Angst vor der Cybersicherheit der Lieferkette? 5 Gründe, warum Sie nicht genug Angst haben – Teil 2

Katherine Barrios, CMO bei Xeneta

Wir haben gestern im Teil 1 den ersten Grund für die Cybersicherheit der Lieferkette gesehen. Jetzt sehen wir die verbleibenden Gründe heute. In der heutigen Welt „nutzen gewöhnliche Kriminelle, Ringe der organisierten Kriminalität und Nationalstaaten ausgeklügelte Techniken, um Angriffe zu starten, die sehr gezielt und sehr schwer zu entdecken sind“, warnt ein Bericht über den aktuellen Stand der Cyberkriminalität (PricewaterhouseCoopers , US-Cyberkriminalität:Steigende Risiken, geringere Bereitschaft).

Bewertung von Cybersicherheitsrisiken in der Lieferkette

Ein besonders schädlicher Aspekt von Cyberangriffen ist die Art und Weise, wie die Bedrohungen immer „in Bewegung“ sind, sagt Katherine Barrios, Chief Marketing Officer bei Xeneta .

Angreifer versuchen naturgemäß, Straßensperren und Gegenmaßnahmen zu umgehen.

Bedrohungen wie dem WannaCry- oder WannaCrypt-Ransomware-Angriff und dem schnelllebigen „Petya“ einen Schritt voraus zu sein, ist eine Herausforderung. „WannaCry“ hat über 230.000 Computer in über 150 Ländern betroffen – wobei der größte Schaden dem British National Health Service zugefügt wurde Spanische Telefongesellschaft Telefónica und Deutsche Staatsbahnen. „Petya“ beeinflusste nicht nur Maersk Linie, sondern auch die IT-Infrastruktur vieler anderer Firmen, wie z. B. der Pharmakonzern Merck , Werbetreibender WPP , Lebensmittelunternehmen Mondelez , und Anwaltskanzlei DLA Piper.

Wenn eine Reederei wie Maersk Line, die für den Warenfluss (Flotte, Container) verantwortlich ist, von einem Virus befallen wird, sind die Auswirkungen auf die Lieferkette schnell und enorm (Olivia Solon und Alex Hern, „'Petya' Ransomware Attack:What Ist es und wie kann es gestoppt werden? The Guardian .)

Sich schnell bewegende, feindselige Gruppen und Einzelpersonen besitzen die „Beharrlichkeit, taktischen Fähigkeiten und technologischen Fähigkeiten“, um große SCM-Systeme zu beschädigen und zu zerstören, einschließlich, bedrohlicherweise, die Logistikkette (PWC, US Cybercrime).

Ob durch Malware („bösartige Software“), die Nutzung kompromittierter Zugangsdaten, die im „unterirdischen“ Internet zur Verfügung gestellt werden, Distributed Denial of Service (DDoS) (die Störung von Systemen durch einen schlechten Akteur) und SQL-Injections (das Einfügen von Schadcode in Structured Query Language), Hacker sind neben anderen Taktiken erfinderisch (Drew Smith, „Ist Ihre Lieferkette sicher vor Cyberangriffen?“ Supply Chain Quarterly).

Auch wenn es durch Mitarbeiterschulungen etwas gemildert wird, ist es nicht immer möglich, Insider-Ereignisse abzuwehren – solche, die aus Sicherheitslücken der Mitarbeiter resultieren. Insider-Events können das Phänomen des Social Engineering umfassen (wenn sich ein Krimineller Zugang zu Gebäuden, Systemen oder Informationen verschafft, indem er die menschliche Psychologie der Mitarbeiter ausnutzt). Es gibt auch die gelegentliche Verwendung von Geräten durch Mitarbeiter und den falschen Umgang mit Informationen durch Mitarbeiter, die sich nicht an die besten Praktiken halten (PWC, US Cybercrime).

Das potenzielle Ausmaß von Cyber-Bedrohungen in der Lieferkette

Im Kern trägt Supply Chain Management dazu bei, menschliches Leben zu erhalten – Menschen sind von Lieferketten abhängig, um Grundbedürfnisse wie Lebensmittel und Wasser zu liefern (CSCMP, The Council of Supply Chain Management Professionals, „The Bedeutung des Lieferkettenmanagements“).

Jede Störung könnte einen gesellschaftlichen Zusammenbruch verursachen. Wegen des von Petya verursachten Computerausfalls mussten die Arbeiter die Strahlungswerte im Kernkraftwerk Tschernobyl manuell überwachen, und die Bürger von Kiew hatten keinen Zugang zu Geldautomaten. (Nicole Perlroth, Mark Scott und Sheera Frenkel, „Cyberangriff trifft die Ukraine und verbreitet sich dann international“, New York Times ).

Die potenziellen lebensbedrohlichen Risiken Ende Juni waren sehr real – der Ransomware-Angriff breitete sich auf das Heritage Valley Health System aus, das die Heritage Valley Sewickley und Heritage Valley Beaver Hospitals in Western Pennsylvania, Ost-Ohio und West Virginia betreibt, und griff vorübergehend HVHS Computersysteme.

Glücklicherweise fand die einzige tatsächliche Betriebsunterbrechung des Dienstes an den Standorten des Labors und der diagnostischen Bildgebungsgemeinschaft des Gesundheitsnetzwerks statt, wobei diese Dienste jetzt "voll funktionsfähig" waren. („Updates zum Cybersicherheitsvorfall im Heritage Valley Health System“, Latest News Posts, HVHS).

Exporte und Importeure werden immer noch von Verzögerungen durch die Systemabschaltung in den Anlagen von Maersk und APM Terminals „heimgesucht“ – wobei Maersk Line dementsprechend auf angefallene Liege- und Rückhaltegebühren verzichtet. (Mike Wackett, "Cyber-Angriff verfolgt Maersk immer noch, während es darum kämpft, Volumen zurückzuerobern", The Loadstar ).

Man kann sich nur einen größeren Einfluss eines ähnlichen Triggerereignisses in der Zukunft vorstellen. Die nächste Störung des Personen- und Warenverkehrs in der Lieferkette könnte zu schwerwiegenderen gesellschaftlichen Folgen führen, die über die bloße Unternehmensleistung hinausgehen. (Weltwirtschaftsforum , Neue Modelle zum Umgang mit Lieferketten- und Transportrisiken:Eine Initiative des Risk Response Network in Zusammenarbeit mit Accenture ).

Cyber-Komplexität

Ein weiterer düsterer Grund, warum wir um die Zukunft der Lieferkette/des Transportnetzwerks „Angst haben sollten“, ist die Komplexität der Cyber-Bedrohungen.

Michael Daniel beschreibt die schiere Komplexität in seinem Artikel „Warum ist Cybersicherheit so schwer?“ Harvard Business Review:

„Der Cyberspace funktioniert nach anderen Regeln als die physische Welt. Ich meine nicht die sozialen „Regeln“, sondern die Physik und Mathematik des Cyberspace. Der Knotencharakter eines Lichtgeschwindigkeitsnetzes bedeutet, dass Konzepte wie Entfernung, Grenzen und Nähe alle unterschiedlich funktionieren, was tiefgreifende Auswirkungen auf die Sicherheit hat.“

Da es weder typische Nähe noch typische Grenzen gibt, funktionieren Konstrukte und Lösungen der „physischen Welt“ nicht sehr gut.

„In der physischen Welt beauftragen wir beispielsweise den Bund mit der Grenzsicherung. Aber angesichts der Physik des Cyberspace ist das Netzwerk aller an der Grenze. Wenn alle direkt an der Grenze leben und arbeiten, wie können wir dann die Grenzsicherung ausschließlich der Bundesregierung übertragen? In der physischen Welt ist die Kriminalität lokal – um einen Gegenstand zu stehlen, muss man sich an einem Ort aufhalten, daher hat die Polizei ihre Zuständigkeiten auf der Grundlage der physischen Grenzen."

Nicht so im Cyberspace. Organisationen und Institutionen stoßen in rechtlicher und politischer Hinsicht an knifflige neue Grenzen, wie zum Beispiel die richtige Aufteilung der Verantwortung zwischen Regierungen und Privatunternehmen, die geschützt werden sollen. Die Abwehr von Risiken (ob von außen oder innerhalb einer Organisation) erfordert erhebliche Investitionen, um mit den Bedrohungen Schritt halten zu können.

Bekämpfung von Cyberrisiken in der Lieferkette:Größerer Handlungsbedarf

Viele Unternehmen investieren nicht die erforderlichen Investitionen in die Cybersicherheit. Alex Bau glaubt, dass es auf die Verhaltensökonomie ankommt ("The Behavioral Economics of Why Executives Underinvest in Cybersecurity", Harvard Geschäftsübersicht). Es gibt sicherlich abschreckende Kostenüberlegungen. Die weltweiten Ausgaben für Cybersicherheit werden zwischen 2017 und 2021 voraussichtlich eine Billion US-Dollar überschreiten – wobei viele Unternehmen nicht in der Lage sind, Schritt zu halten. (Steve Morgan, „Ausblick für Cybersicherheitsausgaben:1 Billion US-Dollar von 2017 bis 2021“, CSO ).

Es gibt auch Hoffnung. Blockchain-Lösungen, die sich zusammenschließen, um Cybersicherheitsbemühungen zu bündeln, intelligente Sensoren (Marianne Mannschreck, „Wie intelligente Sensoren und das IoT Lieferketten entwickeln“, ITProPortal , Weiterbildung…das sind alles mögliche Wege in eine bessere Zukunft, in der (hoffentlich) weniger Grund zur Angst besteht.

Die Autorin dieses Blogs ist Katherine Barrios, Chief Marketing Officer bei Xeneta