De Mondiale Supply Chain Beveiligen: Grensloze Data Benutten voor Cyberverdediging

Supply-chain cybersecurity aanvallen zijn niet nieuw, maar ze zijn ver verwijderd van onder controle.

Een recente studie van Resilience 360 vond dat er in 2019 bijna 300 cybersecurity incidenten waren die supply-chain entiteiten beïnvloedden. Met het gemiddelde bedrijf dat data deelt met meer dan 500 derden, is het geen wonder dat het Ponemon Institute rapporteert dat ruwweg 61% van Amerikaanse bedrijven een datalekkage in hun supply chains heeft ervaren.

Terwijl geopolitieke spanningen een wijd bereik van die aanvallen dreven, heeft 2020 plaats gegeven aan een perfecte storm van kans, aangezien COVID-19 een groot deel van de wereldwijde arbeidskracht gedwongen heeft om naar remote werk over te gaan. Organisaties van overheden tot bedrijven moeten verantwoordelijkheid nemen voor het beschermen van de data die ze verwerken en delen. Met samenwerking zo cruciaal voor het volhouden van innovatie en productiviteit, moet dit gedaan worden zonder de stroom van ideeën en informatie te verstikken, of systemen en processen onwerkbaar te maken.

Als COVID-10 de VS met kracht raakte in het eerste kwartaal van dit jaar, reageerden organisaties door werknemers bijna overnachten naar remote werk te verplaatsen. Per juni 2020, werkten een ongelooflijke 42% van Amerikaanse werknemers remote vanaf huis en migreerden kantoren. Met een hoogst mobiele werkelijke kracht, en leveranciersecosystemen die steeds complexer en wereldwijd gedispergeerd worden, verergerd de dreiging voor intellectueel eigendom en geclassificeerde of gevoelige informatie.

Projectteams gebruiken mobiele en cloud platforms dagelijks om data te delen en op te slaan, wat het potentieel blootstelt aan toegang door ongeautoriseerde gebruikers. Het wordt ook fysiek buiten de organisatie meegenomen op smartphones, verwijderbare harde schijven en USB-opslagapparaten die gevoelig zijn voor diefstal en verlies. Binnen deze context, kruist data constant de grenzen van bedrijven en naties. Er is geen duidelijke perimeter meer om te verdedigen.

Terwijl opzettelijke hacks nu commonplace zijn, blijft een van de grootste dreigingen voor beveiliging de diefstal, verlies en misbruik van data on the move. Onderzoek van Apricorn in 2018 noteerde dat 29% van de befragde organisaties een datalekkage had geleden als direct gevolg van mobiel werken. Hetzelfde onderzoek uitgevoerd in 2020 toont dat meer dan de helft van de respondenten nog steeds gelooft dat remote werknemers hun organisatie blootstellen aan het risico van een datalekkage.

Verder toont recent onderzoek van Digital Guardian een stijging van 123% in het volume van data gedownload naar USB-media door werknemers sinds COVID-19 insloeg, wat suggereert dat teams verwijderbare opslag gebruiken om grote volumes data mee naar huis te nemen. Tenzij deze apparaten versleuteld zijn, is het slechts een kwestie van tijd voordat we een piek in datalekkages zien geassocieerd met remote werknemer kwetsbaarheid.

Een data-centrisch, beleid-gebaseerde aanpak voor beveiliging zal de informatie zelf beschermen, binnen en buiten een organisatie’s centrale systemen, zowel on the move als at rest, terwijl veilige communicatie mogelijk blijft. Het antwoord ligt in een multi-gelaagde aanpak die mensen, proces en technologie combineert.

Begin Binnenuit

Beveiliging gaat niet alleen over technologieoplossingen. Beveiligingsbewustzijnstraining en engagement programma's moeten uitgebreid worden naar partners’ en contractanten’ teams. Je doel hier is om alle werknemers bewust te maken van de waarde en risico's geassocieerd met data, en hun rol in het beschermen ervan te definiëren en versterken.

Daarnaast, zet data-beveiligingsbest practices op, en beheer de handhaving ervan. Je kunt je organisatie een voordeel geven door praktijken en beleid te creëren voor hoe met data te interacteren en het te beveiligen. Door best practices voor je team en supply chain te schetsen en af te dwingen, help je een cultuur van accountability op te bouwen.

Denk in Termen van een Data Lifecycle

Na het creëren van best practices voor werken met en beveiligen van data, moeten organisaties een uitgebreide audit uitvoeren, die dekt:

• Wat voor soort data wordt gehouden, en met welk doel;
• Wie toegang heeft tot die data;
• Waar de data stroomt, en
• Hoe het momenteel gecontroleerd wordt.

Dit zal het makkelijker maken om gebieden van non-compliance te ontdekken, te bepalen waar data onbeschermd kan zijn, en technologieën, beleid en processen te identificeren die risicoblootstelling kunnen minimaliseren.

Beveiliging Afdwingen

Stel een strategie op die het documenteren en afdwingen van beleid omvat dat controleert hoe gevoelige data wordt behandeld en gebruikt, en die uitgebreid zijn naar alle endpoints, inclusief partners en contractanten. Versleuteling moet een sleutelelement van de strategie zijn. Als een verwijderbaar media apparaat in de verkeerde handen komt, zal versleutelde informatie onbegrijpelijk worden voor iedereen die er probeert toegang toe te krijgen.

Vooral in de “nieuwe normaliteit” van remote werken, is het imperatief dat IT-afdelingen onderzoeken, identificeren en een corporate-standaard versleuteld mobiel opslagapparaat mandateren, en het gebruik ervan afdwingen via whitelisting beleid. Het apparaat moet pre-configureerbaar zijn om te voldoen aan beveiligingsvereisten, zoals wachtwoordsterkte.

En, omdat we over de supply chain praten, moeten vereisten in derdepartijcontracten worden geschreven — bijvoorbeeld de tools en technologieën die gebruikt moeten worden, en wanneer ze geüpdatet moeten worden. Organisaties kunnen een nog meer proactieve aanpak hanteren en deze vereisten in het request for proposal (RFP) proces opnemen, zodat verwachtingen gesteld zijn voordat een derde partij gekozen wordt.

Meten, Monitoren en Rapporteren

Voor IT- en beveiligingsteams is de zegswijze “Je kunt niet managen wat je niet kunt meten” met name toepasselijk. De lopende auditing van compliance, zowel binnen de organisatie als over de supply chain, biedt snelle visibiliteit van beleidsschendingen, zodat ze adresserd kunnen worden via training of disciplinaire procedures. Monitoring zal ook een gedetailleerde audit trail leveren die de organisatie in staat stelt haar compliance positie te demonstreren, alsook een nauwkeurig record van elk non-compliant gebruikersgedrag.

Een combinatie van technische en organisatorische maatregelen kan helpen risicoblootstelling in de supply chain te reduceren, terwijl de veilige uitwisseling en mobiliteit van informatie mogelijk blijft zolang we van huis werken. Bedrijven die hun data op de juiste manier controleren, kunnen vertrouwelijkheid, nationale veiligheid en hun eigen reputatie beschermen zonder in te boeten op efficiëntie, agiliteit of hun competitieve rand.

De steeds uitbreidende supply chain, gekoppeld met dramatische veranderingen in hoe en waar we werken, betekent dat organisaties continu moeten focussen op derdepartijbeveiliging. Door een strategisch data-beveiligingsplan te creëren dat auditeert en meet langs de weg, met nadruk op werknemersbewustzijn en training, kunnen we onze supply chains beveiligen ondanks de eliminatie van fysieke grenzen.

Jon Fielding is managing director bij Apricorn, een fabrikant van hardware-versleutelde USB data opslagapparaten.