Sécuriser la chaîne d'approvisionnement mondiale : exploiter les données sans frontières pour la cyberdéfense

Les cyberattaques sur la chaîne d'approvisionnement ne sont pas nouvelles, mais elles sont loin d'être sous contrôle.

Une étude récente de Resilience 360 a révélé qu'il y a eu près de 300 incidents de cybersécurité affectant des entités de la chaîne d'approvisionnement en 2019. Avec l'entreprise moyenne partageant des données avec plus de 500 tiers, il n'est pas étonnant que l'Institut Ponemon rapporte qu'environ 61 % des entreprises américaines ont subi une violation de données au sein de leurs chaînes d'approvisionnement.

Alors que les tensions géopolitiques ont conduit une large partie de ces attaques, 2020 a cédé la place à une tempête parfaite d'opportunité, car la COVID-19 a forcé une grande partie de la main-d'œuvre mondiale à passer au travail à distance. Les organisations, des gouvernements aux entreprises, doivent assumer la responsabilité de protéger les données qu'elles traitent et partagent. Avec une collaboration si cruciale pour soutenir l'innovation et la productivité, cela doit être fait sans étouffer le flux d'idées et d'informations, ou rendre les systèmes et processus inutilisables.

Le travail à distance : un nouveau vecteur de risque

Alors que la COVID-19 a frappé les États-Unis avec force au premier trimestre de cette année, les organisations ont réagi en déplaçant les employés vers le travail à distance presque du jour au lendemain. En juin 2020, un incroyable 42 % des travailleurs américains effectuaient leur travail à distance depuis chez eux et migraient les bureaux. Avec une main-d'œuvre hautement mobile, et des écosystèmes de fournisseurs de plus en plus complexes et dispersés mondialement, la menace pour la propriété intellectuelle et les informations classifiées ou sensibles s'intensifie.

Les équipes de projet utilisent quotidiennement des plateformes mobiles et cloud pour partager et stocker des données, les exposant potentiellement à l'accès par des utilisateurs non autorisés. Elles sont aussi physiquement transportées en dehors de l'organisation sur smartphones, disques durs amovibles et clés USB qui sont sujets au vol et à la perte. Dans ce contexte, les données traversent constamment les frontières des entreprises et des nations. Il n'y a plus de périmètre clair à défendre.

Le vol et la perte de données en mouvement : une menace majeure

Si les piratages délibérés sont maintenant monnaie courante, l'une des plus grandes menaces pour la sécurité reste le vol, la perte et l'utilisation abusive de données en mouvement. Une recherche d'Apricorn en 2018 a noté que 29 % des organisations interrogées avaient subi une violation de données comme résultat direct du travail mobile. La même recherche menée en 2020 montre que plus de la moitié des répondants croient encore que les travailleurs à distance exposeront leur organisation au risque d'une violation de données.

De plus, une recherche récente de Digital Guardian montre une augmentation de 123 % du volume de données téléchargées sur supports USB par les employés depuis que la COVID-19 a frappé, suggérant que les équipes utilisent le stockage amovible pour emporter de gros volumes de données chez eux. À moins que ces dispositifs ne soient chiffrés, ce n'est qu'une question de temps avant de voir un pic de violations de données associées à la vulnérabilité des travailleurs à distance.

Une approche centrée sur les données, basée sur des politiques

Une approche centrée sur les données, basée sur des politiques, pour la sécurité protégera l'information elle-même, à l'intérieur et à l'extérieur des systèmes centraux d'une organisation, tant en mouvement qu'au repos, tout en permettant des communications sûres. La réponse réside dans une approche multicouche combinant personnes, processus et technologie.

Commencer de l'intérieur

La sécurité n'est pas seulement une question de solutions technologiques. La formation à la sensibilisation à la sécurité et les programmes d'engagement doivent s'étendre aux équipes des partenaires et contractants. Votre objectif ici est de rendre tous les employés conscients de la valeur et des risques associés aux données, et de définir et renforcer leur rôle dans sa protection.

De plus, mettez en place les meilleures pratiques de sécurité des données, et gérez leur application. Vous pouvez donner un avantage à votre organisation en créant des pratiques et politiques pour la façon d'interagir avec et de sécuriser les données. En définissant et en appliquant les meilleures pratiques pour votre équipe et votre chaîne d'approvisionnement, vous aidez à construire une culture de responsabilité.

Penser les données en termes de cycle de vie

Après avoir créé les meilleures pratiques pour travailler avec et sécuriser les données, les organisations devraient mener un audit complet, couvrant :

• Quel type de données est détenu, et dans quel but ;
• Qui a accès à ces données ;
• Où les données circulent, et
• Comment elles sont actuellement contrôlées.

Cela facilitera le repérage des zones de non-conformité, l'identification de là où les données peuvent être non protégées, et l'identification des technologies, politiques et processus qui peuvent minimiser l'exposition au risque.

Appliquer la sécurité

Définissez une stratégie qui inclut la documentation et l'application de politiques qui contrôlent comment les données sensibles sont manipulées et utilisées, et qui sont étendues à tous les points de terminaison, y compris les partenaires et contractants. Le chiffrement doit être un élément clé de la stratégie. Si un dispositif de stockage amovible se retrouve entre de mauvaises mains, l'information chiffrée sera rendue inintelligible à quiconque essaie d'y accéder.

Surtout dans le « nouveau normal » du travail à distance, il est impératif que les départements IT recherchent, identifient et imposent un dispositif de stockage mobile chiffré standard corporate, et en imposent l'utilisation via des politiques de liste blanche. Le dispositif doit être pré-configurable pour se conformer aux exigences de sécurité, comme la force du mot de passe.

Et, parce qu'on parle de la chaîne d'approvisionnement, les exigences devraient être écrites dans les contrats tiers — définissant, par exemple, les outils et technologies qui doivent être utilisés, et quand ils devraient être mis à jour. Les organisations pourraient adopter une approche encore plus proactive et définir ces exigences dans le processus de demande de proposition (RFP), de sorte que les attentes soient fixées avant qu'un tiers ne soit choisi.

Mesurer, surveiller et rapporter

Pour les équipes IT et sécurité, le dicton « On ne peut pas gérer ce qu'on ne peut pas mesurer » est particulièrement approprié. L'audit continu de la conformité, tant au sein de l'organisation qu'à travers la chaîne d'approvisionnement, fournit une visibilité rapide des violations de politique, pour qu'elles puissent être adressées par la formation ou des procédures disciplinaires. La surveillance fournira aussi une piste d'audit détaillée qui permet à l'organisation de démontrer sa position de conformité, ainsi qu'un enregistrement précis de tout comportement d'utilisateur non conforme.

Une combinaison de mesures techniques et organisationnelles peut aider à réduire l'exposition au risque dans la chaîne d'approvisionnement, tout en permettant l'échange et la mobilité sûrs de l'information alors que nous continuons à travailler depuis chez nous. Les entreprises qui contrôlent leurs données de manière appropriée peuvent protéger la confidentialité, la sécurité nationale et leur propre réputation sans compromettre l'efficacité, l'agilité ou leur avantage concurrentiel.

La chaîne d'approvisionnement en expansion constante, couplée à des changements dramatiques dans la façon et l'endroit où nous travaillons, signifie que les organisations doivent continuellement se concentrer sur la sécurité des tiers. En créant un plan stratégique de sécurité des données qui audite et mesure tout au long du chemin, avec un accent sur la sensibilisation et la formation des employés, nous pouvons sécuriser nos chaînes d'approvisionnement malgré l'élimination des frontières physiques.

Jon Fielding est directeur général chez Apricorn, un fabricant de dispositifs de stockage USB chiffrés matériellement.