyningskjedens økosystem. Organisasjoner kan prioritere risikoer, allokere ressurser effektivt og implementere målrettede reduksjonsstrategier ved å gjennomføre regelmessige vurderinger. Disse strategiene kan inkludere datakryptering, tilgangskontroller, regelmessige sikkerhetsrevisjoner og kontinuerlig overvåking for å oppdage og adressere sårbarheter umiddelbart.
Etablere et robust rammeverk for forsyningskjedesikkerhet:
Organisasjoner må etablere et robust sikkerhetsrammeverk for å administrere informasjonssikkerhet i forsyningskjeden effektivt. Dette rammeverket bør skissere klare retningslinjer, prosedyrer og retningslinjer for å sikre konsistent sikkerhetspraksis gjennom hele forsyningskjeden. Den bør inkludere sikkerhetskrav for leverandører, entreprenører og andre tredjepartspartnere og retningslinjer for sikker datadeling og overføring. Regelmessige vurderinger og revisjoner kan validere rammeverkets effektivitet og drive kontinuerlig forbedring.
Samarbeid og partnerskap:
Organisasjoner bør fremme åpen kommunikasjon og samarbeid med leverandører, leverandører og andre interessenter for å samkjøre sikkerhetspraksis, dele trusselintelligens og styrke sikkerhetsposisjonen. Samarbeidsinitiativer kan omfatte informasjonsdelingsplattformer, felles sikkerhetsrevisjoner og regelmessige sikkerhetsopplærings- og bevissthetsprogrammer.
Tredjeparts risikostyring:
Det er viktig å etablere robuste tredjeparts risikostyringsprosesser. Dette innebærer å utføre due diligence ved valg av partnere, vurdere deres sikkerhetspraksis og etablere kontraktsavtaler som skisserer sikkerhetsforventninger og -ansvar. Regelmessig overvåking og revisjoner av tredjeparts sikkerhetskontroller bør utføres for å sikre kontinuerlig overholdelse.
Hendelsesrespons og gjenopprettingsplaner:
Til tross for proaktive sikkerhetstiltak kan det fortsatt forekomme hendelser. Det er avgjørende å ha veldefinerte hendelsesrespons og gjenopprettingsplaner på plass. Disse planene bør skissere trinnene som skal tas i tilfelle et sikkerhetsbrudd, inkludert hendelsesdeteksjon, inneslutning, etterforskning og gjenoppretting. Organisasjoner bør gjennomføre regelmessige responsøvelser og simuleringer for å teste planenes effektivitet og identifisere forbedringsområder.
En proaktiv og omfattende tilnærming til informasjonssikkerhet i forsyningskjeden er avgjørende for langsiktig suksess og forretningskontinuitet i et trussellandskap i stadig utvikling.
Hvordan ISO 27001 kan bidra til å oppnå effektiv forsyningskjedestyring
ISO 27001 er en internasjonalt anerkjent standard for informasjonshåndtering, men den handler egentlig om risikostyring . Å jobbe innenfor ISO 27001-rammeverket vil fremme atferd og sikkerhetsfordeler for enhver bedrift som ønsker å forbedre sin cyberrobusthet og effektivt administrere sikkerheten i forsyningskjeden.
ISO 27001 anbefaler bedrifter å ha en så enkel prosess som mulig for onboarding og håndtering av leverandører . Fokuser spesielt på følgende:
- Etablere en formell policy for leverandører, som skisserer dine krav for å redusere risiko knyttet til tredjeparter
- Avtale og dokumentere disse kravene med hver leverandør
- Sjekke leverandører har prosesser på plass for å møte passende nivåer av grunnleggende sikkerhet (inkludert deres egne forsyningskjeder). Dette kan gjøres via fokuserte revisjoner, spørsmål eller kontroller for akkreditering med ISO 27001
- Opprettholde en jevnlig oppdatert liste over godkjente leverandører
- Regelmessig vurdere om leverandørene oppfyller dine sikkerhetskrav.
- Sikre at eventuelle teknologi- eller prosessendringer blir raskt flagget og at du forstår deres innvirkning på leverandørrisiko.
Det kan virke som viktige råd med sunn fornuft, men det kan spare organisasjoner for tid, penger, skade på omdømmet og frustrasjon hvis de implementeres riktig. I tillegg kan det å oppnå samsvar med ISO 27001-rammeverket tilby en betydelig forretningsfordel ved å demonstrere din sertifiserte sikkerhetslegitimasjon til nåværende og fremtidige kunder.
Etter hvert som forsyningskjeder vokser i størrelse og kompleksitet, øker også de tilhørende cyberrisikoene. Organisasjoner må iverksette avgjørende tiltak for å beskytte sin informasjon og sine eiendeler. Ved å utnytte ressurser som veiledning for kartlegging av forsyningskjeder som tilbys av NCSC og implementering av et ISMS basert på ISO 27001, kan organisasjoner styrke sine risikostyringspraksiser i forsyningskjeden og beskytte driften mot utviklende cybertrusler. Nå er det på tide å prioritere proaktive tiltak for å håndtere disse utfordringene direkte.
Du kan lese hele rapporten om informasjonssikkerhetstilstanden her: https://no.isms.online/state-of-infosec-23/
