Bang voor cyberbeveiliging in de toeleveringsketen? 5 redenen waarom je niet bang genoeg bent - Deel 2

Beoordeling van cyberbeveiligingsrisico's in de toeleveringsketen

Een bijzonder schadelijk aspect van cyberaanvallen is de manier waarop de dreigingen altijd 'in beweging' zijn, zegt Katherine Barrios, chief marketing officer bij Xeneta .

Door hun aard proberen aanvallers wegblokkades en tegenmaatregelen te omzeilen.

Het is een uitdaging om bedreigingen voor te blijven, zoals de WannaCry- of WannaCrypt-ransomware-aanval en de snel bewegende "Petya". "WannaCry" heeft meer dan 230.000 computers in meer dan 150 landen getroffen - met de meeste schade toegebracht aan de British National Health Service Spaanse telefoonmaatschappij Telefónica en de Duitse staatsspoorwegen. "Petya" had niet alleen invloed op Maersk Line, maar ook de IT-infrastructuur van vele andere bedrijven, zoals de farmaceutische multinational Merck , adverteerder WPP , voedingsbedrijf Mondelez , en advocatenkantoor DLA Piper.

Wanneer een virus een rederij als Maersk Line treft, die verantwoordelijk is voor de goederenstroom (vloot, containers), is het rimpeleffect op de toeleveringsketen snel en enorm (Olivia Solon en Alex Hern,“'Petya' Ransomware Attack:What Is het en hoe kan het worden gestopt? The Guardian .)

Snel bewegende, vijandige groepen en individuen beschikken over de "doorzettingsvermogen, tactische vaardigheden en technologische bekwaamheid" om grote SCM-systemen te beschadigen en te vernietigen, inclusief, onheilspellend, de logistieke keten (PWC, US Cybercrime).

Of het nu gaat om malware (“kwaadaardige software”), gebruik te maken van gecompromitteerde inloggegevens die beschikbaar zijn op het “ondergrondse” internet, gedistribueerde denial of service (DDoS) (de verstoring van systemen door een slechte actor) en SQL-injecties (het invoegen van kwaadaardige code in Structured Query Language), naast andere tactieken, zijn hackers inventief (Drew Smith, "Is uw supply chain veilig voor cyberaanvallen?" Supply Chain Quarterly).

Ook, hoewel enigszins verzacht door training van werknemers, is het niet altijd mogelijk om insider-events af te weren - gebeurtenissen die het gevolg zijn van kwetsbaarheden van werknemers. Insider-events kunnen het fenomeen social engineering omvatten (wanneer een crimineel toegang krijgt tot gebouwen, systemen of informatie door gebruik te maken van de menselijke psychologie van werknemers). Er is ook het incidentele gebruik van apparaten door werknemers en het verkeerd omgaan met informatie door werknemers die zich niet houden aan de beste praktijken (PWC, US Cybercrime).

De potentiële omvang van cyberdreigingen in de toeleveringsketen

In de kern helpt Supply Chain Management "het menselijk leven in stand te houden - Mensen zijn afhankelijk van toeleveringsketens om basisbehoeften zoals voedsel en water te leveren", (CSCMP, The Council of Supply Chain Management Professionals, "The belang of supply chain management").

Elke verstoring kan een maatschappelijke ineenstorting veroorzaken. Vanwege de computerstoring die door Petya werd veroorzaakt, moesten arbeiders de stralingsniveaus in de kerncentrale van Tsjernobyl handmatig controleren en konden burgers van Kiev geen toegang krijgen tot geldautomaten. (Nicole Perlroth, Mark Scott en Sheera Frenkel, "Cyberaanval treft Oekraïne en verspreidt zich vervolgens internationaal", New York Times ).

De potentiële levensbedreigende risico's eind juni waren zeer reëel - met de ransomware-aanval die zich verspreidde naar Heritage Valley Health System, dat de Heritage Valley Sewickley en Heritage Valley Beaver Hospitals in West-Pennsylvania, Oost-Ohio en West Virginia exploiteert, en tijdelijk in beslag nam. HVHS computersystemen.

Gelukkig vond de enige daadwerkelijke operationele stopzetting van de service plaats in het laboratorium van het gezondheidsnetwerk en de gemeenschapssites voor diagnostische beeldvorming, waarbij die services nu "volledig functioneel" zijn. ("Updates over het cyberbeveiligingsincident bij Heritage Valley Health-systeem", Laatste nieuwsberichten, HVHS).

Export- en importeurs worden nog steeds "geplaagd" door vertragingen als gevolg van het afsluiten van het systeem bij Maersk en APM Terminals-faciliteiten - waarbij Maersk Line dienovereenkomstig afziet van overliggeld en aanhoudingsheffingen die zich hebben voorgedaan. (Mike Wackett, "Cyberaanval achtervolgt Maersk nog steeds terwijl het worstelt om volumes te heroveren", The Loadstar ).

Je kunt je in de toekomst alleen maar een grotere impact voorstellen van een vergelijkbare triggergebeurtenis. De volgende verstoring in het verkeer van mensen en goederen in de toeleveringsketen kan leiden tot ernstiger maatschappelijke gevolgen dan alleen de bedrijfsprestaties. (Wereld Economisch Forum , Nieuwe modellen voor het aanpakken van supply chain- en transportrisico's:een initiatief van het risicoresponsnetwerk in samenwerking met Accenture ).

Cybercomplexiteit

Een andere sombere reden waarom we "bang zouden moeten zijn" voor de toekomst van de toeleveringsketen/het transportnetwerk is de complexiteit van cyberdreigingen.

Michael Daniel beschrijft het enorme niveau van complexiteit in zijn artikel, "Waarom is cyberbeveiliging zo moeilijk?" Harvard Business Review:

“Cyberspace werkt volgens andere regels dan de fysieke wereld. Ik bedoel niet de sociale 'regels', maar eerder de natuurkunde en wiskunde van cyberspace. Het nodale karakter van een lichtsnelheidsnetwerk betekent dat concepten als afstand, grenzen en nabijheid allemaal anders werken, wat ingrijpende gevolgen heeft voor de veiligheid.”

Omdat er niet zoiets bestaat als typische nabijheid of typische grenzen, werken 'fysieke wereld'-constructies en oplossingen niet erg goed.

“In de fysieke wereld geven we bijvoorbeeld de federale overheid de taak van grensbewaking. Maar gezien de fysica van cyberspace bevindt ieders netwerk zich aan de grens. Als iedereen direct aan de grens woont en werkt, hoe kunnen we dan grensbewaking alleen aan de federale overheid toevertrouwen? In de fysieke wereld is misdaad lokaal - je moet op een locatie zijn om een ​​object te stelen, dus de politie heeft jurisdicties op basis van fysieke grenzen."

Niet zo in cyberspace. Organisaties en instellingen lopen juridisch en beleidsmatig tegen lastige nieuwe grenzen aan, zoals een goede verdeling van de verantwoordelijkheid tussen overheden en de private onderneming om te beschermen. Bescherming tegen risico's (van buitenaf of van binnenuit van een organisatie) vereist aanzienlijke investeringen om de bedreigingen bij te houden.

Bestrijding van cyberrisico's in de toeleveringsketen:grotere noodzaak om te handelen

Veel bedrijven besteden niet de nodige investeringen aan cyberbeveiliging. Alex Bau gelooft dat het neerkomt op gedragseconomie ("De gedragseconomie van waarom leidinggevenden te weinig investeren in cyberbeveiliging", Harvard Zakenrecensie). Er zijn zeker ontmoedigende kostenoverwegingen. De wereldwijde uitgaven voor cyberbeveiliging zullen tussen 2017 en 2021 naar verwachting meer dan $ 1 biljoen bedragen, waarbij veel bedrijven het tempo niet kunnen bijhouden. (Steve Morgan, "Vooruitzichten voor uitgaven voor cyberbeveiliging:$ 1 biljoen van 2017 tot 2021",CSO ).

Er is ook hoop. Blockchain-oplossingen die samenwerken om cyberbeveiligingsinspanningen te bundelen, slimme sensoren (Marianne Mannschreck, "How smart sensors and the IoT will evolution supply chains",ITProPortal , bijscholing ... dit zijn allemaal mogelijke wegen voor een betere toekomst, een waarin (naar men hoopt) er minder reden tot angst zal zijn.

De auteur van deze blog is Katherine Barrios, Chief Marketing Officer bij Xeneta