Киберпреступность остается значительной глобальной проблемой. Злоумышленники используют все более изощренные методы и пользуются всеми возможностями для перехвата ценных данных или нарушения работы IT-систем. Атакам подвергаются и страдают организации, включая бизнес, критические предприятия, правительства и целые экономики, сталкиваясь с серьезными финансовыми последствиями и операционным хаосом. По оценкам Statista, мировая стоимость киберпреступности возрастет в ближайшие годы, поднявшись с $9.22 трлн в 2024 году до $13.82 трлн к 2028 году.
Одним из новых каналов, использующихся хакерами и вызывающих беспокойство, становится цепочка поставок IT. Злоумышленники используют уязвимости у третьих сторон организации, таких как поставщики и логистические компании, чтобы проникнуть в IT-системы или получить доступ к физическим компонентам, предназначенным для внедрения в товары. События в Ливане, связанные с аппаратными атаками, подчеркивают важность безопасности не только программных, но и аппаратных цепочек поставок. Насколько велика угроза со стороны цепочки поставок IT, и что можно сделать для минимизации рисков?
Слабое звено
Кибератака на SolarWinds в 2020 году, которая поставила под угрозу системы и данные тысяч организаций, в том числе правительство США, является самым известным примером масштабной атаки через цепочку поставок программного обеспечения. Несмотря на разоблачение и осознание необходимости решения проблемы безопасности цепочек поставок, существует немало подобных инцидентов. Среди них атаки на компанию Microsoft, а также другие крупные предприятия, такие как Okta, Norton, 3CX, JetBrains и Airbus, наносящие серьезный удар пострадавшим. С 2021 года кибератаки через цепочки поставок увеличились на 431%, о чем сообщается в отчете страховой компании Cowbell. Аналитики полагают, что проблема лишь усугубится; компания Gartner прогнозирует рост убытков от этих атак с $46 млрд в 2023 году до $138 млрд к 2031 году.
Для организаций угроза атак через цепочку поставок вызывает сильное беспокойство. В отличие от полного контроля над собственными системами, они не всегда уверены в том, что их поставщики и партнеры обеспечивают высокий уровень безопасности. В недавнем исследовании компании Reuters и Cargowise 94% руководителей цепочек поставок выразили озабоченность по поводу уязвимостей в своих технологиях, а 24% из них были весьма или чрезвычайно обеспокоены.
Регуляторы стремятся стандартизировать безопасность в цепочках поставок
Из-за растущей угрозы от цепочек поставок IT начали появляться нормативные акты, направленные на уменьшение числа инцидентов. В октябре этого года вступила в силу новая директива ЕС по сетевой и информационной безопасности (NIS2), целью которой является установление единого и улучшенного уровня кибербезопасности в странах Европейского Союза. Организации в таких секторах, как транспорт, энергетика, здравоохранение и банковское дело, а также компании-поставщики должны соблюдать требования NIS2.
NIS2 поможет повысить осведомленность о необходимости защиты сетевой инфраструктуры и обеспечения мер безопасности на всех этапах цепочек поставок IT. Однако, помимо соответствия новым требованиям, компаниям и поставщикам технологий следует брать на себя ответственность за защиту своих данных и данных клиентов от кражи или атак на системы. Как это можно реализовать?
Уменьшение риска атаки через цепочку поставок
Каждая компания имеет уникальную цепочку поставок, состоящую из третьих сторон, необходимых для вывода на рынок своих решений или услуг. Поэтому нет единого подхода к обеспечению безопасности цепочки поставок. Однако есть меры, которые следует предпринять для ее защиты:
- Проверка поставщиков: проводится всесторонняя проверка их безопасности и надежности перед выбором.
- Периодические аудиты: регулярные аудиты и проверки партнеров гарантируют соблюдение ими мер безопасности.
- Соглашения о безопасности: ввод контрактных требований к безопасности с логистическими поставщиками.
- Контроль статуса товаров в пути: технологии RFID и AI помогают отслеживать местоположение и статус товаров.
Использование генеративного ИИ для лучшего контроля местоположения аппаратуры в процессе транспортировки
Интеграция генеративного ИИ в логистике делает цепочки поставок IT более эффективными и безопасными. Благодаря способности обрабатывать неструктурированные данные, такие как электронные письма, ИИ обеспечивает непревзойденный уровень видимости для отслеживания движения товаров, их местоположения и владельцев на каждом этапе.
С внедрением генеративного ИИ логистические команды всегда знают, где находятся партии, кто за них отвечает, и способны быстро реагировать на возможные угрозы безопасности еще до инцидента. Этот уровень контроля крайне ценен для компаний, которые хотят гарантировать, что все элементы их цепочки поставок защищены на всех этапах производства и передачи и не подвержены риску перехвата или вмешательства.
По мере роста сложности и масштабов киберпреступности угроза уязвимостей в цепочке поставок IT не может быть проигнорирована. Организации должны осознавать, что их безопасности угрожает самое слабое звено в цепочке поставок. Новая регуляция, такая как NIS2, обеспечит достаточный и стандартизированный подход к безопасности. Однако для сохранения целостности и защиты ценных данных от атак организации должны тщательно выбирать партнеров, способствовать прозрачности и использовать передовые технологии для отслеживания и контроля комплектующих и продукции. В условиях постоянно растущего уровня киберпреступности инвестиции в безопасность и устойчивость цепочек поставок — это относительно небольшая цена для обеспечения защиты от атак.
Источник: TechRadar
