10 étapes essentielles pour sécuriser votre chaîne d'approvisionnement : un playbook cybersécurité éprouvé

Alors que les chaînes d'approvisionnement mondiales deviennent de plus en plus numériques, les entreprises sont exposées à des risques d'innombrables sources indirectes. Un système n'est aussi fort que son maillon le plus faible, et les pirates traqueront méticuleusement pour découvrir un composant vulnérable.

Cette exploitation a un prix élevé. Selon le rapport Cost of Data Breach d'IBM Security, 5,52 millions de dollars est le coût total moyen d'une violation pour les entreprises de plus de 25 000 employés et 2,64 millions de dollars pour les organisations de moins de 500 employés. La plupart des entreprises paient la rançon que demandent les pirates. Cet été, Colonial Pipeline Co. et JBS SA ont payé aux pirates 4,4 millions et 11 millions de dollars respectivement pour récupérer des données chiffrées après des cyberattaques massives.

D'autres impacts incluent la perturbation du service client, la confiance minée et la perte d'avantage concurrentiel.

Les cybercriminels évitent les barrières et identifient les faiblesses pour exploiter les chaînes d'approvisionnement plus efficacement que jamais. Dans le cas de Colonial Pipeline, les pirates ont abusé d'un profil de réseau privé virtuel (VPN) hérité qui ne nécessitait qu'une authentification à facteur unique.

Les attaques ne paralysent pas seulement les entreprises mais blessent aussi les clients. Quatre-vingts pour cent des violations impliquent des informations personnellement identifiables (PII). Les pirates utilisent les PII et mots de passe pour accéder aux divers comptes d'un individu sur le web. De plus, toute rupture dans une chaîne d'approvisionnement — que ce soit votre entreprise ou des fournisseurs de troisième ou quatrième niveau — impacte la production de biens et services tout en faisant grimper les prix.

Dans le rapport de sécurité CrowdStrike — une enquête auprès de plus de 1 000 participants — deux tiers des décideurs IT seniors et professionnels de la cybersécurité ont révélé que leurs organisations avaient subi une attaque de la chaîne d'approvisionnement logicielle. Le même nombre a avoué que leur entreprise n'est pas adéquatement préparée pour se défendre contre une future violation. Les entreprises doivent être proactives et se concentrer sur la construction de la résilience cyber pour prévenir l'exploitation.

Le National Institute of Standards and Technology (NIST), partie du Département du Commerce des États-Unis, recommande les étapes suivantes pour protéger correctement les actifs IT.

Identification

Localisez les vecteurs de menace potentiels — les routes que les attaques malveillantes peuvent prendre pour passer vos défenses et infecter votre réseau — en menant des évaluations internes de risque et de vulnérabilité. Envisagez d'engager une entreprise pour effectuer une évaluation avancée.

Protection

Prenez les mesures nécessaires pour protéger votre organisation et prévenir les événements de menace :

• Réduction de l'exposition. En plus de la protection de base fournie par les pare-feu et logiciels antivirus, il est vital d'établir des procédures d'accès privilégié. Suivez le principe du moindre privilège — seuls les employés qui ont besoin d'accéder aux données sensibles y sont autorisés.

Des outils comme l'analytique comportementale, la détection et réponse aux points de terminaison (EDR), l'intelligence artificielle (IA) et le renseignement sur les menaces peuvent renforcer les défenses. Les entreprises devraient adopter des pratiques de codage sécurisé et se référer au Top 10 des risques de sécurité des applications web de l'Open Web Application Security Project (OWASP).

• Engagement et formation des employés. Les employés sont la dernière ligne de défense en cybersécurité et l'un des vecteurs de menace les plus courants. Il est crucial d'engager chaque employé ; la direction n'est pas exempte. Établissez une culture de saine méfiance parmi les employés. Cette approche peut sembler excessivement paranoïaque, mais les enjeux peuvent être élevés.

Instituez une formation de sensibilisation et des campagnes de phishing internes pour exposer les employés aux dernières techniques de spam et d'ingénierie sociale. Tout employé qui tombe dans une campagne de phishing devrait immédiatement être tenu de suivre une formation. Instaurez une forte culture de mots de passe dans laquelle les employés ont des mots de passe variés et sécurisés. Assurez-vous qu'ils comprennent que si un mot de passe est violé en un endroit, il est possible et relativement simple pour les pirates de l'utiliser sur d'autres comptes associés au même email.

Il existe d'innombrables ressources de cybersécurité utiles (et gratuites) disponibles pour compléter l'apprentissage des employés et les tenir à jour sur les dernières tendances de l'industrie, comme les modules de formation virtuelle fournis par le Département de la Sécurité Intérieure des États-Unis.

• Assurance. Assurez-vous d'avoir une assurance adéquate en cas d'attaque. Certains fournisseurs d'assurance incluent des protections contre les ransomwares. Renseignez-vous sur ce qui n'est pas couvert dans une cyberattaque.
• Sécurité physique. Protégez le personnel, le matériel, les logiciels, les réseaux et les données contre l'intrusion physique et les actions. Envisagez des solutions comme les caméras de surveillance, les agents de sécurité, les systèmes de sécurité, les barrières, les serrures, les cartes d'accès, les alarmes incendie, les sprinklers et autres systèmes conçus pour protéger les employés et les biens.

Méfiez-vous du tailgating (suivi d'accès). Tenir la porte ouverte pour quelqu'un qui entre au bureau les mains pleines peut sembler poli, mais cela pose une menace de sécurité. Assurez-vous que tous ceux qui entrent dans les locaux de l'entreprise sont du personnel autorisé.

• Relations d'affaires sélectives. Les cyberattaques via les réseaux de fournisseurs deviennent de plus en plus courantes. Selon l'étude 2020 Cyber Resilient Organization de l'Institut Ponemon, 56 % des organisations rapportent avoir subi une violation de cybersécurité causée par un fournisseur tiers. Pour déterminer un niveau de risque acceptable, soyez sélectif dans le choix des sous-traitants ou partenaires avec qui travailler.
• Signalement d'incidents. Instaurez une bonne culture et éducation pour le signalement d'incidents. Les professionnels IT sont plus capables de réduire les dommages potentiels s'ils en sont informés plus tôt.

Détection

On a dit qu'une maison sans détecteurs de fumée est la même qu'un réseau sans surveillance. La surveillance continue des événements de sécurité doit inclure les environnements physiques, les réseaux, les fournisseurs de services et l'activité des utilisateurs. Les scans de vulnérabilité sont un excellent outil et devraient être effectués régulièrement sur les systèmes contenant des informations sensibles.

Réponse et Récupération

Une corrélation est évidente entre le temps de réponse et le coût d'une attaque. Les industries qui prennent le plus de temps pour détecter, réagir, répondre et remédier encourent les coûts les plus élevés. Une réponse rapide peut aider à atténuer l'impact. Pourtant, elle ne peut éliminer la possibilité, donc l'accent reste toujours sur la prévention.

Un plan de reprise après sinistre est critique pour restaurer l'accès aux données et l'infrastructure IT après un désastre. La reprise dépend de l'étendue des dommages.

Élaborez un plan de réponse et une feuille de route de remédiation pour tous les scénarios d'incident potentiels sous la forme d'un plan de continuité d'activité. Incluez des tactiques qui maintiendront l'entreprise opérationnelle pendant un désastre. Déterminez la criticité des fournisseurs et un plan d'action si des fournisseurs clés sont attaqués. Engagez des fournisseurs de secours et des secours pour vos secours au cas où vous devriez passer à un autre fournisseur pour accommoder les clients.

Dans le cadre d'un plan de reprise après sinistre efficace, il est recommandé de simuler une violation de cybersécurité au minimum une fois par an. Grâce à ces exercices, le personnel concerné comprend son rôle et les procédures à suivre.

La cybersécurité sera un obstacle majeur pour les entreprises de toutes tailles alors que les chaînes d'approvisionnement deviennent plus complexes. Identifiez les maillons faibles dans la chaîne d'approvisionnement pour garantir que les vulnérabilités sont minimisées et pour prévenir les événements de menace. Construire la résilience cyber préparera votre entreprise pour un scénario catastrophe qui serait autrement plus coûteux et dommageable.

Marc Lewis est responsable de la sécurité de l'information chez Visible Supply Chain Management.