De afgelopen tien jaar zijn aanvallen op de toeleveringsketen een van de belangrijkste oorzaken van inbreuken geworden. Verbindingen met een netwerk brengen exploiteerbare kwetsbaarheden en een verhoogd risico op beveiligingsincidenten met zich mee. Dan Raywood onderzoekt waarom de supply chain zo'n uitdagend probleem blijft voor organisaties en biedt enkele oplossingen.
De uitdaging begrijpen
De realiteit van aanvallen op de toeleveringsketen is duidelijk zichtbaar: van de aanval op RSA in 2011, waarbij men probeerde Lockheed Martin te infiltreren, tot het incident tien jaar later , waarbij cybercriminelen software of inloggegevens van minstens drie bedrijven – met name de Orion-software van Solarwinds – misbruikten om de Amerikaanse overheid aan te vallen.
Wat we weten over aanvallen op de toeleveringsketen is waarschijnlijk een platgetreden pad: aanvallers misbruiken een kwetsbaarheid in de ene entiteit om een route naar een andere en vaak grotere onderneming te vinden om een inbreuk te plegen, in een omgeving te verblijven of iets schandelijks.
Een supply chain-aanval lijkt ongelooflijk moeilijk te voorkomen, omdat het om een reeks gebeurtenissen gaat en een verdediger serieuze voorzorgsmaatregelen moet nemen om te weten wie met hem verbonden is en welke incidenten hij heeft meegemaakt.
Het risico herkennen
Recent onderzoek van BlackBerry heeft aangetoond dat 74% van de aanvallen afkomstig is van leden van de softwaretoeleveringsketen waarvan bedrijven zich niet bewust waren of die ze niet in de gaten hielden vóór de inbreuk.
Hoe kunt u er zeker van zijn dat de entiteiten die met uw bedrijf verbonden zijn, veilig zijn en aan hetzelfde nalevingsniveau voldoen als uw bedrijf? Richard Starnes, CISO van Six Degrees Group, zegt dat dit mogelijk is als je een flow-down-contract gebruikt, waarbij elk bedrijf waarmee je werkt, jouw voorbeeld moet volgen en kan doorrollen naar andere leveranciers.
"Je hebt een eis aan een klant die specificaties schetst waaraan moet worden voldaan, en als ze niet aan deze specificaties kunnen voldoen, dan kan ik ze niet gebruiken", zegt Starnes.
Het versterken van de zwakste schakel
Volgens Starnes is een van de belangrijkste factoren die aanvallen op de toeleveringsketen mogelijk maken, de betrokkenheid van kleine en middelgrote ondernemingen. Grotere bedrijven zijn namelijk lastiger te infiltreren en de verblijftijd is niet meer wat die was. Het M Trends-rapport van Mandiant uit 2024 meldde dat de verblijftijd was gedaald van 16 dagen naar 10 dagen tussen 2022 en 2023.
Ian Thornton-Trump, CISO van Cyjax, zegt dat de lessen die zijn getrokken uit aanvallen op de toeleveringsketen aantonen dat er een beter begrip moet komen van de gevolgen van de tekortkomingen op het gebied van de beveiliging van uw klanten en leveranciers.” Wat u kunt doen, is hen en hun beveiligingspositie en hun nalevingsvereisten op het gebied van beveiliging in de gaten houden, en als ze een inbreuk op de beveiliging hebben, stellen ze u eerst op de hoogte”, zegt hij.
“Dit gaat niet over een vijandige relatie, omdat je ze niet probeert te vangen, maar het geeft je de kans om wijzigingen aan te brengen in plaats van een defensieve houding aan te nemen.”
Dit gaat over de kwestie van het achterhalen van veiligheidskwesties via de media in plaats van rechtstreeks door het slachtoffer te worden geïnformeerd, waardoor u incidenten kunt reageren en toezicht kunt houden.
Een op vertrouwen gebaseerd ecosysteem bouwen
Uit het onderzoek van Blackberry blijkt dat 65% van de bedrijven hun klanten informeert over incidenten, terwijl 51% zich zorgen maakt over de negatieve impact op de bedrijfsreputatie.
Thornton-Trump zegt dat de enige manier om te ‘vertrouwen maar te verifiëren’ is als er aan alle kanten transparantie is, waardoor je voorbereidingen kunt treffen voor het geval er een inbreuk plaatsvindt en je weet hoe je moet reageren.
Juiste stappen
Wat zijn de juiste stappen om ervoor te zorgen dat u alle zwakke punten vindt waar een aanvaller u zou kunnen aanvallen, ook bij professionele – en mogelijk zelfs aan de regelgeving voldoenende – bedrijven? De richtlijnen van het Britse National Cybersecurity Centre voor de beveiliging van de toeleveringsketen bevelen een reeks principes aan, waaronder weten wie uw leveranciers zijn, inzicht krijgen in hun beveiligingsmaatregelen en een actieplan opstellen.
Deze aanbevelingen vereisen ook een sterke afhankelijkheid van de beveiligingsregelingen van uw leveranciers. Dit kan inhouden dat van “potentiële leveranciers wordt gevraagd bewijs te leveren van hun benadering van beveiliging en hun vermogen om te voldoen aan de minimale beveiligingseisen die u in verschillende stadia van de contractcompetitie hebt gesteld” en dat u de reden voor deze eisen aan uw leveranciers moet uitleggen, zodat zij begrijpen wat Is benodigd.
Gebruikmaken van gevestigde kaders en standaarden
Door de naleving van ISO 27001 te handhaven, kunt u ervoor zorgen dat uw leveranciers op hetzelfde niveau staan als u. Het kan u in staat stellen uw leveranciers beter te onderzoeken en aan te dringen op hun nalevingsniveau zonder dat u een checklist of vragenlijst nodig heeft.
Externe dienstverleners moeten passende beveiligingsmaatregelen implementeren die regelmatig worden gecontroleerd en beoordeeld wanneer ze met bedrijven werken die de ISO 27001 gebruiken
standaard als vangrail voor leveranciersmanagement. Sam Peters, CPO van ISMS.online legt uit: “Dit stelt organisaties in staat veiligheidsrisico’s die verband houden met externe leveranciers te identificeren, evalueren en aan te pakken en stelt bedrijven in staat vooraf gedefinieerde beveiligingscriteria op te stellen en periodieke beoordelingen uit te voeren, waardoor voortdurende naleving en veiligheid wordt gegarandeerd.”
ISO 27001 vereist ook dat bedrijven uitgebreide gegevens bijhouden van alle interacties met derden, inclusief risicobeoordelingen, beveiligingsvereisten vastgelegd in contracten en voortdurende prestatiemonitoring.
Uiteindelijk, zo stelt Peters, “legt ISO 27001 de basis voor rigoureuze controleprocessen van partners en leveranciers, robuuste partnerschapsovereenkomsten en een cultuur van voortdurende verbetering, waardoor u een niveau van veiligheidsregelgeving krijgt dat u extra vertrouwen zou moeten geven.”
Derde en vierde verbinding
Een ander aandachtspunt is de verdere verspreiding naar derde- en vierde-partijverbindingen. Uit onderzoek van Security Scorecard dat eerder dit jaar werd gepubliceerd, bleek dat 97% van de bedrijven in het Verenigd Koninkrijk een gehackte entiteit in hun ecosysteem van derde partijen heeft.
Starnes zei dat veel bedrijven hun leveranciers rangschikken en een beschrijving van de leverancier hebben die de naleving van de regelgeving dicteert die zij aan die entiteit opleggen.
“Voor een leverancier op niveau 1 zou je een jaarlijkse vragenlijst gebruiken, terwijl je voor een leverancier op niveau 2 elke twee jaar een minder diepgaande vragenlijst zou laten afnemen.
“Voor een leverancier op niveau drie heb je nog een vragenlijst en een melding voor wanneer er een materiële wijziging of een incident is, en zo worden er veel beheerd.”
Uitdagingen op het gebied van hulpbronnen overwinnen
Hoewel het beheren van de beveiliging van de toeleveringsketen veel hulpbronnen kan vergen, werpen deze inspanningen op de lange termijn vruchten af. Ondanks de tijdsinvestering is het organiseren en controleren van uw supply chain essentieel voor het onderhouden van een veilig netwerk. Het automatiseren van delen van dit proces en het benutten van nalevingsnormen kunnen de inspanningen stroomlijnen en de last voor beveiligingsteams verminderen.
Een pad voorwaarts
Door een 'vertrouwen maar verifiëren'-aanpak te hanteren en transparantie te bevorderen, kunnen bedrijven hun toeleveringsketens versterken tegen potentiële bedreigingen. Continue monitoring, duidelijke communicatie en naleving van compliancenormen zijn cruciaal voor het creëren van een veerkrachtige en veilige toeleveringsketen. Hoewel de uitdaging aanzienlijk is, kunnen proactieve en positieve strategieën, waaronder de invoering van een ISMS, een substantieel verschil maken in de bescherming tegen aanvallen op de toeleveringsketen.
