Cos'è la sicurezza della supply chain?

Molti di noi nella supply chain ricordano le principali violazioni dei dati subite da Target e Home Depot a pochi mesi di distanza a causa di rapporti con terze parti. Sei anni dopo, le violazioni della sicurezza della supply chain continuano a far notizia: in particolare, la violazione di SolarWinds sta avendo ripercussioni in tutto il settore. L'analisi più recente stima il costo medio di una violazione dei dati a 3,86 milioni di USD, con mega violazioni (50 milioni o più di record rubati) che raggiungono i 392 milioni di USD. Dato l'aumento degli attacchi alla supply chain nel 2020, possiamo solo immaginare l'impatto quando l'analisi verrà aggiornata.

Quindi, cosa serve per affrontare la sicurezza della supply chain?

Parte della sfida è che non esiste una definizione univoca e funzionale di sicurezza della supply chain. È un'area estremamente ampia che include tutto, dalle minacce fisiche alle minacce informatiche, dalla protezione delle transazioni alla protezione dei sistemi e dalla mitigazione del rischio con le parti della rete aziendale immediata alla mitigazione del rischio derivante dalle relazioni con terze, quarte e altre parti. Tuttavia, vi è un crescente consenso sul fatto che la sicurezza della supply chain richieda un approccio multiforme e funzionalmente coordinato.

I responsabili della supply chain ci dicono di essere preoccupati per le minacce informatiche, quindi in questo blog ci concentreremo sugli aspetti della cybersecurity per proteggere la qualità e la consegna di prodotti e servizi, nonché i dati, processi e sistemi associati.

"La sicurezza della supply chain è un problema multidisciplinare e richiede una stretta collaborazione e un'esecuzione rigorosa tra le organizzazioni, il supporto clienti e l'IT, il che comporta delle sfide specifiche. Le aziende che hanno successo iniziano con l'IT e una rete multiaziendale sicura, poi si sviluppano con un accesso gestito e protetto con cura all'analytics e alle funzionalità di visibilità e, da lì, monitorano continuamente ogni livello per individuare comportamenti anomali".

Marshall Lamb, CTO, IBM Sterling

Perché la sicurezza della supply chain è importante?

Le supply chain si occupano di fornire ai clienti ciò di cui hanno bisogno al prezzo giusto, nel luogo e nel momento giusto. Eventuali interruzioni e rischi per l'integrità dei prodotti o servizi forniti, la privacy dei dati scambiati e la completezza delle transazioni associate possono avere conseguenze dannose a livello operativo, finanziario e di marchio. Violazioni dei dati, attacchi ransomware e attività dannose da parte di insider o aggressori possono verificarsi a qualsiasi livello della supply chain. Anche un incidente di sicurezza localizzato a un singolo fornitore o a un fornitore terzo può comunque compromettere in modo significativo il processo di "pianificazione, realizzazione e consegna".

"Una supply chain è forte quanto la sua entità più vulnerabile. Il Cyber Resilience Center del Porto di Los Angeles aiuterà ogni membro partecipante della supply chain a proteggere meglio se stessi e, per estensione, gli altri".

Wendi Whitmore, Vicepresidente, IBM Security X-Force

Mitigare questo rischio è un obiettivo in continua evoluzione e una sfida sempre più grande. Le supply chain sono reti globali sempre più complesse, composte da grandi e crescenti volumi di partner terzi che hanno bisogno di accedere ai dati e di assicurarsi di poter controllare chi li vede. Oggi, nuove pressioni e limitazioni sul personale e sul budget, nonché rapidi e imprevisti cambiamenti nella strategia, nei partner e nel mix di domanda e offerta, aggiungono ulteriori sfide e urgenza. Allo stesso tempo, clienti e dipendenti più informati e socialmente attenti chiedono trasparenza e visibilità sui prodotti e servizi che acquistano o supportano. Ogni punto di contatto aggiunge un elemento di rischio che deve essere valutato, gestito e mitigato.

I 5 principali problemi di sicurezza della supply chain

I leader della supply chain in tutto il mondo e in diversi settori ci dicono che queste cinque preoccupazioni sulla sicurezza della supply chain li tengono svegli la notte:

1. Protezione dei dati. I dati sono al centro delle transazioni commerciali e devono essere protetti e controllati a riposo e in movimento per prevenire violazioni e manomissioni. Lo scambio sicuro di dati comporta anche la fiducia nell'altra fonte, che sia una terza parte o un sito di e-commerce. È fondamentale avere la certezza che la persona con cui si interagisce sia effettivamente chi dice di essere.
2. Località dei dati. I dati critici esistono a tutti i livelli della supply chain, e devono essere localizzati, classificati e protetti, indipendentemente da dove si trovano. In settori altamente regolamentati come i servizi finanziari e la sanità, i dati sanitari devono essere acquisiti, memorizzati, gestiti, utilizzati e scambiati in conformità con gli standard del settore e i mandati del governo che variano in base alle regioni in cui operano.
3. Visibilità e governance dei dati. Le reti multiaziendali non solo facilitano lo scambio di dati tra aziende, ma permettono anche a più imprese di accedere ai dati per visualizzarli, condividerli e collaborare. Le imprese partecipanti richiedono il controllo sui dati e la possibilità di decidere con chi condividerli e cosa può vedere ogni parte autorizzata.
4. Prevenzione delle frodi. In un singolo ciclo order-to-cash, i dati cambiano proprietario numerose volte, a volte in formato cartaceo e a volte in formato elettronico. Ogni punto in cui i dati vengono scambiati tra le parti o spostati all'interno dei sistemi presenta un'opportunità per la manomissione, in modo malizioso o involontario.
5. Rischio da parte di terze parti. I prodotti e i servizi di uso quotidiano, dai telefoni cellulari alle automobili, stanno diventando sempre più sofisticati. Di conseguenza, le supply chain spesso si affidano a quattro o più livelli di fornitori per consegnare i prodotti finiti. Ognuna di queste parti esterne può esporre le organizzazioni a nuovi rischi in base alla loro capacità di gestire correttamente le proprie vulnerabilità.

Best practice per la sicurezza della supply chain

La sicurezza della supply chain richiede un approccio multifaccettato. Non esiste una soluzione unica, ma le organizzazioni possono proteggere le loro supply chain con una combinazione di difese stratificate. Poiché i team concentrati sulla sicurezza della supply chain rendono più difficile per gli attori delle minacce superare la sfida dei controlli di sicurezza, guadagnano più tempo per rilevare attività nefaste e prendere provvedimenti. Ecco alcune delle strategie più importanti che le organizzazioni stanno perseguendo per gestire e mitigare i rischi di sicurezza della supply chain.

• Valutazioni della strategia di sicurezza. Per valutare rischi e conformità, è necessario valutare la governance della sicurezza esistente, inclusa la privacy dei dati, i rischi di terze parti e le necessità e le lacune di conformità normativa IT, rispetto alle sfide, ai requisiti e agli obiettivi aziendali. La quantificazione del rischio di sicurezza, lo sviluppo di programmi di sicurezza, la conformità normativa e agli standard, nonché l'educazione e formazione sulla sicurezza sono fondamentali.
• Mitigazione delle vulnerabilità e test di penetrazione. Identifica innanzitutto i problemi di sicurezza di base eseguendo scansioni delle vulnerabilità. Correggere configurazioni di database errate, politiche di password sbagliate, eliminare le password predefinite e proteggere endpoint e reti può ridurre immediatamente il rischio con un impatto minimo sulla produttività o sui tempi di inattività. Impiega specialisti di test di penetrazione per cercare di individuare vulnerabilità in tutti gli aspetti delle nuove e vecchie applicazioni, infrastrutture IT alla base della supply chain e persino delle persone, tramite simulazioni di phishing e red teaming.
• Digitalizzazione e modernizzazione. È difficile proteggere i dati se per le transazioni aziendali si fa affidamento su carta, telefono, fax ed e-mail. La digitalizzazione dei processi manuali essenziali è fondamentale. Le soluzioni tecnologiche che rendono facile il passaggio da processi manuali su carta e portano sicurezza, affidabilità e governance alle transazioni, forniscono la base per un movimento sicuro dei dati all'interno dell'azienda, sia con clienti e partner commerciali. Modernizzando i processi aziendali e il software, puoi utilizzare al meglio la crittografia, la tokenizzazione, la prevenzione della perdita di dati, il monitoraggio e gli avvisi di accesso ai file, nonché fornire ai team e ai partner formazione e consapevolezza sulla sicurezza.
• Identificazione e crittografia dei dati. I programmi e le politiche di protezione dei dati dovrebbero includere l'uso di strumenti di scoperta e classificazione per individuare database e file che contengono informazioni protette sui clienti, dati finanziari e registri proprietari. Una volta trovati i dati, l'uso degli standard più recenti e delle politiche di crittografia protegge i dati di ogni tipo, sia a riposo che in movimento: dati dei clienti, finanziari, ordini, inventario, Internet of Things (IoT), integrità e altro ancora. Le connessioni in entrata vengono convalidate e il contenuto dei file viene esaminato in tempo reale. Le firme digitali, l'autenticazione a più fattori e le interruzioni di sessione offrono controlli aggiuntivi durante le transazioni su Internet.
• Controlli autorizzati per lo scambio e la visibilità dei dati. Le reti multiaziendali garantiscono uno scambio sicuro e affidabile di informazioni tra partner strategici con strumenti per l'accesso basato su utenti e ruoli. Le pratiche di sicurezza della gestione delle identità e degli accessi sono critiche per condividere in modo sicuro dati proprietari e sensibili in un ecosistema, mentre trovare e mitigare le vulnerabilità riduce il rischio di accessi impropri e violazioni. Il monitoraggio dell'attività del database, il monitoraggio privilegiato degli utenti e gli avvisi forniscono visibilità per individuare rapidamente i problemi. Aggiungere la tecnologia blockchain a una rete multiaziendale offre visibilità a più parti di un record condiviso autorizzato e immutabile che alimenta la fiducia lungo tutta la catena del valore.
• Fiducia, trasparenza e provenienza. Con una piattaforma blockchain, una volta aggiunti al registro, i dati non possono essere manipolati, modificati o eliminati, il che aiuta a prevenire le frodi, ad autenticare la provenienza e a monitorare la qualità del prodotto. I partecipanti di più imprese possono tracciare materiali e prodotti dalla fonte al cliente finale o al consumatore. Tutti i dati sono memorizzati su registri blockchain, protetti dal più alto livello di crittografia commerciale e resistente alla manomissione.
• Gestione dei rischi di terze parti. Man mano che le connessioni e le interdipendenze tra aziende e terze parti crescono nell'ecosistema della supply chain, le organizzazioni devono ampliare la loro definizione di gestione del rischio dei fornitori includendo la sicurezza end-to-end. Permette alle aziende di valutare, migliorare, monitorare e gestire il rischio per tutta la durata della relazione. Inizia riunendo i tuoi team aziendali e tecnici con partner e fornitori per identificare asset critici e potenziali danni alle operazioni aziendali in caso di violazione della conformità, spegnimento del sistema o violazione dei dati che diventi pubblica.
• Pianificazione e orchestrazione della risposta agli incidenti. Prepararsi proattivamente a una violazione, chiusura o interruzione e avere un piano di risposta agli incidenti solido è fondamentale. Piani di risposta e correzione praticati, testati e facilmente eseguibili prevengono perdite di ricavi, danni alla reputazione e abbandono di partner e clienti. L'intelligence e i piani forniscono metriche e informazioni che la tua organizzazione e i tuoi partner possono utilizzare per prendere decisioni volte a prevenire il ripetersi di attacchi o incidenti.

La sicurezza della catena di fornitura continuerà a diventare sempre più intelligente. Ad esempio, le soluzioni stanno iniziando a integrare l'AI per rilevare proattivamente comportamenti sospetti identificando anomalie, modelli e tendenze che suggeriscono un accesso non autorizzato. Le soluzioni basate sull'AI possono inviare avvisi per la risposta umana o bloccare automaticamente i tentativi.

In che modo le aziende garantiscono oggi la sicurezza della supply chain?

IBM® Sterling Supply Chain Business Network ha stabilito un nuovo record di transazioni commerciali sicure a settembre di quest'anno, in aumento del 29% rispetto a settembre 2019, e sta aiutando clienti in tutto il mondo a ricostruire la loro attività con sicurezza e fiducia nonostante la pandemia globale.

Il fornitore internazionale di servizi di trasferimento di denaro Western Union ha completato oltre 800.000 milioni di transazioni nel 2018 per clienti consumatori e business in modo rapido, affidabile e sicuro grazie a un'infrastruttura affidabile per il trasferimento file.

Il brand rivenditore di moda Eileen Fisher ha utilizzato una piattaforma intelligente e omnicanale di evasione per costruire un unico pool di inventario su canali, migliorando la fiducia nei dati di inventario, eseguendo una gestione più flessibile e riducendo i costi di acquisizione dei clienti.

L'ecosistema blockchain Farmer Connect collega in modo trasparente i coltivatori di caffè ai consumatori serviti, con una piattaforma blockchain che integra la sicurezza dei dati e la sicurezza di rete per aumentare la fiducia, la sicurezza e la provenienza.

Il fornitore di servizi finanziari Rosenthal & Rosenthal ha sostituito i suoi molteplici approcci ai servizi di scambio elettronico di dati (EDI) con una rete multiaziendale sicura e basata su cloud, riducendo i costi operativi e offrendo un servizio reattivo e di alta qualità a ogni cliente.

Il fornitore di logistica integrata VLI rispetta numerose normative di governo di conformità e sicurezza, permettendo ai suoi 9.000 lavoratori di accedere ai sistemi giusti al momento giusto per svolgere il proprio lavoro, grazie a una suite integrata di soluzioni di sicurezza che proteggono il proprio business e gli asset e gestiscono l'accesso degli utenti.

Uno dei porti marittimi più trafficati al mondo, il Porto di Los Angeles, sta costruendo un Centro di Resilienza Cibernetica pionieristico, con una suite di offerte di sicurezza volte a migliorare la consapevolezza e la prontezza dell'ecosistema della supply chain a rispondere alle minacce informatiche che potrebbero interrompere il flusso di merci.

Soluzioni per mantenere sicura la tua supply chain

Mantieni al sicuro i tuoi dati più sensibili, rendendoli visibili solo a chi ti fidi, immutabili per prevenire le frodi e protetti dai rischi di terze parti. Lascia che IBM ti aiuti a proteggere la tua supply chain, con una sicurezza collaudata che funziona indipendentemente dal tuo approccio di implementazione, on-premise, cloud o ibrido.