Globale Lieferkette sichern: Grenzüberschreitende Daten für Cyber-Abwehr nutzen

Supply-Chain-Cyberangriffe: Nicht neu, aber unkontrolliert

Supply-Chain-Cybersecurity-Angriffe sind nicht neu, aber weit davon entfernt, unter Kontrolle zu sein.

Eine kürzliche Resilience-360-Studie fand: Fast 300 Cybersecurity-Inzidenzen betrafen Supply-Chain-Entitäten 2019. Da durchschnittliche Unternehmen Daten mit >500 Dritten teilen, kein Wunder, dass Ponemon Institute berichtet: ~61 % der US-Unternehmen erlebten Datenschutzverletzung in ihren Lieferketten.

Perfect Storm 2020: Remote Work als Beschleuniger

Während geopolitische Spannungen breite Angriffsflächen trieben, brachte 2020 einen Perfect Storm: COVID-10 zwang großen Teil globaler Belegschaft zu Remote Work. Organisationen – Regierungen bis Unternehmen – müssen Verantwortung für Schutz verarbeiteter/geteilter Daten übernehmen. Zusammenarbeit ist crucial für Innovation und Produktivität – muss ohne Ideen-/Informationsfluss-Einschränkung oder unworkable Systeme/Prozesse geschehen.

Über Nacht ins Homeoffice

Als COVID-19 US im Q1 2020 hart traf, reagierten Organisationen: Mitarbeiter nahezu über Nacht ins Remote Work. Stand Juni 2020: Unglaubliche 42 % der US-Arbeiter arbeiteten remote von zu Hause, migrierten Büros. Mit hochmobiler Belegschaft und zunehmend komplexen, global verstreuten Supplier-Ökosystemen intensiviert sich Bedrohung für IP und klassifizierte/sensible Informationen.

Daten in Bewegung: Die größte Bedrohung

Projektteams nutzen Mobile/Cloud-Plattformen täglich zum Teilen/Speichern von Daten – potenziell exponierend für unbefugten Zugriff. Daten werden auch physisch außer Haus getragen: Smartphones, externe Festplatten, USB-Sticks – diebstahl- und verlustanfällig. In diesem Kontext überschreiten Daten ständig Unternehmens- und Landesgrenzen. Es gibt keinen klaren Perimeter mehr zu verteidigen.

Während gezielte Hacks mittlerweile alltäglich sind, bleibt eine der größten Bedrohungen Diebstahl, Verlust, Missbrauch von Daten UNTERWEGS. Apricorn Research 2018: 29 % der befragten Orgs erlitten Datenschutzverletzung DIREKT durch Mobile Working. Derselbe Research 2020: >50 % der Befragten glauben immer noch, Remote Worker exponieren Org gegenüber Datenschutzverletzungsrisiko.

Digital Guardian Research: 123 % Anstieg Datenvolumen, das Mitarbeiter seit COVID-19 auf USB-Medien herunterladen – Teams nutzen removable storage, um große Datenmengen nach Hause zu nehmen. Sind diese Geräte nicht verschlüsselt, ist es nur Zeitfrage, bis wir Spike bei Datenschutzverletzungen durch Remote-Worker-Vulnerabilität sehen.

Datenzentrierter, Policy-basierter Sicherheitsansatz

Ein datenzentrierter, policy-basierter Sicherheitsansatz schützt die Information SELBST – innerhalb und außerhalb zentraler Systeme, in Bewegung und at rest – während sichere Kommunikation ermöglicht wird. Antwort liegt in Multi-Layer-Ansatz: People, Process, Technology.

1. Innen beginnen: Security Awareness & Culture

Sicherheit ist nicht nur Tech-Lösungen. Security Awareness Training & Engagement Programs müssen auf Partner- und Contractor-Teams ausgedehnt werden. Ziel: Alle Mitarbeiter für Wert und Risiken von Daten sensibilisieren, ihre Rolle in dessen Schutz definieren und verstärken.

Zusätzlich: Data-Security-Best-Practices etablieren, Enforcement managen. Vorteil durch Practices/Policies für Interaktion mit und Sicherung von Daten. Durch Outline & Enforcement für Team und Supply Chain: Culture of Accountability aufbauen.

2. Daten im Lebenszyklus denken

Nach Best-Practices-Erstellung: Comprehensive Audit durchführen, abdeckend:

• Welche Art Daten gehalten wird, zu welchem Zweck
• Wer Zugriff hat
• Wohin Daten fließen
• Wie derzeit kontrolliert wird

Erleichtert: Non-Compliance-Bereiche spotten, ungeschützte Daten pinpointen, Technologien/Policies/Prozesse identifizieren, die Risiko-Exposure minimieren.

3. Security durchsetzen: Verschlüsselung als Kern

Strategie setzen, die Dokumentation und Enforcement von Policies umfasst, die kontrollieren, wie sensible Daten gehandhabt/genutzt werden – extended zu ALL Endpoints, inkl. Partner/Contractors. Verschlüsselung MUSS Kernelement der Strategie sein. Gerät removable media in falsche Hände, sind verschlüsselte Infos für Unbefugte unverständlich.

Besonders im „New Normal“ Remote Working: IT-Abteilungen MÜSSEN corporate-standard encrypted mobile storage devices recherchieren, identifizieren, mandatieren und Nutzung via Whitelisting-Policies erzwingen. Gerät sollte pre-configurable für Security-Requirements (Passwort-Stärke etc.) sein.

Da wir über Supply Chain sprechen: Requirements in Drittverträge schreiben – z. B. welche Tools/Technologien genutzt werden müssen, wann Updates erfolgen. Noch proaktiver: Requirements in RFP-Prozess setzen, damit Erwartungen VOR Drittauswahl geklärt sind.

4. Messen, Monitoren, Reporten

Für IT- und Security-Teams: „You can't manage what you can't measure“ gilt besonders. Laufende Compliance-Audits – intern und über Supply Chain – geben schnelle Sicht auf Policy-Violations, um sie via Training/Disziplinarverfahren zu adressieren. Monitoring liefert detaillierten Audit Trail: Compliance-Position demonstrieren, akkurates Record non-compliant User Behavior.

Fazit: Strategischer Plan für grenzlose Sicherheit

Kombination technischer und organisatorischer Maßnahmen kann Risk Exposure in Supply Chain reduzieren, während sicherer Austausch und Mobilität von Information ermöglicht wird, während wir weiter von zu Hause arbeiten. Unternehmen, die ihre Daten angemessen kontrollieren, schützen Vertraulichkeit, nationale Sicherheit, eigenen Ruf – OHNE Effizienz, Agilität, Wettbewerbsvorteil zu kompromittieren.

Immer weiter expandierende Supply Chain + dramatische Änderungen in WIE/WO wir arbeiten = Organisationen müssen kontinuierlich Third-Party-Security fokussieren. Durch strategischen Data-Security-Plan, der auditiert und misst, mit Fokus auf Employee Awareness & Training, können wir Supply Chains sichern – trotz Eliminierung physischer Grenzen.

Jon Fielding ist Managing Director bei Apricorn, Hersteller hardware-verschlüsselter USB-Datenspeichergeräte.