Bescherming van Amerikaanse supply chains: strategieën om cyberdreigingen te mitigeren

In februari tekende president Joe Biden Uitvoerend Bevel 14017, wat een uitgebreide herziening van kritieke Amerikaanse supply chains oproept. De actie was ter reactie op tekorten aan medische voorzieningen zoals persoonlijke beschermingsmiddelen (PBM) voor frontline gezondheidswerkers tijdens de piek van de COVID-19-pandemie. Andere behoeften geïdentificeerd door het bevel omvatten halfgeleiderchips voor de auto-industrie en andere high-tech toepassingen.

Deze kwesties hinderen Amerikanen in het verkrijgen van essentiële producten, en creëren onstabieliteit voor werknemers in betrokken industrieën. Het doel van het nieuwe bevel, volgens het Witte Huis, is om dergelijke kwesties proactief aan te pakken voordat ze zich herhalen.

"Terwijl we niet kunnen voorspellen welke crisis ons zal treffen, moeten we de capaciteit hebben om snel te reageren in het gezicht van uitdagingen," zei het Witte Huis. "De Verenigde Staten moet ervoor zorgen dat productietekorten, handelsstoringen, natuurrampen, en potentiële acties door buitenlandse concurrenten en vijanden de Verenigde Staten nooit weer kwetsbaar laten."

De campagne van de president maakte duidelijk dat zijn bestuur toegewijd is aan het comprehensief aanpakken van supply chain-risico's. Maar zal het initiatief slagen?

Vanaf een beveiligingsstandpunt zijn er een aantal kwesties die het bestuur zou moeten overwegen. Het niet doen daarvan zal resulteren in duplicatie van tijd en inspanning, het verspillen van middelen, terwijl cyberrisico's die kunnen leiden tot een andere supply chain-aanval, niet gemitigeerd worden.

De eerste stap om de beveiliging van Amerikaanse supply chains te garanderen is hun kwetsbaarheden en risico's te identificeren. Bidens uitvoerend bevel richt zich op zes sectoren: de defensie-industriële basis, volksgezondheid, informatietechnologie en communicatie, energie en stroom, transport, en landbouw.

De afhankelijkheid van supply chains van digitale producten en diensten heeft serieuze kwetsbaarheden gecreëerd, wat cybersecurity een essentieel deel van de herziening maakt. De vrees dat een natie-staat actor zou kunnen besluiten de supply chain via cybercriminaliteit op te houden, is reëel. Sectie 4.4 van het uitvoerend bevel maakt duidelijk dat cyber risicomanagement een kernbezorgdheid en focusgebied is. Binnen een jaar moeten rapporten worden ingediend die de huidige staat van supply chains' afhankelijkheid van concurrentenaturen dekken. Hoe de overheid de informatiebeveiligingsgemeenschap hiervoor inzet, zal het initiatief maken of breken in alle sectoren.

Resultaten in één jaar garanderen

De onderneming dekt veel grond voor een één-jaar tijdslijn. Het is kritisch dat de informatiebeveiligings- en technologiegemeenschap, gebaseerd op lessen uit het afgelopen jaar, input levert aan de partijen die het initiatief drijven. De inspanningen van industriegroepen zoals information sharing and analysis centers (ISACs) en de IT Sector Coordinating Council (ITSCC) zullen kern zijn voor succes. Daarnaast is er een berg data en analytics uitgaande van de grote vier adviesbureaus over welke risico's te prioriteren bij omgaan met derden.

Het Amerikaanse Ministerie van Defensie zou een sleutelrol moeten spelen in het helpen van het initiatief naadloos uit te rollen. Een vergelijkbare inspanning onder toezicht van DoD is de Cybersecurity Maturity Model Certification (CMMC), die leveranciers van door de overheid gecontracteerde materialen vereist om specifieke standaarden te halen. Een belangrijk advies, gebaseerd op publieke en private reactie op de CMMC tot nu toe, is om zoveel mogelijk te vermijden contracttoekenning en herzieningsprocessen te mengen. Sectorleiders en overheidsinstanties moeten samenwerken om te beslissen op een eenvoudige maar effectieve standaard voor cyber in de diverse supply chains.

Het belang van standaardisatie

De juiste partnershipen creëren en input verkrijgen van informatiebeveiligingsexperts is één ding, maar verhoogde cybersecurity-volwassenheid over Amerikaanse supply chains garanderen is een ander. Communicatie is het ene element dat nieuwe vereisten kan maken of breken wanneer ze uitgerold worden naar een ecosysteem van deze omvang. Het wordt gedreven door meting, met resultaten gestandaardiseerd over groepen ongeacht hun niveau van cybersecurity-volwassenheid. Standaarden zoals de NIST CSF Supply Chain Risk Management subcategory of de eerder genoemde CMMC zijn geweldige tools om vereisten duidelijk te maken, en ze effectief te implementeren in supply chains. De cyber-assessment methodologieën onder NIST CSF zijn bijzonder waardevol in het bieden van context voor leveranciers met weinig kennis van informatiebeveiliging.

Wanneer het om meting gaat, is het uitspelen van alle potentiële risico's in Amerikaanse supply chains onmogelijk, gegeven de complexiteit van mondiale supply chain-ecosystemen. Het is niettemin waardevol om scenario's te identificeren die verschillende potentiële faalpunten onderzoeken. Het benutten van bestaande risico-kwantificeringsmethodologieën op creatieve manieren is de sleutel tot het bereiken van echte veerkracht. Het is essentieel dat bedrijven supply chain-risico begrijpen als middel om goed bestuur te bereiken, gebaseerd op input van beveiligingsteams, data- en informatiedeling, en vooruitgang in risicomanagementsoftware.

Men kan alleen hopen dat Bidens supply chain-initiatief voordeel zal trekken uit bestaande data uit verleden gebeurtenissen, en voorspellende analyses over de toekomst. Kan de gehele supply chain gebenchmarkt worden, en alle kwetsbaarheden geïdentificeerd in een enkel jaar? En kunnen we de zware cyberrisico's in Amerikaanse supply chains mitigeren? Dat blijft abwachten.

Padraic O'Reilly is mede-oprichter en chief product officer van CyberSaint.