חֲדָשׁוֹת

אם אתם מעריצי מלחמת הכוכבים, אתם בטח מכירים את פקודה 66. שבב הוכנס למוחם של המשובטים כדי למתן את התנהגותם ולהכניס הוראות. שבב זה כלל את פקודה 66, הוראה לחסל את הג'דיים. למרות שג'דיים שכרו את הקמינואים לבנות צבא משובטים, הקיסר פלפטין ניצל את מעמדו החזק כדי לתמרן את ההוראות בשבב לטובתו העתידית. והנה לכם דוגמה מדוע עליכם להגן על החומרה שלכם הרבה לפני שהיא מותקנת במתקנים שלכם או בציוד אחר.

לפי גרטנר, בשנת 2019, 65% מהמוצרים החכמים היו "ניתנים לפריצה". לדוגמה, בשנת 2015 יצרנית צעצועים השיקה בובה אינטראקטיבית שהתבררה כפגיעה להתקפות. כפי שדנו בסדרת הבלוגים שלנו בנושא אבטחת סייבר, התקפות מפורסמות אחרונות מתמקדות ברמות התוכנה והרשת מכיוון שקל יותר להשיג גישה דיגיטלית מאשר גישה פיזית. עם זאת, הוכחנו גם כי התקפות חומרה אינן נדירות, וההשלכות שלהן יכולות להיות הרסניות עבור עסקים.

יתר על כן, בבלוגים שלנו דנו באסטרטגיות, טכנולוגיות ושיטות עבודה מומלצות שתוכלו למנף כדי להגן על החברה שלכם החל מרמת החומרה. עם זאת, עדיין לא דנו כיצד להגן על חומרה בשרשרת האספקה.

כפי שצוין לעיל, קבלת גישה פיזית היא קשה אך לא בלתי אפשרית ולפעמים זה אומר להתעסק עם חומרה בזמן שהיא מיוצרת ולנצל את הפגיעות מאוחר יותר, בדיוק כמו הקיסר פלפטין עם צבא המשובטים.

במבט ראשון, זה אולי נראה כמו תיאוריית קונספירציה מטורפת מתוך פאן פיקשן. עם זאת, קחו בחשבון שמתקפות חומרה יכולות לשבש את הפעילות העסקית, להוביל להפסדים כספיים גדולים, נזק פיזי, הרס המוניטין של החברה, בין היתר.

מהם אתגרי האבטחה בשרשרת האספקה?

ככל שחברות מיישמות אוטומציה ואסטרטגיות דיגיטליות, הן גם מגדילות את משטח התקיפה ואת סיכוני הפגיעות שלהן. כתוצאה מכך, הגנה על נתונים ותשתיות IT (יישומים, שרתים, רשתות, נתוני לקוחות, נתוני ספקים, כתבי חומרים, מערכות ניהול תחבורה) הייתה בראש סדר העדיפויות של הגנה על מידע בשרשרת האספקה ​​במשך שנים. עם זאת, הגנה על מוצרים לא הייתה בראש סדר העדיפויות למרות שמספר המוצרים שיכולים להתחבר לאינטרנט או הנחשבים "חכמים" ממשיך לעלות.

מוצרים "חכמים" אלה כוללים בדרך כלל קוד משובץ, רכיבים לוגיים או מיקרו-בקרים. בעבר, רק חברות היי-טק התמקדו באתגרי ההגנה על מוצרים בשרשרת האספקה. עם זאת, כיום, מוצרי תחבורה, שירותי בריאות ומוצרי צריכה הופכים לחכמים יותר, ולכן מגביר את הצורך להגן עליהם.

אתגר קשור בהגנה על שרשרת האספקה ​​הוא טכנולוגיה לתפעול. ככל שמחשוב קצה ו-IOT מאפשרים לנו לחוות מחשוב קרוב יותר למשתמש, מוצגות פגיעויות חדשות. הציוד המשמש לייצור ולוגיסטיקה מחובר כיום בדרך כלל לרשתות פנימיות, לפחות, כדי לנטר את ביצועיו ולחזות בעיות. רק ודאו שאתם מנתחים את האיומים האפשריים של חיבור ציוד זה לאינטרנט יחד עם שיפורי הפרודוקטיביות של התקנת תוכנת וחומרת ניטור.

כתוצאה מהגנה על IT, טכנולוגיית הפעלה ומוצרים, משילות ממשל עולה כאתגר. בחברות רבות כל מחלקה מטפלת בחלק שלה וחסרה לה צוות רב-תחומי שדואג לאבטחה בצורה הוליסטית ובכלל הארגון. משמעות הדבר היא שמערכות IT, הנדסה, מחקר ופיתוח, מתקנים ותפעול פותרות פגיעויות במסגרת אחריותן ומזניחות את הגנת המוצר. למעשה, בדרך כלל, מחלקות IT מטפלות בתשתיות ונתונים ולתפעול IT.בחלק מהחברות, יש צוות IT וצוות תפעול נפרד שעוסק באבטחת OT/IOT/טכנולוגיה פיזית. בחברות מסוימות ניתן למצוא קבוצת אבטחה שיכולה להיות חלק מקבוצת ה-IT.

זוהי סוגיה מאתגרת במיוחד בהתחשב בגידול המתקפות ובקצב התפשטותן, בנוסף למאמצים המתמשכים לאזן בין יוזמות חדשנות לבין פעילות שוטפת. יותר מתמיד, ארגוני שרשרת אספקה ​​צריכים להבין שאבטחה היא אחת מתחומי האחריות שלהם. יתר על כן, הארגון כולו צריך לעבוד יחד כדי להגן על מוצרים בצורה הוליסטית תוך תגובה לאיומים או מתקפות מיידיות.

הגנה על החומרה של מוצרים חכמים

כמו בדוגמה של צו 66, המוטיבציה מאחורי ההתקפה יכולה להיות חבלה בפעילות שלך על ידי שיבוש חומרה, מה שמוביל להפסדים כספיים, פגיעה במוניטין, שיבושים עסקיים ועוד. עם זאת, ההתקפות יכולות גם לכוון לזיוף מוצרים או גניבת מידע עיצובי כדי להקדים אותך לשוק, מה שעלול להוציא אותך מהעסק או לעלות לך בכמות עצומה של מכירות.

סיכוני אבטחה בחומרה קיימים לאורך כל מחזור החיים: החל מתכנון וייצור ראשוניים, ועד למחזור וסילוק. מעגלים משולבים חדישים הם מורכבים, מה שאומר שבלתי אפשרי עבור חברה אחת לתכנן, לייצר ולבדוק שבב. כתוצאה מכך, ייצור שבבים הוא כיום שרשרת ערך מוסף של חברות רב-לאומיות.

עוד לפני תחילת המגפה, חברות היו תחת לחץ לחפש מוצרים אלקטרוניים מתקדמים וזולים יותר. מצב זה הוביל לרמות חסרות תקדים של מיקור חוץ של חומרה. כעת אנו עדיין חווים את תופעות הלוואי של הגבלות נסיעה ושיבושים עסקיים, מה שגרם למחסור ברכיבים. כתוצאה מכך, חברות המפתחות מערכות אלקטרוניות עובדות עם מתווכים וספקים חיצוניים, במקום עם ספקים מקוריים, כדי לעמוד בביקוש, לשפר את זמני האספקה ​​או להפחית את המחיר. הסיכון בפרקטיקות אלו הוא רכישת שבבים מזויפים שיכולים להיות מחוץ למפרט, ממוחזרים או משובטים (האירוניה!). שבבים מזויפים אלה עלולים להיות מותקנים מאוחר יותר במערכות רגישות או קריטיות ולפתח פגיעויות להתקפות (בדיוק כמו במלחמת הכוכבים).

המלצות להפחתת פגיעויות בשרשרת אספקת החומרה

ההמלצה החשובה ביותר היא התייחסות לאבטחת המוצר כעדיפות עבור הארגון כולו. יש להסיר חסמים כך שצוותים חוצי-פונקציות, כולל תפעול, IT, מחקר ופיתוח, שיווק, יחסי ציבור ומשאבי אנוש, יעבדו יחד כדי לזהות ולפתור פגיעויות במחזור חיי המוצר כולו.

עליכם גם להבטיח ששרשרת האספקה ​​המורחבת יכולה לעמוד בדרישות היעילות, העלות, השירות, האיכות והאבטחה עבור כל המוצרים שלכם, במיוחד ה"חכמים" ביותר, החל משלב התכנון ועד להוצאה משימוש וסילוק.

צרו ויישמו תוכניות התאוששות מאסון והערכות המשכיות עסקית. זכרו שגורמים חיצוניים או מעשי אלוהים, כמו מגיפה, יכולים לשנות את האסטרטגיה העסקית והצרכים שלכם במהירות. לפחות אספו מידע על האופן שבו תוכלו להסתגל במהירות למצב לוגיסטי או שרשרת אספקה ​​משתנה יחד עם מידע על איומים ופגיעויות אפשריות. הערכת סיכונים וניהול ספקים צריכים להיות חלק מתוכניות המשכיות העסקית. בדרך זו, אם אינכם יכולים לחכות לזמן האספקה ​​הקבוע של הספקים שלכם, יש לכם אפשרויות שנייה מאושרות מראש. לבסוף, ודאו שכל התוכניות וההערכות הללו עומדות בתקנים שאושרו בתעשייה, מכיוון שאלה בדרך כלל מספקים מדריך שימושי לגבי היקף העבודה ומסגרות הזמן.

אם אתם רוצים לדעת עוד על איך יצרן ציוד מקורי של חומרה יכול לעזור לכם לשפר את האבטחה החל מרמת החומרה, אתם יכולים... קרא את הבלוג הזה. אתם מוזמנים גם להמשיך לקרוא את שלנו סדרת בלוגים בנושא אבטחת סייבר.