Cisco's Vijfstappen Blauwdruk voor Robuuste Derde-Partij Cyberbeveiliging

Het is al lastig genoeg cyberbeveiliging binnen de muren van uw eigen bedrijf op te knappen. Maar hetzelfde doen voor het leger van partners dat een wereldwijde supply chain vormt? Dat kan naast onmogelijk liggen.

Zelden gaat er een week voorbij zonder nieuws van een nieuwe cyberaanval op de supply chain van een groot bedrijf. En vaker dan niet is de geleiding voor de inbraak een derde partij met zwakke controls.

Vijfstappen Benadering

In moderne supply chains kan een derde partij elke entiteit zijn die onderdelen, producten, diensten, ondersteuning, software verkoopt — de lijst is eindeloos. 'Voor mij omvat het iedereen anders dan onszelf die op elk punt in de fasen van de waardeketen daadwerkelijk betrokken zijn in onze oplossingen,' zegt Edna Conway, chief security officer of global value chain bij Cisco Systems, Inc.

Cisco favoriseert de term 'waardeketen' — die een willekeurig aantal bedrijven en consultants zonder succes hebben geprobeerd te vervangen 'supply chain' als de algemene beschrijver voor de end-to-end reis van product naar markt — omdat het een groter universum van onafhankelijke entiteiten suggereert die in die inspanning betrokken zijn. Maar of men nu corporate buzzwords omarmt of niet, er is geen twijfel dat de proliferatie van partners serieuze kwesties van cyberbeveiliging oproept. Zonder adequate systemen en procedures op hun plaats, kan er elk van hun prooi vallen voor de inspanningen van slechte actoren, inclusief rivaliserende bedrijven, regeringen, chantageurs en zelfs kelderhackers.

Conway biedt de volgende vijfstappen benadering voor het opzetten van een effectief cyberbeveiligingsplan voor derde-partijrelaties.

1. Ken de 'wie, wat en waar' van uw supply chain.

Zelfs als het voor de hand ligt, hebben veel bedrijven geen greep op alle partijen die op een of andere manier bijdragen aan het bedrijf. Dat is met name het geval in multi-tier supply chains — en het is moeilijk om een geproduceerd product te bedenken dat vandaag niet op zo'n structuur steunt.

2. Werken aan manieren om effectief te communiceren met al die partijen.

Conway verwijst niet naar alle interacties die geopolitieke kwesties of leveringscontinuïteit dekken, maar alleen die die specifiek beveiligingskwesties adresseren. Als zodanig beschrijft ze drie hoofdtypen dreigingen: manipulatie (wanneer informatie gewijzigd wordt), spionage (zowel natie-staat als industriëel), en disruptie (betreffende pogingen om het bedrijf te sluiten). Ze zegt dat het moeilijk kan zijn om een softwarelicentie-ontwikkelaar of derde-partij cloud-dienstverlener de belang van bescherming tegen alle drie dreigingen in te prenten. Hetzelfde geldt voor individuen op de werkvloer, wier aandacht gericht kan zijn op het laten lopen van de lijn. 'Het vereist training om beveiliging een onderdeel te maken van de alledaagse denkwijze van iedereen in elke rol,' zegt Conway.

3. Ontwikkel 'flexibele en elastische' architectuur.

Cisco's benadering van supply-chainbeveiliging omvat 11 discrete domeinen die de complexiteit van zijn processen weerspiegelen. Ontwerp, ontwikkeling, levering en service: elke discipline bezit relaties met derde partijen, wat de mogelijkheid creëert van talloze zwakke punten zowel binnen als buiten de organisatie. De strategie rekening houdt met het feit dat verschillende gebieden van productie richtlijnen vereisen die uniek zijn voor hun operaties. 'We schreven requirements op een manier dat je ze kunt mappen, zodat alleen diegenen die gebaseerd zijn op de aard van wat je aan ons levert, van toepassing zijn,' zegt Conway. 'Iedereen krijgt een gecustomiseerde versie.'

4. Embed beveiliging in alles wat je doet met alle derde partijen.

Conway spoort bedrijven aan om de vraag te stellen: 'Waarom gebruiken we ze, en hoe presteren ze volgens onze servicemetricen?' Ironisch genoeg, toen 'Kwaliteit' op banners en corporate pep rallies geroepen werd, was het concept niet 'overtuigend ingebed' binnen de organisatie. Nu, wanneer het aankomt op cyberbeveiliging, is kwaliteit geen slogan of discrete functie, zegt Conway — het is ingevlochten in elk proces binnen de supply chain. Cisco wijst punten toe aan derde partijen in lijn met hun gedemonstreerde nakoming van kwaliteit, en beveiliging is een sleuteldeel van die maat. 'We maken het wiskundig betekenisvol, dus als je fantastisch bent als leverancier maar verschrikkelijk in beveiliging, kun je misschien geen bevorzugte leverancier blijven,' zegt ze.

5. Iedereen moet meten.

Conway heeft hard gedruist om prestaties over de organisatie heen te meten. 'We stellen tolerantieniveaus vast tegen onze eigen specificaties en processen,' zegt ze. 'Aan het einde van de dag laten we beveiliging de taal van het bedrijf spreken.'

Cisco's beveiligingsinitiatief werd niet allemaal tegelijk geïmplementeerd. Conway, die eerder als buitenadvocaat voor het bedrijf diende gespecialiseerd in intellectueel eigendomskwesties, werd in de vroege 2000er zijn CSO. In plaats van direct een 'monolithische architectuur' op te leggen vanaf het begin, nam ze het in fasen, beginnend met Cisco's electronic manufacturing systems (EMS) partners, dan bewegend naar printplaatproducenten, engineering en het leger van kanaalpartners dat het 'waardeketen' van het bedrijf vormt.

In het prediken van het evangelie van cyberbeveiliging, acht Conway het essentieel om te communiceren met de executive suite, wiens wereldbeeld geworteld is in winst en verlies. 'Ik zou mijn tolerantieniveaus graag vertalen in dollarrisico,' zegt ze. 'We moeten allemaal de taal van het bedrijf spreken.'