COVID-19 impulsionou ataques cibernéticos na cadeia de suprimentos. Confira 5 dicas para ajudar a mitigar eventos e incidentes de segurança.
Gerenciar a cadeia de suprimentos ou supply chain vai além de manter em bom funcionamento os processos de compra, transporte, estocagem e venda. É preciso envolver e integrar todos os atores de uma empresa para criar as melhores estratégias sobre como um produto e serviço chegarão ao consumidor final.
Nesse sentido, muitas organizações se apoiam em tecnologias para criar uma rede, em que todos os ambientes estarão conectados. Assim, é possível compartilhar informações estratégicas, adotar políticas transparentes de conformidade, de compliance e até mesmo integrar processos.
Entretanto, um risco cresce no horizonte. Assim como áreas mais críticas de uma empresa, a cadeia de suprimentos não ficou fora do radar de cibercriminosos com a pandemia da COVID-19. O aumento das ameaças cibernéticas em supply chain ficou evidente, aponta a Gartner.
No relatório Deploy Effective Supply Chain Strategies to Fortify Cybersecurity da Gartner, Mark Atwood, vice-presidente de pesquisa em cadeia de suprimentos da consultoria, afirmou que “maus atores agirão sempre que virem uma oportunidade [no ecossistema].”
Segundo o executivo, os hackers estão mirando seus ataques em todo o ecossistema de supply chain: “desde o cliente final de uma organização aos provedores de software e fornecedores”, destacou.
Já o documento The rise of cyber threats to supply chains amid COVID-19, da Deloitte e divulgado em maio, destaca que 40% das organizações tiveram operações afetadas por um incidente cibernético na cadeia de suprimentos em 2019.
O relatório detalha ainda que, em abril de 2020, diversas indústrias foram alvo de dois tipos de ataques globais em massa: phishing e compromisso de e-mail comercial (em inglês, Business Email Compromise , o uso de engenharia social para enviar e-mails em nome do CEO da empresa pedindo a transferência de valores para uma conta no exterior).
5 riscos de segurança na cadeia de suprimento e como evitá-los
O relatório da Deloitte não cita números de tentativas de ataque durante o período de pandemia. Porém, independentemente do volume, mitigar os riscos de segurança pode ser um desafio, dada a complexidade da jornada de convergência entre a TI e OT (saiba mais sobre esse conceito aqui).
Para ajudar a evitar que os hackers atinjam seus objetivos, o site TechTarget trouxe cinco riscos de segurança cibernética na cadeia de suprimentos e sugestões de melhores práticas para combatê-los.
1. Reconheça o cenário de ameaças em toda a cadeia
Como destaca o site, as empresas não podem mais achar que um incidente de segurança “não aconteceria conosco”. Por sinal, ter essa mentalidade é um desafio do supply chain, segundo Jorge Rey, diretor de segurança da informação para serviços da consultoria Kaufman Rossin.
“Os líderes pensam que não serão hackeados”, disse o diretor em conversa com o TechTarget. A segurança na cadeia de suprimentos, para Rey, só será possível quando os líderes do setor encararem os riscos que existem no ecossistema.
Segundo o diretor, “há muitas informações e transferências de produtos mesmo em uma [cadeia] mais simples – e cada transferência representa riscos, especialmente onde a tecnologia digital está envolvida, embora facilmente esquecida.”
– O que fazer?
“Os líderes precisam entender as ameaças cibernéticas representadas por diferentes partes da cadeia de abastecimento, incluindo a tecnologia, o software, o ciclo de vida de seus produtos e os fornecedores”, explicou Rey.
2. Crie uma estratégia de segurança multidisciplinar
Todo hacker pode enxergar uma exploração de vulnerabilidade em qualquer lugar. Em supply chain, a meta de um ataque tem diferentes objetivos: “de resgate a sabotagem e roubo de propriedade intelectual”, comentou Atwood, da Gartner.
Os ataques cibernéticos também assumem várias formas:
– Sequestro de atualizações de software.
– Instalação de código malicioso em software legítimo.
– Invasão aos sistemas de TI ou aos equipamentos de OT.
Já as vulnerabilidades, na opinião de Atwood, podem estar presentes nos ativos físicos e digitais. Ou seja, “em qualquer parte do processamento, empacotamento e distribuição [de produto ou serviço] até no fluxo virtual de dados ou nos softwares em dispositivos e sistemas conectados.”
– O que fazer?
Líderes de cadeia de suprimento precisam estar alinhados com o time de segurança e de TI da empresa para entender quais as abordagens de segurança podem ser adotadas. Assim, todos podem encontrar uma estratégia conjunta no gerenciamento de riscos de segurança.
3. Entenda as práticas de segurança e gerenciamento de risco dos fornecedores
em risco. Assim, entender como esses parceiros lidam com a questão da segurança deve ser encarado de forma crítica.
“A maioria das organizações não tem uma visão aprofundada, confiável e acionável dos protocolos e práticas de segurança dos fornecedores de produtos e tecnologias essenciais das quais dependem”, disse Beau Oliver, vice-presidente da Booz Allen Hamilton.
Desta forma, proteger a cadeia de suprimentos é entender o risco que esses fornecedores podem apresentar aos negócios. Como fazer isso, então? Com uma abordagem formal para verificar a segurança dos parceiros.
– O que fazer?
Para Carrie Whysall, diretora de serviços gerenciados de segurança da consultoria CynergisTek, é preciso conduzir uma avaliação de segurança de cada fornecedor antes de trazê-lo para a organização.
Na opinião da especialista, “você tem que ter um questionário técnico básico para usar sempre com cada fornecedor. Você sabe o que está procurando com suas diretrizes de segurança e, se os fornecedores não atendem seus critérios básicos, você não os quer em sua cadeia.”
Já o relatório da Deloitte pontua que “definir requisitos de segurança e ter um programa de gerenciamento de risco cibernético para avaliar serviços de terceiros pode ajudar as organizações a reduzir o risco de ataques em suas cadeias de suprimentos.”
4. Gerenciar os riscos de endpoints no trabalho remoto
O gerenciamento da cadeia de suprimentos encontrou um grande desafio durante a pandemia de COVID-19: o trabalho remoto. Muitas empresas adotaram o home office e, com isso, aumentou o número de endpoints (notebooks, smartphones, roteadores Wi-Fi, por exemplo).
Ou seja, os cibercriminosos têm um mundo de oportunidades para encontrar brechas de segurança. Até porque, as operações agora dependem de uma equipe de TI que gerencie os ambientes físico e virtual de terminais que não estão mais dentro da organização.
“Os funcionários remotos agora estão usando seus dispositivos de trabalho para navegar na web, baixar aplicativos não confiáveis ou se conectar através de redes Wi-Fi públicas ou domésticas, tudo antes de fazer login nas redes seguras das empresas”, disse Oliver, da Booz Allen Hamilton.
Sem contar que empresas e fornecedores utilizam diversas redes, ferramentas de colaboração e outros serviços em nuvem para integrar com o gerenciamento de supply chain, sistemas de EPR e qualquer outro software usado nesse ecossistema.
– O que fazer?
A sugestão de Matt Wilgus, diretor e líder de práticas de segurança da provedora de serviços de certificação e conformidade Schellman & Co. LLC, é adotar uma solução de gerenciamento de dispositivos, como um Mobile Device Management (MDM).
“[Com a solução] as organizações podem fazer mais para tentar melhorar a segurança dos dispositivos móveis de funcionários remotos e, consequentemente, impedir que atores mal-intencionados invadam a rede da cadeia de suprimentos”, disse.
Ela vai garantir que as cadeias de suprimentos sejam protegidas. No entanto, Wilgus afirmou que “as organizações também devem monitorar como seus funcionários remotos estão usando seus dispositivos.”
Porém, o executivo destacou a necessidade de uma política de monitoramento para essa prática. “Você deve dizer aos funcionários remotos: ‘tudo o que você fizer enquanto estiver conectado à rede será totalmente monitorado’.”
5. Aborde a segurança de produtos inteligentes
<h3>5. Aborde a segurança de produtos inteligentes</h3>
Tecnologias como a Internet das Coisas (IoT) estão ajudando os líderes da cadeia de suprimentos, mas também representam maiores riscos de vulnerabilidade. Por sinal, neste artigo do Mundo + Tech você entende a importância de encarar os desafios de segurança de um ecossistema IoT.
O uso de IoT tem ajudado na digitalização de toda a cadeia de suprimentos, ao combinar componentes físicos e digitais. Porém, a maior adoção de dispositivos inteligentes vai exigir também maiores protocolos de segurança.
Para Atwood, da Gartner, há uma isenção de responsabilidade entre o time de supply chain e o de TI. “Em TI, alguns diriam que a segurança do produto é responsabilidade da cadeia de suprimentos. Já em supply chain, diriam que o pessoal de TI tem tudo sob controle”, disse.
– O que fazer?
Assim como no segundo item desta publicação, a segurança cibernética de dispositivos inteligentes vai demandar um trabalho multidisciplinar.
Um silo tecnológico é só mais uma oportunidade de um cibercriminoso invadir os sistemas da empresa. E essa vulnerabilidade vai aumentar à medida que ela continue usando cada vez mais dispositivos inteligentes, mas de maneira desconectada de outros ambientes organizacionais.
Assim, uma abordagem holística para mitigar o risco de segurança cibernética deve ser prioridade conforme as superfícies de ataque aumentam a cada dia, uma vez que a IoT estará presente dentro de toda cadeia de suprimento.
Principais destaques desta matéria
- Cadeia de suprimentos tem sido cada vez mais alvo de ataques cibernéticos.
- Relatório da Deloitte aponta que 40% das empresas já tiverem operações interrompidas.
- Confira 5 riscos de segurança em supply chain e como tentar mitigá-los.
