10 essentiële stappen om uw keten te beveiligen: een bewezen cybersecurity playbook

Naarmate wereldwijde ketens steeds digitaler worden, worden bedrijven blootgesteld aan risico's van oneindig indirecte bronnen. Een systeem is maar zo sterk als zijn zwakste schakel, en hackers jagen meticuuloz om een kwetsbaar component te ontdekken.

Deze exploitatie komt met een hoge prijs. Volgens IBM's Security Cost of Data Breach Report is $5,52 miljoen de gemiddelde totale kosten van een inbraak voor ondernemingen met meer dan 25.000 werknemers en $2,64 miljoen voor organisaties onder 500 werknemers. De meeste bedrijven betalen hackers het losgeld dat ze eisen. Deze zomer betaalden Colonial Pipeline en JBS SA hackers $4,4 miljoen en $11 miljoen respectievelijk om gecrypteerde data te herstellen na massive cyberaanvallen.

Andere impacten omvatten gestoorde klantenservice, ondermijnd vertrouwen, en verlies van competitieve rand.

Cybercriminelen ontwijken barrières en identificeren zwaktes om ketens effectiever dan ooit te exploiteren. In het geval van Colonial Pipeline misbruikten hackers een legacy VPN-profiel dat alleen single-factor authenticatie vereiste.

Aanvallen niet alleen verlammingen bedrijven maar schaden ook klanten. 80% van inbraken betreft persoonlijk identificeerbare informatie (PII). Hackers gebruiken PII en wachtwoorden om toegang te krijgen tot een individu's diverse accounts over het web. Daarnaast beïnvloedt elke breuk in een kete - of het nu uw bedrijf is of derde- of vierde-partij leveranciers - de productie van goederen en diensten terwijl het ook prijzen opduwt.

In het CrowdStrike Security Report - een enquête onder meer dan 1.000 deelnemers - onthulden twee derde van senior IT beslissers en cybersecurity professionals dat hun organisaties een softwareketen-aanval hadden ervaren. Hetzelfde aantal erkende dat hun bedrijf niet adequaat voorbereid is om zich te verdedigen tegen een toekomstige inbraak. Bedrijven moeten proactief zijn en focussen op het bouwen van cyberveerkracht om exploitatie te voorkomen.

Het National Institute of Standards and Technology (NIST), onderdeel van het VS Department of Commerce, adviseert de volgende stappen om IT-activa behoorlijk te beschermen.

Identificatie

Lokaliseer potentiële dreigingsvectoren - routes die kwaadaardige aanvallen kunnen nemen om uw verdediging te passeren en uw netwerk te infecteren - door interne risico- en kwetsbaarheidsassessments uit te voeren. Overweeg een bedrijf in te huren voor een geavanceerde assessment.

Bescherming

Onderneem de noodzakelijke acties om uw organisatie te beschermen en dreigingsgebeurtenissen te voorkomen:

• Blootstellingsreductie. Naast de basisbescherming door firewalls en antivirussoftware, is het vitaal om geprivilegieerde toegangsprocedures vast te leggen. Volg het principe van minste privilegie - alleen werknemers die toegang tot gevoelige data nodig hebben, krijgen toegang.

Tools zoals gedragsanalytics, endpoint detection and response (EDR), artificial intelligence (AI) en threat intelligence kunnen verdediging versterken. Bedrijven zouden veilige codeerpraktijken moeten adoptie en verwijzen naar de OWASP Top 10 Web Application Security Risks.

• Werknemerscommitment en training. Werknemers zijn de laatste verdedigingslijn in cybersecurity en een van de meest voorkomende dreigingsvectoren. Het is cruciaal om elke werknemer te betrekken; de C-suite is niet vrijgesteld. Vestig een cultuur van gezonde wanhoop onder werknemers. Deze benadering kan overdreven paranoïde lijken, maar de inzet kan hoog zijn.

Institueer bewustzijnstraining en interne phishing-campagnes om werknemers te blootstellen aan de nieuwste spam- en social engineering-technieken. Elke werknemer die voor een phishing-campagne valt, moet direct verplicht worden tot training. Vestig een sterke wachtwoordcultuur waarin werknemers variërende en veilige wachtwoorden hebben. Zorg dat ze begrijpen dat als een wachtwoord op één plek gekraakt wordt, het mogelijk en relatief simpel is voor hackers om het op andere accounts met dezelfde e-mail te gebruiken.

Er zijn talloze nuttige (en gratis) cybersecurity-bronnen beschikbaar om werknemerslering te supplementeren en werknemers op de hoogte te houden van de nieuwste industrietrends, zoals de virtuele trainingsmodules van het VS Department of Homeland Security.

• Verzekering. Zorg dat u adequate verzekering heeft in het geval van een aanval. Sommige verzekeraars bieden ransomware-bescherming. Informeer wat er niet gedekt is bij een cyberaanval.
• Fysieke beveiliging. Bescherm personeel, hardware, software, netwerken en data tegen fysieke inbraak en acties. Overweeg oplossingen als bewakingscamera's, beveiligers, beveiligingssystemen, barrières, sloten, toegangspassen, brandalarmen, sprinklers en andere systemen ontworpen om werknemers en eigendom te beschermen.

Let op piggybacking. De deur openhouden voor iemand die met volle handen het kantoor binnenloopt, mag beleefd lijken, maar vormt een beveiligingsrisico. Zorg dat iedereen die bedrijfsterrein binnenkomt, geautoriseerd personeel is.

• Selectieve zakelijke relaties. Cyberaanvallen via leveranciersnetwerken worden steeds commoner. Volgens de 2020 Cyber Resilient Organization Study van het Ponemon Institute, rapporteert 56% van organisaties dat ze een cybersecurity-inbraak hebben ervaren door een derde-partij leverancier. Bij het bepalen van een acceptabel risiconiveau, wees selectief bij het kiezen van contractanten of partners om met uw bedrijf te werken.
• Incidentrapportage. Vestig een goede cultuur en educatie voor het rapporteren van incidenten. IT-professionals zijn meer in staat om potentiële schade te verminderen als ze er eerder over weten.

Detectie

Het is gezegd dat een huis zonder rookmelders hetzelfde is als een netwerk zonder monitoring. Continue monitoring voor beveiligingsgebeurtenissen moet fysieke omgevingen, netwerken, serviceproviders en gebruikersactiviteit omvatten. Kwetsbaarheidsscans zijn een geweldig hulpmiddel en moeten regelmatig uitgevoerd worden op systemen met gevoelige informatie.

Reactie en Herstel

Er is een correlatie zichtbaar tussen reactietijd en de kosten van een aanval. Industrien die het langst dureren om te detecteren, reageren, reageren en te remedieren, lopen de hoogste kosten op. Een snelle reactie kan de impact mitigeren. Toch kan het de mogelijkheid niet elimineren, dus er blijft altijd nadruk op preventie.

Een herstelplan na rampen is cruciaal om data-toegang en IT-infrastructuur na een ramp te herstellen. Herstel hangt af van de omvang van de schade.

Tekent een reactieplan en een herstelroadmap voor alle potentiële incidentenscenario's in de vorm van een business continuity plan. Inclusief tactieken die het bedrijf operationeel houden tijdens een ramp. Bepaal leverancierscriticaliteit en een actieplan als sleutelleveranciers worden aangevallen. Werven back-up leveranciers en back-ups voor uw back-ups voor het geval dat u moet schakelen naar een andere provider om klanten te accommoderen.

Als onderdeel van een effectief herstelplan na rampen, wordt aanbevolen om een cybersecurity-inbraak te simuleren ten minste één keer per jaar. Door deze oefeningen begrijpen relevante personeelsleden hun rol en de te volgen procedures.

Cybersecurity zal een prominente obstakel zijn voor bedrijven van alle maten naarmate ketens complexer worden. Identificeer zwakke schakels in de kete om kwetsbaarheden te minimaliseren en dreigingsgebeurtenissen te voorkomen. Het bouwen van cyberveerkracht bereidt uw bedrijf voor op een worst-case scenario dat anders duurder en schadelijker zou zijn.

Marc Lewis is head of information security bij Visible Supply Chain Management.