Se spomnite decembra 2020, ko je napad na SolarWinds ogrozil oskrbovalne verige ve\u010d kot 18 tiso\u010d organizacij? Napad, ki je za seboj pustil ve\u010d milijard dolarjev \u0161kode, \u0161e vedno velja za enega najobse\u017enej\u0161ih napadov v zadnjih letih, spro\u017eil pa je tudi ponovni razmislek in opredelitev kibernetske varnosti dobavnih verig. Kako se je v zadnjih dveh letih razvijala varnost dobavne verige?<\/p>\n\n\n\n
Nekaj je gotovo: danes se bistveno bolj zavedamo tveganj, ki jih za na\u0161e informacijske sisteme predstavljajo re\u0161itve v oblaku in dolge dobavne verige. Ob\u010dutljive podatke, ki si jih delimo v tesnem sodelovanju s partnerji in prodajalci, je mogo\u010de prestrezati na vsaki povezavi dobavne verige. Posledi\u010dno kr\u0161itev v eni organizaciji vpliva na vse vklju\u010dene dele\u017enike. \u010ce ste v dobavni verigi eno od ve\u010djih podjetij in strate\u0161ko vlagate v kibernetsko varnost, morda ne boste neposredna tar\u010da kibernetskega napada. Napadalci se obi\u010dajno osredoto\u010dajo na organizacije, v katerih zaznajo \u0161ibkej\u0161o za\u0161\u010dito, zlasti na ravni uporabnikov. Ko pridobijo dostop do notranjega omre\u017eja enega od \u010dlenov dobavne verige, se lahko napadalci pomaknejo naprej po verigi in dose\u017eejo \u017eeleni cilj. Morda bodo potrebovali ve\u010d mesecev, vendar jim bo na koncu uspelo.<\/p>\n\n\n\n
\u010ceprav je razpr\u0161enost dobaviteljev pogosto koristna z vidika razpolo\u017eljivosti in neprekinjenega poslovanja, lahko prispeva tudi k ve\u010djemu tveganju. Ve\u010d kot je ravni v dobavni verigi, ve\u010dja je mo\u017enost uspe\u0161nega napada. V zadnjem \u010dasu se zlasti v proizvodnih podjetjih vse ve\u010dji pomen pripisuje lokalnim dobaviteljem, celo proizvodni obrati se selijo v lokalno okolje. Tako so dobavne verige kraj\u0161e in s stali\u0161\u010da globalizacije tudi bolj omejene.<\/p>\n\n\n\n
Ne glede na to, kako dolga je va\u0161a dobavna veriga, poskrbite, da boste storili vse, kar je v va\u0161i mo\u010di, da zmanj\u0161ate tveganje za kibernetski napad in vdor v dobavno verigo.<\/p>\n\n\n\n
Pri obravnavi tveganj v dobavni verigi morate upo\u0161tevati dva vidika: kako za\u0161\u010dititi svoj IT sistem in kak\u0161en odnos imajo va\u0161i dobavitelji do kibernetske varnosti? Poglejmo, kaj lahko storite, da bo va\u0161a dobavna veriga \u010dim bolj varna.<\/p>\n\n\n\n
Ker sta izsiljevalska programska oprema in socialni in\u017eeniring \u0161e vedno naju\u010dinkovitej\u0161i pasti, v katere se ujamejo uporabniki, toplo priporo\u010damo vlaganje v trening ozave\u0161\u010danje o kibernetski varnosti za vse uporabnike. Ko bodo vsi va\u0161i uporabniki znali prepoznati in prijaviti poskuse socialnega in\u017eeniringa, se bo verjetnost uspe\u0161nega socialnega in\u017eeniringa bistveno zmanj\u0161ala. Posledi\u010dno pa tudi mo\u017enost, da se hekerji premikajo po va\u0161i dobavni verigi. Poleg tega spodbudite svoje partnerje in dobavitelje, da usposobijo svoje uporabnike in prispevajo k vi\u0161ji ravni kibernetske varnosti dobavne verige. Sklepanje partnerstev s ponudniki, ki kibernetske varnosti ne jemljejo tako resno kot vi, predstavlja dodatno tveganje za va\u0161o IT infrastrukturo.<\/p>\n\n\n\n
Obstaja velika verjetnost, da bodo va\u0161i uporabniki padli na zelo preproste finte, kot so nagradne igre, stave in loterija. Kdor igra na karto “biti sre\u010den in zmagati”, ima \u0161e vedno zelo veliko mo\u017enosti za uspeh. Druge pogoste pasti so poslovne in zaposlitvene prilo\u017enosti ter brezpla\u010dne internetne storitve. Zelo uspe\u0161ne so lahko tudi prevare z izdajanjem za “novince” pri dobaviteljih in po\u0161iljanjem e-po\u0161te v njihovem imenu. Ne pozabite, da so u\u010dinkovito sredstvo za goljufanje tudi elektronske vsebine, povezane z upravljanjem \u010dlove\u0161kih virov, kot so povi\u0161anje pla\u010de, nove pogodbe ipd.<\/p>\n\n\n\n
Med najpogostej\u0161imi posledicami kibernetskega napada v dobavni verigi so kraja intelektualne lastnine, razkritje osebnih podatkov in motnje v poslovnih procesih. Vse to lahko povzro\u010di veliko poslovno izgubo, finan\u010dno \u0161kodo ter neskladnost s standardi in predpisi. Da ne omenjamo izgube ugleda ob razkritju novice o napadu. To nas pripelje do dodatnega vidika napadov na oskrbovalno verigo: v primeru napada na eno samo podjetje ta dogodek obi\u010dajno ostane bolj ali manj skrit o\u010dem javnosti. Medtem ko je v primeru oskrbovalnih verig ve\u010d vklju\u010denih zainteresiranih strani in ve\u010dja je mo\u017enost, da bo novica pri\u0161la v javnost. To je \u0161e en razlog, zakaj mora biti trdna varnost dobavne verige ena glavnih prioritet vsake organizacije.<\/p>\n\n\n\n
Kot smo \u017ee omenili, lahko trening varnostnega ozave\u0161\u010danja zaposlenih bistveno zmanj\u0161a verjetnost uspe\u0161nega napada s socialnim in\u017eeniringom. Pri na\u010drtovanju tak\u0161nega programa ozave\u0161\u010danja ne pozabite izbrati re\u0161itve, ki ponuja raznoliko vsebino simuliranih napadov, izobra\u017eevalno gradivo in zmogljiv sistem poro\u010danja<\/a>. Opremljeni z merljivimi podatki iz zaklju\u010denih kampanj boste lahko spremljali napredek svojih uporabnikov. Izvajalci simulacij socialnega in\u017eeniringa se pogosto spra\u0161ujejo, kako pogosto izvajati kampanje. Na to vpra\u0161anje nimamo enozna\u010dnega odgovora. Nekatera podjetja izvajajo kampanje enkrat mese\u010dno, druga enkrat tedensko, nekatera pogosteje, druga redkeje. Glavno je, da ugotovite pogostost, ki najbolj ustreza va\u0161im uporabnikom in se dr\u017eite na\u010drta.<\/p>\n\n\n\n \u010ce \u017eelite ostati kibernetsko varni, ne\u0161ifrirani podatki ne smejo potovati po va\u0161i dobavni verigi. \u0160ifriranje od za\u010detne do kon\u010dne to\u010dke (ang. end-to-end<\/em>) pomeni, da podatki, poslani od enega odjemalca do drugega, ob prestrezanju nimajo pomena, razen \u010de napadalec pozna \u0161ifrirni klju\u010d. Zelo priporo\u010dljivo je, da uporabljate \u0161ifrirni standard AES – Advanced Encryption Standard, ki ga uporabljajo tudi vladne organizacije in vojska ter zagotavlja bolj\u0161o za\u0161\u010dito pred de\u0161ifriranjem.<\/p>\n\n\n\n Tu imamo v mislih celotno povr\u0161ino napada v dobavni verigi, ne le va\u0161e organizacije, temve\u010d vseh dele\u017enikov. Redno spremljanje vam omogo\u010dajo re\u0161itve za ocenjevanje in rangiranje tveganj<\/a> z avtomatiziranimi orodji, ki redno testirajo in spremljajo spremembe in odstopanja v dobavni verigi. Tak\u0161ne re\u0161itve so skladne z vsemi predpisi in vam lahko pomagajo pri spremljanju dobavne verige in va\u0161e varnosti. Vendar ta storitev pregleda le povr\u0161ino (tisto, kar je vidno in dosegljivo od zunaj) in se ne poglobi v va\u0161e notranje omre\u017eje ali omre\u017eja va\u0161ih dobaviteljev.<\/p>\n\n\n\n Redno testiranje kibernetske varnosti ali ocenjevanje tveganj s strani zunanjih izvajalcev<\/a> je najbolj\u0161i na\u010din za preverjanje kibernetske varnosti va\u0161ega sistema v realnem \u010dasu. Prvi korak k trdnej\u0161i kibernetski varnosti je izvajanje re\u0161itev in dobrih praks, drugi pa preizku\u0161anje njihovega delovanja v resni\u010dnem \u017eivljenju. Predstavljajte si, da za posebno prilo\u017enost potrebujete obleko in nove \u010devlje. \u017deleno naro\u010dite prek spleta in pospravite v omaro, ne da bi nakupljeno pomerili. Kako boste vedeli, da vam obleka pristoji in so vam \u010devlji prav, ko jih boste morali uporabiti? Re\u0161itve, ki te\u010dejo na sistemu, a njihove u\u010dinkovitosti ne preizkusite, so le polovi\u010dna re\u0161itev problema.<\/p>\n\n\n\n Kako pogosto pa naj bi testirali in ocenjevali tveganja? To je odvisno od pogostosti sprememb v va\u0161em sistemu IT. Neko\u010d uveljavljena splo\u0161na praksa izvajanja varnostnih testov enkrat na leto ne zadostuje ve\u010d. Vsaka nova ranljivost brez popravkov, ozna\u010dena kot \u00bbzero-day\u00ab, in vsaka varnostna posodobitev v va\u0161 sistem vneseta nova varnostna tveganja, prav tako spremembe v arhitekturi sistema, spremembe lokacije itd. Naju\u010dinkovitej\u0161i odgovori na ta vpra\u0161anja so samodejne re\u0161itve za preverjanje in potrjevanje varnosti<\/a>, ki va\u0161 sistem redno preverjajo glede na vse znane ranljivosti in ustrezno potrjujejo va\u0161o kibernetsko varnostno dr\u017eo.<\/p>\n\n\n\n Vpra\u0161anje v kibernetski varnosti ni, ali bomo dele\u017eni vdora, temve\u010d kdaj. Zato bodite pripravljeni in strate\u0161ko na\u010drtujte odziv. Spontani odziv lahko sicer ubla\u017ei najbolj o\u010ditna tveganja, vendar so za dolgoro\u010dno zmanj\u0161anje mo\u017enosti vdora potrebne bolj poglobljene taktike in postopki. Prepri\u010dajte se, da va\u0161a politika varnostnega kopiranja ustrezno pokriva morebitni napad z izsiljevalsko programsko opremo. Dolo\u010dite, kdo v organizaciji je odgovoren za odzivanje na incidente, in v na\u010drt vklju\u010dite forenzi\u010dno analizo. Forenzika vam lahko pomaga prepoznati \u0161ibke to\u010dke v va\u0161em sistemu IT in te slabosti odpraviti v prihodnosti.<\/p>\n\n\n\n To je bilo nekaj vpogledov v problematiko kibernetske varnosti dobavne verige in nasvetov za njeno uspe\u0161no upravljanje. Sledite na\u010delu ni\u010delnega zaupanja (eng. zero trust<\/em>): spremljajte, pregledujte, testirajte in omejite pravice dostopa na najni\u017eje privilegije. Izkoristite najsodobnej\u0161a orodja, ki vam lahko pomagajo v boju proti kibernetskim napadalcem in zagotavljajo varnost va\u0161ih sredstev.<\/p>\n\n\n\n <\/p>\n\n\n SecurityScorecard je avtomatizirana re\u0161itev za ocenjevanje in upravljanje varnostnih tveganj s stalnim pregledovanjem povr\u0161ine napada.<\/p>\n<\/div><\/div><\/article>\n2. \u0160ifriranje podatkov v celotni dobavni verigi<\/h3>\n\n\n\n
3. Spremljanje povr\u0161ine napada<\/h3>\n\n\n\n
4. Redno varnostno testiranje in ocenjevanje tveganja<\/h3>\n\n\n\n
5. Strate\u0161ko na\u010drtovanje odzivanja na incidente<\/h3>\n\n\n\n
\nIzkoristite na\u0161o ekspertizo za strate\u0161ko upravljanje kibernetske varnosti.<\/strong><\/a><\/div>\n<\/div>\n\n\n\n![\"\"](\"https:\/\/www.carbonsec.com\/wp-content\/uploads\/2023\/02\/pexels-pixabay-220237.jpg\")
<\/a><\/div>SecurityScorecard \u2013 ocenjevanje tveganj in varnost dobavne verige<\/a><\/h3><\/header>
![\"\"](\"https:\/\/www.carbonsec.com\/wp-content\/uploads\/2020\/01\/Penetration-testing.jpg\")
<\/a><\/div>![\"Automated](\"https:\/\/www.carbonsec.com\/wp-content\/uploads\/2020\/08\/AutomatedPenetrationTesting.jpg\")
<\/a><\/div>