Notícias

Se você é fã de Star Wars, provavelmente já ouviu falar da Ordem 66. Um chip foi implantado no cérebro dos clones para controlar seu comportamento e inserir instruções. Esse chip continha a Ordem 66, uma instrução para eliminar Jedi. Embora os Jedi tenham contratado kaminoanos para construir um exército de clones, o Imperador Palpatine explorou sua posição de poder para manipular as instruções do chip em benefício próprio. E aqui está um exemplo de por que você precisa proteger seu hardware muito antes de ele ser instalado em suas instalações ou outros equipamentos.

Segundo a Gartner, em 2019, 65% dos produtos inteligentes eram vulneráveis ​​a ataques. Por exemplo, em 2015, um fabricante de brinquedos lançou uma boneca interativa que se revelou vulnerável a ataques. Como temos discutido em nossa série de posts sobre cibersegurança, os ataques mais recentes e notórios se concentram nas camadas de software e rede, pois é mais fácil obter acesso digital do que acesso físico. No entanto, também comprovamos que ataques a hardware não são incomuns e suas consequências podem ser devastadoras para as empresas.

Além disso, em nossos blogs, temos discutido estratégias, tecnologias e boas práticas que você pode aproveitar para proteger sua empresa, começando pelo hardware. No entanto, ainda não abordamos como proteger o hardware durante a cadeia de suprimentos.

Conforme mencionado acima, obter acesso físico é difícil, mas não impossível, e às vezes isso significa adulterar o hardware durante sua fabricação e explorar a vulnerabilidade posteriormente, assim como o Imperador Palpatine fez com o Exército de Clones.

À primeira vista, isso pode parecer uma teoria da conspiração maluca saída de uma fanfic. No entanto, lembre-se de que ataques cibernéticos podem interromper as operações comerciais, causar grandes prejuízos financeiros, danos físicos, destruição da reputação da empresa, entre outras consequências devastadoras.

Quais são os desafios de segurança na cadeia de suprimentos?

À medida que as empresas implementam automação e estratégias digitais, também aumentam sua superfície de ataque e os riscos de vulnerabilidade. Como resultado, a proteção de dados e infraestrutura de TI (aplicativos, servidores, redes, dados de clientes, dados de fornecedores, listas de materiais, sistemas de gerenciamento de transporte) tem sido uma prioridade fundamental para a proteção de informações na cadeia de suprimentos há anos. No entanto, a proteção de produtos não tem sido uma prioridade, embora o número de produtos que podem se conectar à internet ou são considerados "inteligentes" continue a aumentar.

Esses produtos “inteligentes” geralmente incluem código embarcado, componentes lógicos ou microcontroladores. Antes, apenas empresas de alta tecnologia se preocupavam com os desafios de proteger produtos na cadeia de suprimentos. No entanto, hoje em dia, os setores de transporte, saúde e bens de consumo estão se tornando mais inteligentes, aumentando, assim, a necessidade de protegê-los.

Um desafio relacionado à proteção da cadeia de suprimentos é a tecnologia aplicada às operações. À medida que a computação de borda e a IoT nos permitem vivenciar a computação mais próxima do usuário, novas vulnerabilidades são introduzidas. Os equipamentos utilizados na manufatura e logística geralmente estão conectados a redes internas, pelo menos para monitorar seu desempenho e prever problemas. Certifique-se de analisar as possíveis ameaças da conexão desses equipamentos à internet, bem como os ganhos de produtividade proporcionados pela instalação de softwares e hardwares de monitoramento.

Como resultado da necessidade de proteger a TI, a tecnologia operacional e os produtos, a governança se torna um desafio. Em muitas empresas, cada departamento cuida apenas da sua parte e carece de uma equipe multifuncional que considere a segurança de forma holística e em toda a empresa. Isso se traduz em departamentos de TI, engenharia, pesquisa e desenvolvimento, instalações e operações resolvendo vulnerabilidades dentro dos limites de suas responsabilidades e negligenciando a proteção do produto. De fato, é comum que os departamentos de TI cuidem dos dados, da infraestrutura de TI e das operações.Em algumas empresas, existe uma equipe de TI e uma equipe de operações separada que lida com a segurança de tecnologia OT/IoT/física. Em certas empresas, você pode encontrar um grupo de segurança que pode fazer parte do grupo de TI.

Este é um problema particularmente desafiador, dado o crescimento dos ataques e sua velocidade de propagação, além dos esforços contínuos para equilibrar iniciativas de inovação com as operações regulares. Mais do que nunca, as organizações da cadeia de suprimentos precisam entender que a segurança é uma de suas responsabilidades. Além disso, toda a organização precisa trabalhar em conjunto para proteger os produtos de forma holística, ao mesmo tempo que responde a ameaças ou ataques imediatos.

Protegendo o hardware de produtos inteligentes

Assim como no exemplo da Ordem 66, a motivação por trás do ataque pode ser sabotar suas operações adulterando o hardware, o que leva a perdas financeiras, danos à reputação, interrupções nos negócios, entre outros. No entanto, os ataques também podem ter como objetivo falsificar produtos ou roubar informações de design para chegar ao mercado antes de você, o que pode levar à falência da sua empresa ou à perda de um grande volume de vendas.

Os riscos de segurança de hardware existem ao longo de todo o ciclo de vida: desde o projeto e fabricação iniciais até a reciclagem e o descarte. Os circuitos integrados de última geração são complexos, o que significa que é impossível para uma única empresa projetar, fabricar e testar um chip. Como resultado, a fabricação de chips agora é uma cadeia de valor agregado de empresas multinacionais.

Mesmo antes do início da pandemia, as empresas já sofriam pressão para buscar produtos eletrônicos mais avançados e baratos. Isso levou a níveis sem precedentes de terceirização de hardware. Agora, ainda estamos sentindo os efeitos colaterais das restrições de viagens e das interrupções nos negócios, que causaram escassez de componentes. Consequentemente, as empresas que desenvolvem sistemas eletrônicos estão trabalhando com intermediários e fornecedores terceirizados, em vez dos fornecedores originais, para atender à demanda, reduzir prazos de entrega ou diminuir preços. O risco dessas práticas é a aquisição de chips falsificados, que podem estar fora das especificações, ser reciclados ou clonados (Que ironia!). Esses chips falsificados podem ser instalados posteriormente em sistemas sensíveis ou críticos, abrindo vulnerabilidades para ataques (Assim como em Star Wars).

Recomendações para reduzir as vulnerabilidades na cadeia de suprimentos de hardware.

A recomendação mais importante é considerar a segurança do produto como prioridade para toda a organização. Elimine as barreiras para que equipes multifuncionais, incluindo operações, TI, pesquisa e desenvolvimento, marketing, relações públicas e recursos humanos, trabalhem juntas para identificar e solucionar vulnerabilidades em todo o ciclo de vida do produto.

Você também precisa garantir que a cadeia de suprimentos estendida possa atender aos requisitos de eficiência, custo, serviço, qualidade e segurança para todos os seus produtos, especialmente os "inteligentes", desde a fase de projeto até o descomissionamento e descarte.

Crie e implemente planos de recuperação de desastres e avaliações de continuidade de negócios. Lembre-se de que fatores externos ou eventos de força maior, como uma pandemia, podem alterar rapidamente a estratégia e as necessidades da sua empresa. Reúna, no mínimo, informações sobre como você pode se adaptar rapidamente a uma situação logística ou de cadeia de suprimentos em constante mudança, juntamente com informações sobre possíveis ameaças e vulnerabilidades. A avaliação e o gerenciamento de riscos de fornecedores devem fazer parte dos planos de continuidade de negócios. Dessa forma, se você não puder esperar pelo prazo de entrega dos seus fornecedores habituais, terá opções alternativas seguras e pré-aprovadas. Por fim, certifique-se de que todos esses planos e avaliações estejam em conformidade com os padrões aprovados pelo setor, pois eles geralmente fornecem um guia útil sobre o escopo do trabalho e os prazos.

Se você quiser saber mais sobre como um fabricante de hardware OEM pode ajudar a melhorar a segurança a partir do nível do hardware, você pode Leia este blog. Você também pode continuar lendo nosso Série de posts no blog sobre cibersegurança.