Kuluttajat näkevät useimmat kyberhyökkäykset usein jonakin, joka tapahtuu muille ihmisille, kunnes ne vaikuttavat heihin suoraan. Sähköpostiosoitteiden ja muiden henkilötietojen varastamisesta on tullut säännöllinen ja arkipäiväinen tapahtuma, mutta kun rikollinen painaa nappia toisella puolella maailmaa ja ruoka katoaa hyllyiltä, asiat muuttuvat yhtäkkiä todellisiksi.
Näin kävi kesäkuussa, kun hyökkäys tukkukauppa United Natural Foodsiin (UNFI) pysäytti sen verkkokaupan toiminnan. Hyökkäys esti yrityksen kykyä palvella 30,000 XNUMX myymäläänsä, minkä seurauksena ruokakaupat... varoittamassa asiakkaita ruokapulasta ja aiheuttaen merkittäviä häiriöitä Amazonin omistamassa Whole Foodsissa, mukaan lukien voileipäasemien sulkemisen.
Tällaiset hyökkäykset korostavat vahinkoja, joita kyberhyökkäys voi aiheuttaa yhden yrityksen ulkopuolisille toiminnoille. Nämä häiriöt voivat vaikuttaa muihinkin, jotka ovat riippuvaisia siitä osana omia toimitusketjujaan, ja se herättää kysymyksen: mitä organisaatiot voivat tehdä suojellakseen itseään?
Toimitusketjun kyberriski saavuttaa kriisimittasuhteet
Tämä ei ole ensimmäinen näkemämme hyökkäys, joka on häirinnyt toimitusketjuja. Vakuutusyhtiö Cowbell julkaisi raportti viime vuoden lopulla toimitusketjuhyökkäysten määrä kasvoi 431 prosenttia vuodesta 2021.
Raportin mukaan tällaiset hyökkäykset yleistyvät, kun liiketoiminnan yhteydet lisääntyvät ja toimitusketjut monimutkaistuvat, koska tämä vaikeuttaa niiden suojaamista.
Yksi organisaatioiden suurimmista haasteista on yhden epäonnistumispisteen ongelma; yksi yritys, josta monet muut ovat riippuvaisia tuotteidensa ja palveluidensa osalta, on arvokas kohde. Sen onnistunut vaarantaminen vahvistaa yhden hyökkäyksen vaikutuksia.
Toimitusketjuhyökkäysten aiheuttamat häiriöt voivat olla puhtaasti digitaalisia. SolarWinds-ohjelmiston murtautuminen vuonna 2020 teki sadoista yrityksen asiakkaiden järjestelmistä alttiita tietovarkauksille. Vuonna 2023 hyökkääjät pystyivät varastamaan tiedostoja sadoilta yrityksen asiakkailta hyödyntämällä MOVEit-tiedostonjakojärjestelmän paikallisessa versiossa havaittua haavoittuvuutta. Molemmilla oli sama taustalla oleva ominaisuus: digitaalisen tuotteen sisältämät toksiinit (toinen tarkoituksella lisätty, toinen vahingossa koodattu) vaikuttivat tuhansiin asiakkaisiin ketjun loppupäässä.
Muut kyberhyökkäykset, kuten UNFI-tietoturvan hakkerointi, johtavat fyysisiin ongelmiin. Ne korostavat nykyaikaisten just-in-time-toimitusketjujen haavoittuvuutta, mikä tekee niistä paitsi uhkan asiakastiedoille myös yhteiskunnallisen riskin.
Merkittäviä fyysisiin toimitusketjuihin vaikuttaneita menneisyyden tapahtumia ovat muun muassa vuoden 2021 hyökkäys Colonial Pipeline -putkistoon. Vaikka hyökkäys kohdistui yhtiön hallintoverkostoon, se sulki bensiinin toimitustoimintansa varotoimenpiteenä, mikä aiheutti miljoonille ihmisille vaikuttaneita pulaa.
Samana vuonna kiristysohjelmahyökkäys etähallintaohjelmistoja toimittavaan Kaseyaan vaikutti asiakkaisiin, jotka tarjosivat hallinnoituja IT-palveluita. Hyökkäys levisi myös muille asiakkaille, kuten ruotsalaiselle ruokakauppaketju Coopille, jonka oli suljettava 800 myymälää. Hyökkäykset olivat edelleen digitaalisia, mutta lopputulokset olivat kineettisiä; sen sijaan, että ihmisten tiedot olisivat paljastuneet, he eivät kyenneet ajamaan autoa tai syömään.
Tämä vaatii hallituksen vastauksen
Toimitusketjun riskit tuovat mukanaan uusia hallintotapavaatimuksia hallituksille, erityisesti kun sääntelyviranomaiset alkavat painottaa asiaa. Esimerkiksi EU:n Digital Operational Resilience Act (DORA) asettaa useita vaatimuksia rahoituspalveluyrityksille. Se edellyttää tiukkoja due diligence -vaatimuksia teknologia- ja palveluntarjoajien kanssa työskenneltäessä sekä sopimuksiin sisältyviä vähimmäisturvallisuusvaatimuksia. Toimittajien kanssa tehtävien sopimusten on myös sisällettävä jatkuvia arviointivelvoitteita, jotka edellyttävät toimittajien säännöllisiä kyberturvallisuusarviointeja.
Verkko- ja tietoturvadirektiivi 2 (NIS2)-direktiivi asettaa myös tiukempia turvallisuusvaatimuksia toimitusketjuille.
Gartnerin mukaan toimitusketjun ammattilaiset pitävät kyberturvallisuusriskiä yhä tärkeämpänä tekijänä tehdessään yhteistyötä kolmansien osapuolten kumppaneiden kanssa. odottaa 60 % heistä aikoo tehdä niin tänä vuonna.
Nämä huolenaiheet tekevät toimittajien riskienhallinnasta ratkaisevan osan mitä tahansa toimitusketjun sietokykystrategiaa. Tehokas due diligence -tarkastus tarkoittaa sen tarkistamista, että toimittajilla on käytössä turvatoimenpiteet. Yritysten, jotka eivät ole edellyttäneet due diligence -tarkastusta, kannattaisi tarkistaa kaikki toimittajansa, mieluiten tarkistaen niiden akkreditoinnin asiaankuuluvien kyberturvallisuuskehysten tai -standardien mukaisesti. Nämä voivat olla toimialakohtaisia.
Kaikesta tästä huolimatta hyökkäyksiä voi silti tapahtua. Pitämällä suositeltujen toimittajien listalla olevat toimittajat minimoit toimitusketjusi häiriintymisen riskin tietomurron vuoksi, mutta se ei poista tätä riskiä kokonaan. Siksi mahdollisten häiriöiden varalle varautuminen on tärkeää.
Älä vain estä, sopeudu
Tietomurron tyypistä riippuen toimitusketjuhyökkäysten käsittelyohje voi keskittyä pelkästään logistiikkaan ja operatiiviseen toimintaan tai se voi kattaa digitaalisen toipumisen. Jos ruokakauppaketjun toimittaja kaatuu järjestelmänsä vaarantumisen vuoksi, heidän digitaalisesta ongelmastaan tulee asiakkaiden fyysinen ongelma. Tämän jälkeen toimitusketjun loppupään toimittajien on keskityttävä tavaroiden virtaukseen hyllyilleen.
Toisaalta, jos verkonhallintapalveluntarjoajasi vahingossa lataa haittaohjelmia jollekin palvelimistasi, sen digitaalinen ongelma muuttuu sinun digitaaliseksi ongelmaksesi. Se vaatii erilaisen vastauksen.
ISO-standardit kattavat näihin skenaarioihin valmistautumisen. Esimerkiksi ISO 22301 käsittelee liiketoiminnan jatkuvuutta toimitusketjun riskien edessä. ISO 27001 sisältää valvontatoimia, jotka auttavat hallitsemaan toimitusketjun tietoturvariskejä, jotka voivat vaikuttaa sinuun toimitusketjun vaarantumisen kautta. ISO 28000 käsittelee toimitusketjun turvallisuuden parantamista.
Tämän monimutkaisen ja monitahoisen toimitusketjuriskin hallinta tarkoittaa mahdollisimman monien ennaltaehkäisevien tarkastusten tekemistä suojautumiseksi valitsemalla huolellisia toimittajia. Mutta se tarkoittaa myös sopeutumista uusiin ongelmiin sen sijaan, että luotettaisiin niiden ennaltaehkäisyyn.
