I slutet av 2022 ombads vi att lista de främsta cybertrenderna som vi förväntade oss skulle dominera rubrikerna under 2023 , och vi lyfte fram leveranskedjan. Och oj, vad rätt det var! De senaste tre månaderna har leveranskedjans säkerhet varit i rampljuset och av helt fel anledningar.
I mars drabbades IT-outsourcingjätten Capita av ett ransomware-intrång , vilket påverkade många statliga och privata kunder, inklusive Royal Mail, Axa och USS, en av Storbritanniens största pensionsfonder. Storbritanniens vice premiärminister, Oliver Dowden, varnade för risken för kritiska nationella infrastrukturleveranskedjor och utfärdade en formell varning till företag om inkommande attacker från oförutsägbara aktörer.
På senare tid har stora varumärken, inklusive BA, Boots och BBC, fångats av ett personligt och ekonomiskt dataintrång som drabbar personal och kunder. Den skyldige? En bugg i ett filöverföringsverktyg som heter MOVEit, som deras löneleverantör, Zellis, använde.
De utmaningar som Supply Chain Security står inför
Så varför verkar leveranskedjans säkerhet så svår för organisationer att komma över? En av de kritiska utmaningarna är den ökade komplexiteten och det ömsesidiga beroendet mellan globala leveranskedjor. Organisationer har ofta begränsad synlighet och kontroll över sitt utökade nätverk, vilket gör det utmanande att säkerställa säkerheten för data och system utanför deras omedelbara räckvidd.
Dessutom möter informationssäkerheten i försörjningskedjan sårbarheter såsom otillräckliga säkerhetsrutiner från leverantörer, svaga autentiseringsmekanismer, föråldrad programvara och till och med potentiella störningar i försörjningskedjan orsakade av naturkatastrofer eller geopolitiska händelser.
Effekterna av ett brott i leveranskedjan kan vara allvarliga och långtgående. Det kan inte bara leda till ekonomiska förluster, skada på ryktet och juridiska konsekvenser, utan det kan också störa verksamheten och äventyra förtroendet hos kunder och intressenter. Försörjningskedjornas sammanlänkade karaktär innebär att ett brott i en organisation kan ha kaskadeffekter på flera enheter inom kedjan, vilket förstärker den potentiella skadan.
Vad informationssäkerhetsrapporten berättar om leveranskedjans säkerhet
Trots de väldokumenterade riskerna och den växande mängden rubriker glömmer många företag fortfarande bort sina leveranskedjor. Enligt vår rapport om informationssäkerhetens tillstånd 2023 trodde faktiskt bara 30 % av organisationerna att de hade svårt att hantera sin leveranskedja, men över 57 % erkände att de hade upplevt minst en cyberincident till följd av att leveranskedjan hade komprometterats under de senaste 12 månaderna, och många erkände mer än en incident.
Varifrån kommer denna brist på samhörighet? NCSC genomförde nyligen en egen undersökning och fann att ”drygt ett av tio företag granskar de risker som deras omedelbara leverantörer utgör (13 %), och andelen för den bredare leveranskedjan är hälften så stor (7 %).”
Så även om många organisationer förstår att deras försörjningskedja borde vara oroande, finns det fortfarande ett:
- brist på investeringar för att skydda mot denna cyberrisk
- begränsad insyn i leveranskedjor
- otillräckliga verktyg och expertis för att utvärdera leverantörers cybersäkerhet
otydlighet kring vad du bör be dina leverantörer att göra
Dessa problem gör att leveranskedjorna är utsatta och riskerar att utnyttjas av cyberbrottslingar.
Regulatoriska utmaningar och Supply Chain Security
Under de senaste 12 månaderna har nästan två tredjedelar (60 %) av företagen i Storbritannien fått böter på grund av dataintrång eller regelöverträdelser. Den genomsnittliga summan som betalades i böter var nästan 250,000 XNUMX pund.
De vanligaste böterna för dataintrång varierade från £50,000 100,000 till £21 100,000 (250,000%), följt av £17.5 21 till £250,000 500,000 (1,000,000%). Nästan XNUMX % av de tillfrågade fick böter över XNUMX XNUMX pund, varav knappt hälften erkände att ha fått ett straff som sträckte sig från XNUMX XNUMX pund till svindlande XNUMX XNUMX XNUMX pund.
Av dessa böter berodde oroväckande 42 % antingen direkt eller indirekt på ett dataintrång eller incident som inkluderade en kompromiss i leveranskedjan eller tredjepartsleverantörer. Belys hur integrerad leverantörshantering är för en organisations informationssäkerhet och regelefterlevnad.
Nyckeltrender som påverkar leveranskedjans säkerhet
En av de viktigaste aspekterna av State of Information Security Report är den växande sofistikeringen av cyberattacker mot försörjningskedjor. Cyberkriminella använder avancerade ihållande hot (APTs), som är smygande och mycket riktade attacker som syftar till att äventyra integriteten i försörjningskedjan. Dessa attacker kan förbli oupptäckta under längre perioder, vilket gör att hotaktörer kan få obehörig åtkomst till känslig data eller till och med manipulera eller ta kontroll över kritiska system.
Väl i systemet kommer angripare ofta att kräva lösen för att få tillgång tillbaka till dessa kritiska system eller hotar att släppa känslig data om de inte betalas. Nästan 25 % av organisationerna i vår undersökning hade dömts till lösen under de senaste 12 månaderna, och ytterligare 25 % noterade också att de upplevde nätverksintrång under samma period.
Dessutom belyser rapporten den ökande förekomsten av kompromissattacker i försörjningskedjan, där 19 % av de tillfrågade uppger att de hade påverkats på detta sätt under de senaste 12 månaderna. I dessa scenarier utnyttjar angripare sårbarheter i en eller flera komponenter i försörjningskedjan för att infiltrera hela ekosystemet.
Till exempel, genom att äventyra en leverantörs nätverk eller system kan angripare få obehörig åtkomst till nedströmspartners, vilket leder till en ringeffekt av säkerhetsöverträdelser. Detta understryker det sammanlänkade och ömsesidiga beroendet av säkerhet i försörjningskedjan, vilket gör det avgörande för organisationer att bedöma och minska risker inte bara inom sina system utan också över hela sitt nätverk av försörjningskedja.
En annan oroande trend som identifieras i rapporten är ökningen av nätfiskeattacker i supply chain. Cyberbrottslingar använder social ingenjörsteknik för att lura individer inom försörjningskedjan, lura dem att avslöja känslig information eller oavsiktligt ladda ner skadlig programvara.
Dessa nätfiskeattacker kan vara övertygande och utger sig ofta för att vara betrodda leverantörer, leverantörer eller interna intressenter. Det är därför kanske inte förvånande att 28 % av de tillfrågade i enkäten sa att de hade blivit utsatta för intrång som ett resultat av en nätfiskeattack riktad mot sina anställda under de senaste 12 månaderna. Organisationer måste utbilda sina anställda om dessa hot och implementera robusta e-postsäkerhetsåtgärder för att bekämpa dessa allt mer sofistikerade nätfiskeförsök.
Vanliga sårbarheter i försörjningskedjan och attackvektorer
ISMS.onlines State of Information Security Report avslöjar också flera vanliga sårbarheter och attackvektorer som hotaktörer utnyttjar för att äventyra leverantörssäkerheten.
En vanlig sårbarhet är svag leverantörskontroll. Många leverantörer kanske inte har robusta säkerhetsåtgärder, vilket gör dem till ett enkelt mål för cyberattacker. Dessa sårbarheter kan inkludera föråldrad programvara, otillräcklig patchhantering eller slappa åtkomstkontroller. Angripare utnyttjar dessa svagheter för att få obehörig åtkomst till känslig information eller införa skadlig kod i försörjningskedjans ekosystem.
En annan sårbarhet uppstår på grund av bristen på due diligence vid leverantörs-onboarding. Organisationer förbiser ofta vikten av att noggrant granska sina leverantörers säkerhetsrutiner innan de inleder affärsrelationer. Denna tillsyn skapar en potentiell lucka i försörjningskedjans försvar, vilket gör att angripare kan utnyttja den svagaste länken. Till exempel kan en leverantör med otillräckliga säkerhetsåtgärder oavsiktligt utsätta hela leveranskedjan för betydande risker.
Otillräcklig säkerhetsmedvetenhet och utbildning i hela leveranskedjan är en annan sårbarhet angripare utnyttjar. Anställda på olika nivåer inom försörjningskedjan kanske inte har tillräcklig kunskap om bästa praxis för cybersäkerhet eller de potentiella hot de står inför. Denna kunskapslucka gör dem mottagliga för social ingenjörsattacker, nätfiskeförsök eller oavsiktligt införande av skadlig programvara i systemet.
Faktum är att mindre än hälften av de undersökta organisationerna hade tillhandahållit regelbunden utbildning i informationssäkerhet eller datamedvetenhet under de senaste 12 månaderna (47 %), vilket tyder på att 53 % av organisationerna ännu inte hade tillhandahållit regelbunden personalutbildning alls. Organisationer måste prioritera utbildning i säkerhetsmedvetenhet och skapa en kultur av vaksamhet över hela leveranskedjan.
Rapporten betonar också riskerna som är förknippade med tredje parts mjukvara och hårdvarukomponenter. Att integrera dessa komponenter i försörjningskedjan introducerar en grad av beroende av externa enheter, vilket ökar attackytan och potentiella sårbarheter. Skadliga aktörer kan äventyra dessa komponenter, vilket leder till avbrott i leveranskedjan, dataintrång eller introduktion av komprometterad mjukvara eller hårdvara.
Dessutom utgör insiderhot inom försörjningskedjan en betydande risk. Insiderhot kan uppstå när individer med auktoriserad tillgång till ekosystemet för försörjningskedjan missbrukar sina privilegier eller medvetet engagerar sig i skadliga aktiviteter. Det här kan vara en missnöjd anställd, en entreprenör med obehörig åtkomst eller en insynsskyddad insider. Över 20 % av dem i vår undersökning hade upplevt en incident som ett resultat av en insiderhotskompromiss under de senaste 12 månaderna. Sådana hot kan få allvarliga konsekvenser, inklusive dataintrång, stöld av immateriell egendom eller sabotage.
Att förstå dessa sårbarheter är avgörande för att organisationer ska kunna utveckla riktade strategier för riskreducering. Organisationer kan avsevärt förbättra sin försörjningskedjas informationssäkerhet genom att identifiera och åtgärda svaga leverantörskontroller, implementera stränga due diligence-processer, främja säkerhetsmedvetenhet och utbildningsprogram och noggrant hantera tredjeparts mjukvara och hårdvarukomponenter.
Navigera i komplexiteten i Supply Chain Information Security
Det ökande beroendet av tredjepartsrelationer och det växande hotbilden kräver ett övergripande tillvägagångssätt för att minska risker och skydda känslig data. Låt oss utforska några nyckelområden att tänka på när vi navigerar i krångligheterna med informationssäkerhet i försörjningskedjan.
Riskbedömning och begränsningsstrategier:
En grundlig riskbedömning är grunden för effektiv informationssäkerhet i leveranskedjan. Det innebär att identifiera och utvärdera potentiella sårbarheter och hot inom försörjningskedjans ekosystem. Organisationer kan prioritera risker, allokera resurser effektivt och implementera riktade begränsningsstrategier genom att utföra regelbundna bedömningar. Dessa strategier kan innefatta datakryptering, åtkomstkontroller, regelbundna säkerhetsrevisioner och kontinuerlig övervakning för att snabbt upptäcka och åtgärda sårbarheter.
Etablera ett robust ramverk för försörjningskedjesäkerhet:
Organisationer måste upprätta ett robust säkerhetsramverk för att effektivt hantera informationssäkerheten i försörjningskedjan. Detta ramverk bör beskriva tydliga policyer, procedurer och riktlinjer för att säkerställa konsekventa säkerhetspraxis genom hela leveranskedjan. Den bör innehålla säkerhetskrav för leverantörer, entreprenörer och andra tredjepartspartners och policyer för säker datadelning och överföring. Regelbundna utvärderingar och revisioner kan validera ramverkets effektivitet och driva på kontinuerliga förbättringar.
Samarbete och partnerskap:
Organisationer bör främja öppen kommunikation och samarbete med leverantörer, leverantörer och andra intressenter för att anpassa säkerhetspraxis, dela hotintelligens och stärka säkerhetspositionen. Samarbetsinitiativ kan innefatta plattformar för informationsdelning, gemensamma säkerhetsrevisioner och regelbundna säkerhetsutbildningar och program för medvetenhet.
Riskhantering från tredje part:
Det är viktigt att etablera robusta processer för riskhantering från tredje part. Detta involverar att utföra due diligence vid val av partners, utvärdera deras säkerhetspraxis och upprätta avtal som beskriver säkerhetsförväntningar och ansvar. Regelbunden övervakning och revisioner av tredjeparts säkerhetskontroller bör utföras för att säkerställa kontinuerlig efterlevnad.
Incident Response och Återhämtningsplaner:
Trots proaktiva säkerhetsåtgärder kan incidenter fortfarande inträffa. Det är avgörande att ha väldefinierade incidenthanterings- och återhämtningsplaner på plats. Dessa planer bör beskriva de åtgärder som ska vidtas i händelse av ett säkerhetsintrång, inklusive upptäckt av incidenter, inneslutning, utredning och återhämtning. Organisationer bör genomföra regelbundna övningar och simuleringar för att bekämpa incidenter för att testa sina planers effektivitet och identifiera förbättringsområden.
Ett proaktivt och heltäckande tillvägagångssätt för informationssäkerhet i försörjningskedjan är avgörande för långsiktig framgång och affärskontinuitet i ett ständigt föränderligt hotlandskap.
Hur ISO 27001 kan hjälpa till att uppnå effektiv försörjningskedja
ISO 27001 är en internationellt erkänd standard för informationshantering, men den handlar egentligen om riskhantering . Att arbeta inom ramen för ISO 27001 kommer att driva beteenden och säkerhetsfördelar för alla företag som vill förbättra sin cybermotståndskraft och effektivt hantera säkerheten i sin leveranskedja.
ISO 27001 rekommenderar företag att ha en så enkel process som möjligt för onboarding och hantering av leverantörer . Fokusera särskilt på följande:
- Upprätta en formell policy för leverantörer, som beskriver dina krav för att minska risker förknippade med tredje part
- Att komma överens om och dokumentera dessa krav med varje leverantör
- Kontrollera att leverantörer har processer på plats för att uppfylla lämpliga nivåer av grundläggande säkerhet (inklusive deras egna leveranskedjor). Detta kan göras via fokuserade revisioner, frågeställningar eller kontroller för ackreditering med ISO 27001
- Upprätthålla en regelbundet uppdaterad lista över godkända leverantörer
- Utvärdera regelbundet om leverantörer uppfyller dina säkerhetskrav.
- Se till att alla tekniska eller processförändringar omedelbart flaggas och att du förstår deras inverkan på leverantörsrisken.
Det kan tyckas vara viktigt, sunt förnuft, men det kan spara tid, pengar, skada på rykte och frustration för organisationer om det implementeras på rätt sätt. Att uppnå överensstämmelse med ISO 27001-ramverket kan dessutom erbjuda en betydande affärsfördel genom att visa dina certifierade säkerhetsuppgifter för nuvarande och framtida kunder.
I takt med att leveranskedjorna expanderar i storlek och komplexitet ökar även de därmed sammanhängande cyberriskerna. Organisationer måste vidta beslutsamma åtgärder för att skydda sin information och sina tillgångar. Genom att utnyttja resurser som riktlinjer för kartläggning av leveranskedjor som erbjuds av NCSC och implementera ett ISMS baserat på ISO 27001 kan organisationer stärka sina riskhanteringsmetoder i leveranskedjorna och skydda sin verksamhet från nya cyberhot. Nu är det dags att prioritera proaktiva åtgärder för att ta itu med dessa utmaningar direkt.
Du kan läsa hela rapporten om informationssäkerhetens tillstånd här: https://sv.isms.online/state-of-infosec-23/
