Kyberhyökkäykset, jotka vaikuttavat organisaation toimitusketjuun – eikä suoraan organisaatioon – ovat yhä yleisempiä.
Jos toimittajasi tietoturva murtautuu, organisaation omaisuus on vaarassa. Tämän tiedostaen hyökkääjät ovat ottaneet taktiikaksi hyökkäysten toteuttamisen ohjelmistojen toimitusketjun kautta. Kuten aiemmin on raportoitu , hyökkäysmuoto, joka nousi ensimmäisen kerran esiin vuoden 2017 NotPetya-kiristysohjelmahyökkäyksen ja vuoden 2020 SolarWinds-hyökkäyksen myötä, on muuttumassa yritysten tietoturvan vitsaukseksi.
MOVEit-tiedostonsiirto-ohjelmiston haavoittuvuuden hyödyntäminen tietojen varastamiseen ja maksujen kiristämiseen teknologian käyttäjiltä osoittaa, kuinka toimitusketjuhyökkäyksiä käytetään hyökkäysvektorina sekä kyberrikollisten että kansallisvaltioiden toimesta.
Kaupalliset ohjelmistopaketit, avoimen lähdekoodin komponentit ja pilviteknologian elementit ovat kaikki toimitusketjun hyökkäysten vaarassa.
Toimitusketjuhyökkäysten tavoitteet voivat vaihdella sabotaasista haittaohjelmien jakeluun, kiristysohjelmiin ja jopa kybervakoiluun. Ketju on vain niin vahva kuin sen heikoin komponentti, ja ongelmia voi syntyä teknologian toimittajista organisaation toimittajille yhtä paljon kuin toimittajista, joiden kanssa jollakin on suora liikesuhde, mikä vaikeuttaa kuvaa entisestään.
Toimitusketjun riippuvuudet
Yhdistyneen kuningaskunnan kansallinen kyberturvallisuuskeskus (NCSC) nosti vuoden 2022 vuosikatsauksessaan toimitusketjun turvallisuuden esiin keskeisenä "tulevana uhkahaasteena". NCSC antoi aiemmin tänä vuonna annetun varoituksen jälkeen ohjeita siitä, miten organisaatiot voivat kartoittaa toimitusketjunsa riskejä.
Keskisuurille ja suurille organisaatioille suunnattu ohje tarjoaa käytännön askeleita toimitusketjujen kyberturvallisuuden arvioimiseksi paremmin. Tämä on haastava tehtävä, kuten NCSC myöntää.
"Toimitusketjut ovat usein suuria ja monimutkaisia, ja toimitusketjun tehokas turvaaminen voi olla vaikeaa, koska haavoittuvuuksia voi esiintyä luontaisesti, niitä voidaan käyttää tai niitä voidaan hyödyntää missä tahansa kohdassa", Ison-Britannian hallituksen tietoturvavirasto selittää.
Toimitusketjun riippuvuuksien kartoituksen pelottava tehtävä voidaan hoitaa jakamalla se hallittaviin osiin, mukaan lukien:
- Mitä tuotetta tai palvelua tarjotaan, kuka tarjoaa ja mikä on hyödykkeen merkitys organisaatiolle
- Luettelo tavarantoimittajista ja heidän alihankkijoistaan, joka osoittaa, miten ne ovat yhteydessä toisiinsa
Varmennusasiantuntijat ovat suhtautuneet myönteisesti NCSC:n kartoitusohjeisiin.
Piers Wilson, Chartered Institute of Information Securityn (CIISec) johtaja, kertoi ISMS.online-sivustolle: "NCSC:n ohjeissa korostetaan tarvetta tunnistaa ja ymmärtää toimittajat ja heidän yksilölliset riskinsä ketjun kaikilla tasoilla. Jotkut toimittajat, joiden kanssa saatat jakaa tietoja, kun taas toiset eivät koske tietoihisi tarjoten kriittistä tukea. Siitä huolimatta kaikki nämä lisäävät mahdollista hyökkäyspintaa."
Wilson jatkoi: "Silloin pilvipalveluiden tai hallittujen palveluntarjoajien kaltaiset järjestelmäriskit voivat olla perustana paitsi yrityksellesi myös muille organisaatioille, joihin luotat."
Osa prosessia sisältää riippuvuuksien kartoittamista, prosessia, joka muistuttaa omaisuusinventaariota. Wilson selitti: "Toimitusketjun kartoittamiseen käytettyjen arviointi- ja auditointiprosessien on oltava tarkoituksenmukaisia, toistettavia ja selviytyä liiketoiminnan tarpeista. Heidän on myös annettava tarvittavat tiedot riskeistä, kyberhygienian tilasta ja laajemmasta hyökkäyspinnasta. NCSC:n opastus on askel kohti tätä."
Toimitusketjun riskit nousivat esiin kriittisenä haasteena ISMS.onlinen tuoreessa tietoturvallisuuden tilaa käsittelevässä raportissa . 500 kokeneen tietoturva-ammattilaisen kyselyssä 30 % vastaajista mainitsi toimittajien ja kolmansien osapuolten riskien hallinnan "suurimmaksi tietoturvahaasteeksi". Yli puolet (57 %) kyselyyn vastanneista organisaatioista koki tietomurron toimitusketjun vaarantumisen vuoksi.
Ylikuormittaa
CIISec varoitti, että toimitusketjun kartoitus todennäköisesti lisää rasitusta jo ennestään kovassa paineessa oleville turvallisuustiimeille.
CIISecin Wilson kommentoi: "NCSC- ja ISO-ohjeiden noudattaminen auttaa turvallisuustiimejä tunnistamaan tehokkaimman ja tehokkaimman tavan kartoittaa ja suojata toimitusketjujaan. Mutta lisäksi alan on jatkettava panostusta koulutukseen ja tuoreen veren houkuttelemiseen, jotta joukkueille annetaan tarvitsemansa taidot ja tuki, eivätkä ne pala loppuun.”
Esviitekehyksen laatiminen
ISO 27001 on kansainvälinen standardi tietoturvan hallintajärjestelmille. Viitekehys tarjoaa ohjeita yritystietojen luottamuksellisuuden, eheyden ja saatavuuden ylläpitämiseen.
Tietoturvastandardin parhaiden käytäntöjen lähestymistapa auttaa organisaatioita hallitsemaan tietoturvaansa suositusten avulla, jotka kattavat ihmiset, prosessit ja teknologian.
NCSC:n kartoitusneuvonnassa mainitaan omat Cyber Essentials -dokumentaationsa sekä ISO- ja tuotesertifioinnit työkaluina, jotka auttavat toimitusketjun kartoittamisessa.
ISMS.onlinen toimitusjohtaja Luke Dash sanoi, että organisaatioiden on tehtävä yhteistyötä toimittajiensa kanssa toimitusketjun riskien kartoittamiseksi käyttäen ISO 27001 -standardia oppaana. ”ISO 27001, joka tunnetaan kattavasta lähestymistavastaan tietoturvariskien hallintaan, täydentää täydellisesti NCSC:n toimitusketjun kartoitusneuvoja tarjoamalla vankan kehyksen organisaatioille, jotka pyrkivät suojaamaan digitaalisia resurssejaan”, Dash selitti. ”Molemmat tahot priorisoivat kriittistä riskinarviointivaihetta ja korostavat organisaatioiden tarvetta tunnistaa ja arvioida tietoresursseihinsa ja toimitusketjuihinsa liittyviä riskejä.”
Dash lisäsi: "Tekemällä yhteisen riskinarviointimatkan organisaatiot voivat ymmärtää kattavasti mahdollisia haavoittuvuuksia ja antaa niille mahdollisuuden toteuttaa kohdennettuja turvatoimia."
Osa riskienhallintaprosessia sisältää toimittajien tietoturvakypsyyden mittaamisen ennen kuin näitä tietoja käytetään hankintapäätösten tueksi. ISMS.onlinen Dash selitti: ”NCSC:n toimitusketjun kartoitusta koskevissa neuvoissa korostetaan toimittajien tietoturvakäytäntöjen arvioinnin merkitystä, mukaan lukien heidän ymmärryksensä uusista uhkista ja tietoturvaloukkauksiin reagointikykynsä. Näiden kriteerien yhdenmukaistaminen antaa organisaatioille mahdollisuuden tehdä tietoon perustuvia päätöksiä ja valita toimittajia, joilla on vankat tietoturvatilanteet, jotka ovat heidän tiukkojen standardiensa mukaisia.”
Sopimussopimuksilla on myös keskeinen rooli yhtenäisen kehyksen luomisessa. "ISO 27001 korostaa, että on tärkeää luoda selkeitä sopimuksia, joissa määritellään tietoturvavastuut ja toimittajien odotukset", sanoi ISMS.onlinen Dash. "Täydellisesti linjassa NCSC:n toimitusketjun kartoitusneuvonta rohkaisee organisaatioita sisällyttämään turvallisuusvaatimukset sopimusjärjestelyihin ja varmistamaan tiukkojen turvallisuusstandardien noudattamisen koko toimitusketjussa."
Jatkuva seuranta ja arviointi ovat olennaisia osia sekä NCSC:n toimitusketjun kartoitusneuvonnassa että ISO 27001 -standardissa, minkä ansiosta täydentäviä viitekehyksiä voidaan soveltaa rinnakkain. ”ISO 27001 -standardin painotus jatkuvaan parantamiseen sopii saumattomasti yhteen NCSC:n suosituksen kanssa toimitusketjun riskien säännöllisestä uudelleenarvioinnista ja toimittajien turvallisuuskäytäntöjen säännöllisistä tarkasteluista”, ISMS.onlinen Dash totesi.
"Tämän yhteisen lähestymistavan avulla organisaatiot pysyvät ketterinä, reagoivat ennakoivasti esiin nouseviin uhkiin ja varmistavat toimitusketjujensa jatkuvan turvallisuuden."
Yksinkertaista toimitusketjun hallintasi jo tänään
Ota selvää, kuinka ISMS-ratkaisumme mahdollistaa yksinkertaisen, turvallisen ja kestävän lähestymistavan toimitusketjun hallintaan ja tiedonhallintaan ISO 27001:n ja yli 50 muun viitekehyksen avulla.
