No post dessa semana, vamos explorar o conceito de segurança cibernética da cadeia de suprimentos em um momento em que há um número crescente de ataques cibernéticos de terceiros.
A principal prioridade para as partes interessadas da cibersegurança é proteger os ativos de TI das organizações com ferramentas de TI de última geração e práticas recomendadas. Essas etapas ajudam a fortalecer as organizações. Frequentemente, é esquecida a enorme ameaça a uma organização que está fora de seu perímetro, os riscos associados aos fornecedores, consultores ou quaisquer partes interessadas externas que constituem os elos da cadeia de suprimentos. Este risco de terceiros aumenta a importância da segurança da cadeia de abastecimento.
Os ataques cibernéticos tradicionais eram diretos e focados na exploração das vulnerabilidades da organização alvo. Com a crescente adoção de ferramentas e práticas de segurança de prevenção de ameaças, essas organizações tornaram-se mais seguras. Sendo esse um obstáculo, os ciberataques agora se voltaram para links da cadeia de suprimentos relativamente mais fracos que os ajudam a penetrar nas organizações visadas.
Você está tão seguro quanto seu elo mais fraco!
Por que isso é uma grande preocupação em 2021? O COVID-19 impulsionou organizações em todo o mundo em migrações de nuvem aceleradas e transformações digitais. Essa transição aparentemente noturna adicionou um conjunto novo e desconhecido de vulnerabilidades ao cenário de ameaças atual. Durante a pandemia, muitas organizações se desviaram de seus modelos de negócios, com algumas entrando em fusões e outras até fechando. Esse fenômeno desencadeou reações em cadeia que alteraram o panorama dos fornecedores em todo o mundo.
A maioria das organizações são elos em algumas cadeias de suprimentos no mundo dos negócios. Essas organizações podem não ter visibilidade de toda a rede de fornecedores porque, à medida que esses fornecedores se envolvem com subcontratados, sua visibilidade diminui ainda mais e o risco aumenta.
Uma organização pode estar vigilante ciberneticamente dentro de seu perímetro. Mas como a segurança dos dados pode ser garantida se a organização desconhece sua cadeia de suprimentos de dados?
O mundo atingido pela pandemia testemunhou alguns incidentes de violação por terceiros. A notícia de um ataque cibernético à cadeia de suprimentos em dezembro de 2020 abalou o mundo da tecnologia quando um grupo de hackers atacou algumas agências governamentais dos Estados Unidos e grandes empresas de tecnologia, incluindo Microsoft e Cisco Systems. Os hackers exploraram as vulnerabilidades do software usado por essas organizações. Os hackers comprometeram o fornecedor de software confiável SolarWinds e incorporaram um código malicioso. Quando o novo patch de software foi lançado, os invasores ganharam acesso às organizações visadas.
Vejamos cinco artigos interessantes sobre segurança da cadeia de suprimentos e aprender como evitar violações de dados de terceiros.
1. Avaliando os riscos de segurança da nossa cadeia de suprimentos: somos tão seguros quanto nosso elo mais fraco
O ataque à cadeia de suprimentos da SolarWinds expõe as vulnerabilidades no controle operacional e administrativo de uma organização sobre um fornecedor confiável. O primeiro passo para a resiliência cibernética da cadeia de suprimentos é avaliar os riscos e integrar a mitigação de riscos aos processos de negócios. O projeto e o gerenciamento devem ser discutidos explicitamente, bem como manter as expectativas dos fornecedores em relação à segurança e à continuidade dos negócios.
2. Cibersegurança da cadeia de suprimentos: o que você precisa considerar
A principal preocupação da segurança da cadeia de suprimentos é entender os limites organizacionais das responsabilidades de segurança. Certificações, como o Cybersecurity Maturity Model Certification (CMMC), que é exigido pelo Departamento de Defesa dos EUA para todos os fornecedores, fornecem uma camada de garantia na segurança. O compartilhamento de informações sobre segurança cibernética entre os elos da cadeia de suprimentos também ajuda a fortalecer a rede e desenvolver a confiança.
3. Segurança cibernética da cadeia de suprimentos – A nova base para o crescimento
Com o advento da Indústria 4.0, houve um aumento no número de end points e na quantidade de dados criados e processados nesses nós da Internet das Coisas Industrial (IIoT – Industrial Internet of Things). O aumento dos níveis de segurança cibernética na cadeia de abastecimento traz mais valor quando todas as partes interessadas fornecem essa garantia. Com a segurança cibernética imposta como um mandato legal e um ecossistema que promove o compartilhamento de inteligência contra ameaças, a cadeia de suprimentos torna-se resiliente.
4. Melhores práticas para gerenciar riscos cibernéticos de terceiros
As organizações precisam de uma estrutura para categorizar os parceiros com base no perfil de risco, seguida por uma análise de risco cibernético para entender o impacto de cada fornecedor, com base na qual acordos claros de transferência de risco são feitos entre as organizações. Avaliações de risco qualitativas e quantitativas contribuem para um modelo ideal que fornece uma melhor compreensão dos riscos apresentados pelos parceiros.
5. Principais violações de dados de terceiros em 2020: Lições aprendidas para tornar 2021 mais seguro
Muitos casos em 2020 ajudam as organizações a aprender e compreender a magnitude dos riscos apresentados por fornecedores terceirizados. Eles variam de 650.000 registros de vazamento de dados de uma organização de saúde por causa de um laptop roubado, até a violação massiva de mais de 235 milhões de registros de usuários do Instagram, TikTok e YouTube. Outras histórias descrevem como um fornecedor de peças comprometeu gigantes da tecnologia, incluindo SpaceX, Tesla, Boeing e Lockheed, e como um desenvolvedor de software deixou 10 milhões de registros em um servidor inseguro.
Garantir medidas infalíveis de segurança da cadeia de suprimentos – estabelecendo visibilidade em todos os elos, inclusive nos subcontratados – é uma tarefa desafiadora. No entanto, a adoção de práticas recomendadas no gerenciamento de riscos de terceiros ajuda a reduzir os riscos para as organizações. Com a ajuda das funções jurídicas e financeiras, as organizações devem definir as expectativas corretas sobre os controles de segurança com os fornecedores durante a integração do fornecedor. O compartilhamento de inteligência de ameaças entre a cadeia de suprimentos ajuda a reduzir o risco cibernético e melhora a confiança, ao mesmo tempo em que mostra a liderança de uma organização.
Conheça na prática e na realidade de sua empresa o que as soluções ACSoftware|ManageEngine podem fazer por você. Contamos com um portfólio extenso para gerenciamento de TI.
Com soluções para segurança de TI, gerenciamento de acesso e identidade (Active Directory), gerenciamento de endpoints, ITSM – Gerenciamento de Serviços de TI, ITOM – Gerenciamento de Operações de TI (monitoramento de redes, servidores, aplicações, sites banda e análise de tráfego, gerenciamento de endereços IP e portas de switch), análise avançada de dados e muito mais.
Conte sempre com o apoio da equipe ACSoftware, sua revenda e suporte ManageEngine no Brasil.
Participe agora mesmo do grupo TIMEBRA dedicado aos usuários ManageEngine no Brasil, que tem a intenção de criar uma comunidade para troca de experiências, esclarecer dúvidas, bem como ficar por dentro de dicas e novidades.
ACSoftware revenda e distribuidora ManageEngine no Brasil. – Fone / WhatsApp (11) 4063 9639.
PodCafé da TI – Podcast, Tecnologia e Cafeína.
