10 essenzielle Schritte zur Absicherung Ihrer Lieferkette: Bewährter Cybersecurity-Playbook

Da globale Lieferketten zunehmend digital werden, sind Unternehmen Risiken aus unzähligen indirekten Quellen ausgesetzt. Ein System ist nur so stark wie sein schwächstes Glied – und Hacker jagen akribisch nach verwundbaren Komponenten.

Diese Ausbeutung hat einen hohen Preis. Laut IBMs Security Cost of Data Breach Report beträgt der durchschnittliche Gesamtkosten eines Breaches für Unternehmen mit über 25.000 Mitarbeitern 5,52 Mio. $ und für Organisationen unter 500 Mitarbeitern 2,64 Mio. $. Die meisten Unternehmen zahlen Hackern das geforderte Lösegeld. Diesen Sommer zahlten Colonial Pipeline Co. und JBS SA 4,4 Mio. $ bzw. 11 Mio. $, um verschlüsselte Daten nach massiven Cyberangriffen wiederherzustellen.

Weitere Auswirkungen: gestörter Kundenservice, untergrabenes Vertrauen, Verlust von Wettbewerbsvorteilen.

Cyberkriminelle umgehen Barrieren und identifizieren Schwachstellen, um Lieferketten effektiver denn je auszunutzen. Im Fall Colonial Pipeline missbrauchten Hacker ein Legacy-VPN-Profil, das nur Single-Factor-Authentifizierung erforderte.

Angriffe lahmen nicht nur Unternehmen, sondern verletzen auch Kunden. 80 % der Breaches involvieren persönlich identifizierbare Informationen (PII). Hacker nutzen PII und Passwörter, um auf verschiedene Konten eines Individuums im Web zuzugreifen. Zudem wirkt sich jeder Bruch in einer Lieferkette – ob Ihr Business oder Third-/Fourth-Party-Vendor – auf Produktion von Gütern und Services aus und treibt Preise hoch.

Im CrowdStrike Security Report – einer Umfrage unter über 1.000 Teilnehmern – gaben zwei Drittel leitender IT-Entscheider und Cybersicherheitsprofis an, ihre Organisationen hätten einen Software-Lieferkettenangriff erlebt. Dieselbe Zahl gestand, ihr Unternehmen sei nicht adäquat auf einen zukünftigen Breach vorbereitet. Unternehmen müssen proaktiv sein und Cyber-Resilienz aufbauen, um Ausbeutung zu verhindern.

Das National Institute of Standards and Technology (NIST), Teil des US-Handelsministeriums, empfiehlt folgende Schritte zum ordnungsgemäßen Schutz von IT-Assets.

Identifikation

Potenzielle Threat Vectors – Routen, die bösartige Angriffe nehmen könnten, um Ihre Verteidigungen zu passieren und Ihr Netzwerk zu infizieren – lokalisieren, indem Sie interne Risiko- und Vulnerability-Assessments durchführen. Erwägen Sie, ein Unternehmen für ein Advanced Assessment zu beauftragen.

Schutz

Notwendige Aktionen ergreifen, um Ihre Organisation zu schützen und Threat Events zu verhindern:

• Exposure Reduction. Zusätzlich zum Basis-Schutz durch Firewalls und Antivirensoftware ist es vital, Privileged-Access-Prozeduren zu etablieren. Dem Principle of Least Privilege folgen – nur Mitarbeiter, die Zugriff auf sensible Daten benötigen, erhalten diesen.

Tools wie Behavioral Analytics, Endpoint Detection and Response (EDR), Artificial Intelligence (AI) und Threat Intelligence können Verteidigungen stärken. Unternehmen sollten Secure Coding Practices anwenden und sich auf die OWASP Top Ten Web Application Security Risks beziehen.

• Mitarbeiter-Engagement und Training. Mitarbeiter sind die letzte Verteidigungslinie in Cybersicherheit und einer der häufigsten Threat Vectors. Es ist kritisch, jeden Mitarbeiter einzubinden – die Executive Suite ist nicht ausgenommen. Eine Kultur gesunden Misstrauens etablieren. Dieser Ansatz mag übervorsichtig scheinen, aber die Einsätze können hoch sein.

Awareness-Training und interne Phishing-Kampagnen etablieren, um Mitarbeiter neuesten Spam- und Social-Engineering-Techniken auszusetzen. Jeder Mitarbeiter, der auf eine Phishing-Kampagne hereinfällt, sollte sofort Training absolvieren müssen. Eine starke Passwort-Kultur etablieren: variierende, sichere Passwörter. Sicherstellen, dass sie verstehen: Wird ein Passwort an einer Stelle kompromittiert, ist es möglich und relativ simpel für Hacker, es auf andere Konten mit derselben E-Mail anzuwenden.

Es gibt zahllose hilfreiche (und kostenlose) Cybersicherheitsressourcen zur Ergänzung des Mitarbeiterlernens und um Mitarbeiter zu aktuellen Branchentrends upzudaten – wie die virtuellen Trainingsmodule des US Department of Homeland Security.

• Versicherung. Stellen Sie sicher, Sie haben adäquate Versicherung für den Fall eines Angriffs. Manche Versicherer inkludieren Ransomware-Schutz. Erkundigen Sie sich, was in einem Cyberangriff nicht abgedeckt ist.
• Physische Sicherheit. Personal, Hardware, Software, Netzwerke und Daten vor physischem Eindringen und Aktionen schützen. Lösungen wie Überwachungskameras, Security Guards, Sicherheitssysteme, Barrieren, Schlösser, Zugangskarten, Feueralarme, Sprinkler und andere Systeme zum Schutz von Mitarbeitern und Eigentum in Betracht ziehen.

Vorsicht vor Piggybacking (Trittbrettfahren). Die Tür für jemanden offenzuhalten, der mit vollen Händen ins Büro kommt, mag höflich scheinen – aber es birgt ein Sicherheitsrisiko. Stellen Sie sicher, dass jeder, der Firmengelände betritt, autorisiertes Personal ist.

• Selektive Geschäftsbeziehungen. Cyberangriffe durch Zulieferernetzwerke werden zunehmend häufig. Laut der 2020 Cyber Resilient Organization Study des Ponemon Institute berichten 56 % der Organisationen, sie hätten einen Cybersicherheits-Breach durch einen Third-Party-Supplier erlebt. Bei der Bestimmung eines akzeptablen Risikoniveaus: Selektiv bei der Wahl von Contractors oder Partnern sein, die mit Ihrem Unternehmen arbeiten.
• Incident Reporting. Eine gute Kultur und Ausbildung für das Melden von Vorfällen etablieren. IT-Profis sind fähiger, potenziellen Schaden zu reduzieren, wenn sie früher davon erfahren.

Erkennung (Detect)

Man sagt: Ein Zuhause ohne Rauchmelder ist wie ein Netzwerk ohne Monitoring. Kontinuierliches Monitoring für Security Events sollte physische Umgebungen, Netzwerke, Service-Provider und Nutzeraktivitäten umfassen. Vulnerability Scans sind ein großartiges Tool und sollten regelmäßig auf Systemen mit sensiblen Informationen durchgeführt werden.

Response und Recovery

Eine Korrelation ist evident zwischen Reaktionszeit und Angriffskosten. Branchen, die am längsten brauchen, um zu detektieren, reagieren, respondieren und remediieren, tragen die höchsten Kosten. Eine schnelle Response kann Auswirkungen mindern. Dennoch kann sie die Möglichkeit nicht eliminieren – daher bleibt der Fokus auf Prävention.

Ein Disaster Recovery Plan ist kritisch für die Wiederherstellung von Datenzugriff und IT-Infrastruktur nach einer Katastrophe. Recovery hängt vom Schadensumfang ab.

Einen Response Plan und Remediation Roadmap für alle potenziellen Incident-Szenarien in Form eines Business Continuity Plans skizzieren. Taktiken inkludieren, die das Business während einer Katastrophe operativ halten. Vendor Criticality bestimmen und Vorgehen, falls Key Vendors angegriffen werden. Backup-Supplier und Backups für Backups listen, falls ein Shift zu einem anderen Provider nötig wird, um Kunden zu bedienen.

Als Teil eines effektiven Disaster Recovery Plans wird empfohlen, mindestens einmal jährlich einen Cybersicherheits-Breach zu simulieren. Durch diese Drills verstehen relevante Personen ihre Rolle und die zu befolgenden Prozeduren.

Cybersicherheit wird ein prominentes Hindernis für Unternehmen aller Größen bleiben, während Lieferketten komplexer werden. Schwache Glieder in der Lieferkette identifizieren, um Verwundbarkeiten zu minimieren und Threat Events zu verhindern. Cyber-Resilienz aufzubauen, bereitet Ihr Unternehmen auf ein Worst-Case-Szenario vor, das ansonsten teurer und schädlicher wäre.

Marc Lewis ist Head of Information Security bei Visible Supply Chain Management.