Aktualności

Jeśli jesteś fanem Gwiezdnych Wojen, prawdopodobnie znasz rozkaz 66. W mózgi klonów wszczepiano chip, aby moderować ich zachowanie i wprowadzać instrukcje. Chip zawierał rozkaz 66, nakazujący eliminację Jedi. Chociaż Jedi zatrudnili Kaminoan do zbudowania armii klonów, Imperator Palpatine wykorzystał swoją pozycję, aby manipulować instrukcjami w chipie dla własnych korzyści. Oto przykład, dlaczego należy chronić swój sprzęt na długo przed jego zainstalowaniem w obiektach lub innym sprzęcie.

Według Gartnera, w 2019 roku 65% inteligentnych produktów było „podatnych na ataki hakerskie”. Na przykład, w 2015 roku producent zabawek wprowadził na rynek interaktywną lalkę, która okazała się podatna na ataki. Jak omawialiśmy w naszym cyklu blogów o cyberbezpieczeństwie, ostatnie znane ataki koncentrują się na poziomie oprogramowania i sieci, ponieważ łatwiej jest uzyskać dostęp cyfrowy niż fizyczny. Udowodniliśmy jednak również, że ataki sprzętowe nie są rzadkością, a ich konsekwencje mogą być katastrofalne dla firm.

Ponadto, na naszych blogach omawialiśmy strategie, technologie i najlepsze praktyki, które można wykorzystać, aby chronić swoją firmę, zaczynając od poziomu sprzętu. Nie omówiliśmy jednak jeszcze, jak chronić sprzęt w łańcuchu dostaw.

Jak wspomniano powyżej, uzyskanie dostępu fizycznego jest trudne, ale nie niemożliwe. Czasami oznacza to ingerencję w sprzęt w trakcie jego produkcji i późniejsze wykorzystanie luki, tak jak zrobił to Imperator Palpatine w przypadku Armii Klonów.

Na pierwszy rzut oka może się to wydawać szaloną teorią spiskową rodem z fan fiction. Należy jednak pamiętać, że ataki sprzętowe mogą zakłócić działalność firmy, prowadzić do dużych strat finansowych, szkód materialnych, zniszczenia reputacji firmy i innych katastrofalnych konsekwencji.

Jakie są wyzwania związane z bezpieczeństwem łańcucha dostaw?

Wdrażając automatyzację i strategie cyfrowe, firmy zwiększają również swoją powierzchnię ataku i ryzyko podatności na ataki. W rezultacie ochrona danych i infrastruktury IT (aplikacji, serwerów, sieci, danych klientów, danych dostawców, specyfikacji materiałowych, systemów zarządzania transportem) od lat stanowi główny priorytet w zakresie ochrony informacji w łańcuchu dostaw. Jednak ochrona produktów nie była priorytetem, mimo że liczba produktów, które mogą łączyć się z internetem lub są uważane za „inteligentne”, stale rośnie.

Te „inteligentne” produkty zazwyczaj zawierają wbudowany kod, komponenty logiczne lub mikrokontrolery. Wcześniej tylko firmy high-tech zajmowały się wyzwaniami związanymi z ochroną produktów w łańcuchu dostaw. Jednak obecnie transport, opieka zdrowotna i produkty konsumenckie stają się coraz bardziej inteligentne, co zwiększa potrzebę ich ochrony.

Powiązanym wyzwaniem w ochronie łańcucha dostaw jest technologia dla operacji. Wraz z rozwojem Edge Computing i IoT, które pozwalają nam korzystać z technologii bliżej użytkownika, pojawiają się nowe luki w zabezpieczeniach. Sprzęt używany w produkcji i logistyce jest obecnie zazwyczaj podłączony do sieci wewnętrznych, przynajmniej w celu monitorowania jego wydajności i przewidywania problemów. Należy jednak pamiętać o przeanalizowaniu potencjalnych zagrożeń związanych z podłączeniem tego sprzętu do internetu, a także o zwiększeniu produktywności wynikającym z instalacji oprogramowania i sprzętu monitorującego.

W związku z ochroną IT, technologii operacyjnych i produktów, zarządzanie staje się wyzwaniem. W wielu firmach każdy dział zajmuje się swoją własną częścią i brakuje mu wielofunkcyjnego zespołu, który dbałby o bezpieczeństwo holistycznie i w całym przedsiębiorstwie. Przekłada się to na to, że działy IT, inżynierii, badań i rozwoju, infrastruktury i operacji usuwają luki w zabezpieczeniach w ramach swoich obowiązków, zaniedbując ochronę produktów. W rzeczywistości, zazwyczaj działy IT zajmują się danymi, infrastrukturą IT i operacjami.W niektórych firmach istnieje zespół IT oraz oddzielny zespół operacyjny, który zajmuje się bezpieczeństwem OT/IoT/technologii fizycznych. W niektórych firmach można znaleźć grupę ds. bezpieczeństwa, która może być częścią zespołu IT.

Jest to szczególnie trudne zagadnienie, biorąc pod uwagę wzrost liczby ataków i ich tempo rozprzestrzeniania się, a także nieustanne wysiłki na rzecz równoważenia inicjatyw innowacyjnych z regularnymi działaniami. Bardziej niż kiedykolwiek organizacje łańcucha dostaw muszą zrozumieć, że bezpieczeństwo jest jednym z ich obowiązków. Co więcej, cała organizacja musi współpracować, aby kompleksowo chronić produkty, reagując jednocześnie na bezpośrednie zagrożenia lub ataki.

Ochrona sprzętu inteligentnych produktów

Podobnie jak w przypadku Rozkazu 66, motywacją ataku może być sabotaż działalności firmy poprzez manipulację sprzętem, co może prowadzić między innymi do strat finansowych, utraty reputacji i zakłóceń w działalności. Niemniej jednak, celem ataków może być również podrabianie produktów lub kradzież informacji projektowych, aby wyprzedzić Cię w wejściu na rynek, co może doprowadzić do bankructwa lub znacznej utraty sprzedaży.

Zagrożenia bezpieczeństwa sprzętu występują w całym cyklu życia: od początkowego projektu i produkcji, po recykling i utylizację. Nowoczesne układy scalone są skomplikowane, co oznacza, że ​​pojedyncza firma nie jest w stanie zaprojektować, wyprodukować i przetestować chipa. W rezultacie produkcja chipów stanowi obecnie łańcuch wartości dodanej międzynarodowych firm.

Jeszcze przed wybuchem pandemii firmy były pod presją poszukiwania zaawansowanych i tańszych produktów elektronicznych. Doprowadziło to do bezprecedensowego poziomu outsourcingu sprzętu. Nadal odczuwamy skutki uboczne ograniczeń w podróżowaniu i zakłóceń w działalności, które doprowadziły do ​​niedoborów komponentów. W rezultacie firmy opracowujące systemy elektroniczne współpracują z pośrednikami i dostawcami zewnętrznymi, zamiast z dostawcami pierwotnymi, aby sprostać popytowi, skrócić terminy realizacji lub obniżyć ceny. Ryzyko związane z tymi praktykami polega na nabywaniu podrobionych chipów, które mogą być niezgodne ze specyfikacjami, podlegać recyklingowi lub być klonowane (ironia!). Te podrobione chipy mogą później zostać zainstalowane w wrażliwych lub krytycznych systemach i narazić je na ataki (tak jak w Gwiezdnych Wojnach).

Zalecenia dotyczące ograniczania luk w łańcuchu dostaw sprzętu

Najważniejszym zaleceniem jest uznanie bezpieczeństwa produktu za priorytet dla całej organizacji. Należy wyeliminować bariery, aby zespoły międzyfunkcyjne, w tym działy operacyjne, IT, badań i rozwoju, marketingu, PR i zasobów ludzkich, mogły współpracować w celu identyfikowania i usuwania luk w zabezpieczeniach w całym cyklu życia produktu.

Musisz także zagwarantować, że rozszerzony łańcuch dostaw będzie w stanie spełnić wymagania dotyczące efektywności, kosztów, obsługi, jakości i bezpieczeństwa wszystkich Twoich produktów, zwłaszcza tych „inteligentnych”, od fazy projektowania po wycofanie z eksploatacji i utylizację.

Twórz i wdrażaj plany odzyskiwania po awarii oraz oceny ciągłości działania. Pamiętaj, że czynniki zewnętrzne lub siły wyższe, takie jak pandemia, mogą szybko zmienić strategię i potrzeby Twojej firmy. Zbierz przynajmniej informacje o tym, jak szybko dostosować się do zmieniającej się sytuacji logistycznej lub w łańcuchu dostaw, a także informacje o potencjalnych zagrożeniach i lukach w zabezpieczeniach. Ocena i zarządzanie ryzykiem dostawców powinny być częścią planów ciągłości działania. W ten sposób, jeśli nie możesz czekać na terminy realizacji zamówień od swoich stałych dostawców, będziesz mieć wstępnie zatwierdzone, bezpieczne, drugie opcje. Na koniec upewnij się, że wszystkie te plany i oceny są zgodne ze standardami branżowymi, ponieważ zazwyczaj stanowią one przydatne wytyczne dotyczące zakresu prac i ram czasowych.

Jeśli chcesz dowiedzieć się więcej o tym, jak producent sprzętu OEM może pomóc Ci poprawić bezpieczeństwo zaczynając od poziomu sprzętu, możesz przeczytaj tego bloga. Możesz także kontynuować czytanie naszego Seria blogów o cyberbezpieczeństwie.