Sécurisez votre supply chain : une stratégie cybersécurité holistique

L'évolution des réseaux supply chain au fil des ans a été largement pilotée par la technologie. Les organisations de toutes tailles passent au digital, certaines contraintes par les perturbations de l'an dernier. Pendant que les entreprises construisent des forteresses cybersécurité pour elles-mêmes, il existe plusieurs vulnérabilités aux points de contact avec fabricants, fournisseurs, partenaires globaux et autres prestataires à considérer. Les menaces rôdent autour de telles parties, attendant de percer la sécurité à la première chance.

La cybersécurité a mûri dans une certaine mesure pour les grandes entreprises, bien que concentrée dans le périmètre de l'organisation. Il existe un manque de gouvernance et de contrôle sur les départements individuels traitant avec d'autres entités dans l'écosystème, dont beaucoup sont des petites entreprises faibles en cybersécurité. Ce sont des points d'entrée favorables pour les pirates.

Avec l'avènement de technologies disruptives comme les véhicules autonomes, l'automatisation des processus robotiques, et la numérisation de bout en bout, les frontières cybersécurité entre organisations s'estompent. Environ 80 % des brèches signalées surviennent dans les réseaux supply chain. Où que votre organisation apparaisse dans la supply chain, si vous êtes connecté, vous êtes à risque.

Les menaces supply chain incluent déni de service, fuites de données, vols de données clients, perturbation d'activité, et autres attaques malware comme les ransomwares. Comme on dit, la supply chain est aussi forte que son maillon le plus faible.

Aborder la cybersécurité dans le réseau supply chain doit se voir à travers trois lentilles : technologie, personnes et processus.

Technologie

Toute la supply chain doit être incluse dans les plans de protection, d'atténuation et de réponse cybersécurité. La réponse et la récupération ne doivent pas se limiter aux configurations technologiques internes.

L'adoption du cloud, des appareils IoT et des serveurs virtuels ouvre de nouvelles vistas pour les brèches. Assurez des procédures cybersécurité appropriées comme l'authentification à deux facteurs et le contrôle d'accès biométrique sur tous les systèmes internes ainsi que tiers. Les plans d'atténuation des risques et de récupération doivent être documentés comme processus standard.

L'utilisation de logiciels open source pourrait être une source de menaces, et une surveillance adéquate doit être planifiée pour ces configurations.

La technologie blockchain est une tendance émergente qui a le potentiel d'améliorer la transparence et l'efficacité, avec un haut niveau de sécurité des données à travers de multiples partenaires commerciaux. Elle peut permettre une meilleure visibilité des flux de produits, données et financiers tout au long de la supply chain. Elle est largement adoptée par les entreprises aux opérations complexes et son impact réel reste à voir. Les experts pensent que les organisations devraient au minimum évaluer la viabilité et les bénéfices potentiels de la blockchain.

Personnes

Tous les employés et partenaires commerciaux doivent être inclus dans le cadre de sécurité. Des rôles et responsabilités clairs pour tout le personnel et entités tierces en protection, détection, réponse et mesures de récupération sont essentiels.

Les politiques BYOD (Bring Your Own Device) sont une source majeure de malware et phishing dans la supply chain, et doivent être un focus clé. Aucun appareil personnel ne devrait être autorisé à se connecter à l'infrastructure corporate sans les canaliser via un réseau privé virtuel (VPN).

Processus

Établissez des processus de due diligence de la posture cybersécurité avant d'intégrer toute nouvelle entité dans votre écosystème. Une surveillance régulière pour assurer la conformité des processus par toutes les entités est essentielle pour garantir la capacité du plan de récupération et réponse.

La diffusion du renseignement sur les menaces est un autre facteur qui peut faire une énorme différence pour le processus cybersécurité global, mais n'a pas encore mûri en pratique standard.

Établissez des processus pour retirer l'accès aux tiers après la fin du contrat, car cela a été une erreur coûteuse pour de nombreuses entreprises.

Les entreprises doivent implémenter des directives et standards d'accès aux données à l'échelle corporate, surtout quand des données sensibles sont partagées entre organisations.

Les audits mensuels serveurs et réseau aident à garder une bonne trace de tous les accès spéciaux et admin.

Voici quelques directives clés à garder à l'esprit lors du développement d'un plan de sécurité pour l'ensemble du réseau de partenaires commerciaux.

• Ça ne marchera pas si ce n'est pas un effort collaboratif. Vous devez encourager et éduquer les petites entreprises avec lesquelles vous travaillez sur les menaces cybersécurité. Les PME peuvent à leur tour chercher du soutien auprès de leurs partenaires plus grands.
• Les experts supply chain promeuvent l'idée de supposer qu'une brèche va se produire tôt ou tard, donc avoir un plan de cyber-résilience est un must-have aujourd'hui.
• Il n'existe toujours pas de cadre large qui supporterait toutes tailles d'entreprises pour la gestion cybersécurité supply chain. Cependant, fournisseurs et autres parties peuvent mener des initiatives de vérification indépendantes et standardisées.
• Les tests de pénétration peuvent éliminer les vulnérabilités connues et potentielles.
• Une équipe ou un gestionnaire central doit être établi pour surveiller régulièrement la configuration cybersécurité de toute la supply chain, pour prévenir les « silos » de réseau non géré.
• Les entreprises devraient envisager l'utilisation de l'intelligence artificielle pour détecter les menaces et brèches plus proactivement, et activer les systèmes de réponse à temps.

Vijaya Rao est fondatrice et CEO de TechVio, une firme de services IT.