Comment aborder la cybersécurité par le biais de la technologie, des personnes et des processus

L'évolution des réseaux de la chaîne d'approvisionnement au fil des ans a été largement dictée par la technologie. Des organisations de toutes tailles se tournent vers l'espace numérique, certaines contraintes par les perturbations de l'année dernière. Alors que les entreprises se construisent des forteresses de cybersécurité, il existe plusieurs vulnérabilités aux points de contact avec les fabricants, les fournisseurs, les partenaires mondiaux et d'autres prestataires de services à prendre en compte. Des menaces rôdent autour de ces parties, attendant de violer la sécurité à la première occasion.

La cybersécurité a mûri dans une certaine mesure pour les grandes entreprises, bien que concentrée dans le périmètre de l'organisation. Il existe un manque de gouvernance et de contrôle sur les départements individuels traitant avec d'autres entités de l'écosystème, dont beaucoup sont de petites entreprises dont la force de cybersécurité est faible. Ce sont des points d'entrée favorables pour les pirates.

Avec l'avènement de technologies perturbatrices telles que les véhicules sans conducteur, l'automatisation des processus robotiques et la numérisation de bout en bout, les frontières de la cybersécurité entre les organisations deviennent de plus en plus floues. Environ 80 % des violations signalées se produisent dans les réseaux de la chaîne d'approvisionnement. Partout où votre organisation apparaît dans la chaîne d'approvisionnement, si vous êtes connecté, vous courez un risque.

Les menaces de la chaîne d'approvisionnement incluent le déni de service, les fuites de données, les vols de données client, l'interruption des activités et d'autres attaques de logiciels malveillants telles que les ransomwares. Au fur et à mesure, la chaîne d'approvisionnement est aussi solide que son maillon le plus faible.

L'approche de la cybersécurité dans le réseau de la chaîne d'approvisionnement doit être envisagée sous trois angles :la technologie, les personnes et les processus.

Technologie

L'ensemble de la chaîne d'approvisionnement doit être inclus dans les plans de protection, d'atténuation et de réponse en matière de cybersécurité. La réponse et la récupération ne doivent pas se limiter aux configurations technologiques internes.

L'adoption de la technologie cloud, des appareils de l'Internet des objets (IoT) et des serveurs virtuels ouvre de nouvelles perspectives pour les violations. Assurez des procédures de cybersécurité appropriées telles que les authentifications à deux facteurs et le contrôle d'accès biométrique sur tous les systèmes internes et tiers. Les plans d'atténuation des risques et de récupération doivent être documentés en tant que processus standard.

L'utilisation de logiciels open source peut être une source de menaces, et une surveillance adéquate doit être prévue pour ces configurations.

La technologie Blockchain est une tendance émergente qui a le potentiel d'améliorer la transparence et l'efficacité, ainsi qu'un niveau élevé de sécurité des données entre plusieurs partenaires commerciaux. Il peut permettre une meilleure visibilité des produits, des données et des flux financiers tout au long de la chaîne d'approvisionnement. Il est largement adopté par les entreprises aux opérations complexes et son impact réel reste à voir. Les experts pensent que les organisations devraient au moins évaluer la viabilité et les avantages potentiels de la blockchain.

Personnes

Tous les employés et partenaires commerciaux doivent être inclus dans le cadre de sécurité. Des rôles et des responsabilités clairs pour tout le personnel et les entités tierces dans les mesures de protection, de détection, d'intervention et de récupération sont essentiels.

Les politiques BYOD (Bring Your Own Device) sont une source majeure de logiciels malveillants et d'hameçonnage dans la chaîne d'approvisionnement, et doivent être un objectif clé. Aucun appareil appartenant au personnel ne doit être autorisé à se connecter à l'infrastructure de l'entreprise sans les canaliser via un réseau privé virtuel (VPN).

Traiter

Établissez des processus de diligence raisonnable de la posture de cybersécurité avant d'intégrer toute nouvelle entité dans votre écosystème. Une surveillance régulière pour garantir la conformité des processus par toutes les entités est essentielle pour garantir la capacité du plan de reprise et d'intervention.

La diffusion de renseignements sur les menaces est un autre facteur qui peut faire une énorme différence dans le processus global de cybersécurité, mais n'a pas encore atteint sa maturité en tant que pratique standard.

Établissez des processus pour supprimer l'accès des tiers une fois le contrat terminé, car cela a été une erreur coûteuse pour de nombreuses entreprises.

Les entreprises doivent mettre en œuvre des directives et des normes d'accès aux données à l'échelle de l'entreprise, en particulier lorsque des données sensibles sont partagées entre les organisations.

Les audits mensuels du serveur et du réseau permettent de garder une bonne trace de tous les accès spéciaux et administrateur.

Voici quelques directives clés à garder à l'esprit lorsque vous développez un plan de sécurité pour l'ensemble du réseau de partenaires commerciaux.

• Cela ne fonctionnera pas s'il ne s'agit pas d'un effort de collaboration. Vous devez encourager et éduquer les petites entreprises avec lesquelles vous travaillez sur les menaces de cybersécurité. Les PME peuvent à leur tour solliciter le soutien de leurs partenaires plus importants.
• Les experts de la chaîne d'approvisionnement promeuvent l'idée de supposer qu'une violation va se produire tôt ou tard. Il est donc indispensable de disposer d'un plan de cyber-résilience aujourd'hui.
• Il n'existe toujours pas de cadre général qui prendrait en charge toutes les tailles d'entreprises en matière de gestion de la cybersécurité de la chaîne d'approvisionnement. Cependant, les fournisseurs et autres parties peuvent mener des initiatives de vérification indépendantes et standardisées.
• Les tests d'intrusion peuvent éliminer les vulnérabilités connues et potentielles.
• Une équipe ou un responsable central doit être mis en place pour surveiller régulièrement la configuration de la cybersécurité pour l'ensemble de la chaîne d'approvisionnement, afin d'éviter les « silos » de réseau non géré.
• Les entreprises doivent envisager l'utilisation de l'intelligence artificielle pour détecter les menaces et les violations de manière plus proactive, et activer les systèmes de réponse à temps.

Vijaya Rao est fondateur et PDG de TechVio , un I.T. société de services.