Hiába védjük csúcstechnológiával a saját rendszereinket, ha olyan beszállítókkal dolgozunk, akik nem fordítanak elég figyelmet a kibervédelemre és az üzletfolytonosság fenntartására. A BlueVoyant kiberbiztonsági vállalat szakértői szerint minden szervezetnek érdemes holisztikus módon, minden fontos területre kiterjesztve kezelnie az ellátási láncok védelmét.

Egyre fontosabbá válik, hogy a vállalatok képesek legyenek kezelni az ellátási láncokat érintő kockázatokat és sebezhetőségeket. Erre olyan szabályozások is kötelezik őket, mint például a NIS2, amelynek hamarosan számos cégnek kell eleget tennie az EU-ban. Ám nem csupán a kötelező előírások miatt érdemes foglalkozni a kérdéskörrel. Rendszeresen érkeznek hírek arról, hogy nagy szervezetek komoly károkat szenvedtek az ellátási láncaikat ért incidensek miatt. Ilyen támadásnak esett áldozatául például a Toyota, az Atlassian és a DoorDash is. A probléma szinte mindenki számára ismerős: a BlueVoyant felmérésében a vezetők 98%-a mondta azt, hogy előfordult már, hogy negatívan érintette a vállalatát egy, az ellátási láncát ért támadás.  

Érdemes az alvállalkozók rendszereit is monitorozni

Egy ilyen incidens számos különféle negatív következménnyel járhat bármely szervezet számára. „A legtöbb vállalatnál a kiindulópont a digitális ellátási lánc védelme, amely magában foglal minden olyan partnert, beszállítót és egyéb harmadik felet, amely hálózati hozzáféréssel rendelkezik a cég rendszereihez. Ha az egyik alvállalkozó nem rendelkezik megfelelő kibervédelemmel, azt a gyenge pontot kihasználhatják a kiberbűnözők. 

Ez dominóhatást indíthat el a biztonsági kockázatok terén, ami hosszú távú negatív hatással lehet a vállalat pénzügyeire és hírnevére, illetve az ügyfelek adataira és a munkavállalók moráljára. Ám a szervezeteknek ügyelniük kell arra is, hogy a probléma túlmutat a digitális téren, hiszen számos módon függnek a partnereiktől” – hívja fel a figyelmet Csendes Balázs, a BlueVoyant kelet-közép-európai, valamint a közel-keleti térségekért felelős értékesítési igazgatója. A vállalatoknak nemcsak a saját informatikai rendszereiket kell folyamatosan monitorozniuk és elemezniük, hanem a beszállítókét is.

● Holisztikus megközelítés. Ahhoz, hogy a vállalatok átfogó képpel rendelkezzenek az ellátási láncaikkal járó kockázatokról, alaposan meg kell vizsgálniuk minden olyan területet, ami veszélyt jelenthet a beszállítóknál. Ez a digitális térben kiterjed az adatvédelem, a kiberbiztonság, az események monitorozása és elemzése, illetve a vállalati vagy iparági szabályozások teljesítésére is. A fizikai térben pedig olyan aspektusokkal célszerű foglalkozni mint például a teljesítmény, az üzletfolytonosság, a beszállítói stratégia, a versenyhelyzet, a pénzügyi stabilitás, a földrajzi tényezők, az exportot vagy importot érintő esetleges szankciók, illetve a fenntarthatóság.
● Kérdezz-felelek. A szervezetek kérdőíveken keresztül kérhetnek be információkat az alvállalkozóiktól a fontos területekkel kapcsolatban. Ám ez csupán egy pillanatnyi képet biztosít az aktuális állapotról, ezért a későbbiekben is figyelemmel kell kísérniük a helyzetet és az esetleges változásokat a fizikai és a digitális térben egyaránt. 
● Hozzáférések feltérképezése. Tanácsos arra is időt szánniuk a cégeknek, hogy feltérképezzék, az egyes partnereik mely rendszereikhez rendelkeznek hálózati hozzáféréssel, és azt is rangsorolják, hogy mely szállítók számítanak kritikus fontosságúnak az üzletmenetünk folytonosságához. Lehetséges, hogy csökkenthetik a harmadik felek rendelkezésére bocsátott hozzáférések számát és adatok mennyiségét, ha azok nem feltétlenül szükségesek az általuk nyújtott szolgáltatáshoz.
● Mindenre felkészülten. Érdemes különféle támadási típusokra is felkészülni, mivel a fenyegetések sokféle formában érkezhetnek a rosszindulatú kódok injektálásától kezdve a hamis szoftverfrissítések telepítésén át az IT- és üzemeltetési technológiákat célzó támadásokig. 
● Folyamatos monitorozás és a kritikus kockázatok csökkentése. Ha olyan kockázat merülne fel az ellátási láncban, ami komoly gondokhoz vezethet, azt ajánlott azonnal jelezni az érintett beszállító partnernek. Ha az alvállalkozó megoldási javaslatot és kézzelfogható ajánlást is kap a probléma elhárításához, akkor jó eséllyel rövid idő alatt orvosolhatja a hiányosságot.
● Oktatás = higiénia. Fontos, hogy a szervezetek munkavállalói és a beszállítók alkalmazottai is rendszeres oktatásban részesüljenek, hogy melyek az aktuálisan leggyakoribb támadási módszerek, és milyen intő jelekre kell figyelni. Ezek segíthetnek a felhasználóknak, hogy észleljék a személyes vagy a vállalatokat célzó adathalász kísérleteket, és hogy ne dőljenek be a trükknek. Az alapvető kiberhigiéniai rutin bevezetése és napi szintű alkalmazása számos különféle kockázatot segít mérsékelni vagy elhárítani.