Ransomware é o maior risco para a cadeia de suprimentos na mente dos profissionais de TI

O ransomware é o principal risco da cadeia de suprimentos que as organizações enfrentam hoje, de acordo com uma pesquisa divulgada na segunda-feira pela ISACA , uma associação para profissionais de TI com 140.000 membros em 180 países.

A pesquisa, com base nas respostas de mais de 1.300 profissionais de TI com insights da cadeia de suprimentos, descobriu que quase três quartos dos entrevistados (73%) disseram que o ransomware era uma preocupação fundamental ao considerar os riscos da cadeia de suprimentos para suas organizações.

Outras preocupações importantes incluíam práticas inadequadas de segurança da informação por parte dos fornecedores (66%), vulnerabilidades de segurança de software (65%), armazenamento de dados de terceiros (61%) e provedores ou fornecedores de serviços terceirizados com acesso físico ou virtual a sistemas de informação, software código ou IP (55%).

A maior preocupação com o ransomware pode ser porque ele pode ter um duplo golpe em uma organização.

“Primeiro, existe o risco de um invasor encontrar um caminho de ataque em uma organização de um fornecedor comprometido ou dependência de software, como vimos com os ataques SolarWinds e Kaseya que afetaram um grande número de vítimas downstream por meio dessa cadeia de suprimentos”, explicou Chris. Clements, vice-presidente de arquitetura de soluções da Cerberus Sentinel , uma empresa de consultoria de segurança cibernética e testes de penetração em Scottsdale, Arizona.

“Depois, há efeitos secundários”, continuou ele, “onde uma gangue de ransomware pode roubar dados armazenados em um provedor terceirizado e tentar extorquir ambas as organizações ameaçando divulgá-lo publicamente se um resgate não for pago”.

“O outro lado da moeda é que um ataque de ransomware na cadeia de suprimentos de uma organização pode causar uma interrupção operacional significativa, se o terceiro de que depende não puder fornecer serviços devido ao ataque cibernético”, disse ele ao TechNewsWorld.

Ignorância do líder

Esses ataques na cadeia de suprimentos de software podem ter um efeito cascata na cadeia de suprimentos física. “O ransomware contribui para interrupções significativas em uma cadeia de suprimentos já tributada quando os sistemas que gerenciam a fabricação e distribuição de bens e serviços são colocados offline”, observou Erich Kron, defensor de conscientização de segurança da KnowBe4 , um provedor de treinamento de conscientização de segurança em Clearwater, Flórida.

“Isso pode afetar o pedido e o rastreamento do estoque dos materiais necessários para fazer os itens, impactar o rastreamento do status dos itens necessários para atender aos pedidos e pode criar problemas logísticos para levar materiais aos clientes, criando escassez para seus clientes”, disse ele ao TechNewsWorld.

“Em um mundo de atendimento de pedidos just-in-time, qualquer atraso pode se espalhar pela cadeia de suprimentos, impactando cada vez mais pessoas ao longo do caminho”, acrescentou.

Quase um terço dos profissionais de TI pesquisados ​​(30%) revelaram que os líderes em suas organizações não tinham uma compreensão suficiente do risco da cadeia de suprimentos. “O fato de ter sido apenas 30% foi um pouco encorajador”, disse Rob Clyde, diretor do conselho da ISACA, ao TechNewsWorld. “Há alguns anos, esse número teria sido muito maior.”

“Acho que grande parte da ignorância vem simplesmente subestimando muito o número de dependências e sua importância para as operações de uma organização”, disse Clements.

“Essas ferramentas de terceiros, por sua natureza, geralmente exigem direitos administrativos para muitos, se não todos, os dispositivos de um cliente com os quais interagem, o que significa que o comprometimento de apenas um desses fornecedores pode ser suficiente para comprometer completamente os ambientes de seus clientes também.”

“Da mesma forma, muitas vezes há ignorância sobre o quanto muitas organizações dependem de fornecedores terceirizados”, continuou ele, “a maioria das organizações que conheço não tem um plano de fallback pronto para uso se um grande provedor, como suas comunicações por e-mail, plataforma tivessem uma interrupção prolongada.”

Veia Pessimista

Mesmo em situações em que os líderes entendem os riscos para sua cadeia de suprimentos, eles não errarão no lado da segurança. “Em situações em que as empresas precisam escolher entre segurança e crescimento, todas as vezes você as verá escolhendo o crescimento”, observou Casey Bisson, chefe de relações de produtos e desenvolvedores da BluBracket , uma empresa de serviços de segurança cibernética em Menlo Park, Califórnia.

“Isso corre o risco de seus clientes. Isso corre o risco da própria empresa”, disse ele ao TechNewsWorld. “Mas cada vez mais, estamos começando a ver os executivos sendo responsabilizados por essas escolhas.”

A pesquisa da ISACA também encontrou uma forte veia de pessimismo entre os profissionais de TI sobre as perspectivas de segurança de suas cadeias de suprimentos. Apenas 44% indicaram que têm alta confiança na segurança da cadeia de suprimentos de sua organização, enquanto 53% esperam que os problemas da cadeia de suprimentos permaneçam os mesmos ou piorem nos próximos seis meses.

A pesquisa da ISACA mostra os principais riscos da cadeia de suprimentos

Fonte: ISACA | Entendendo as Lacunas de Segurança da Cadeia de Suprimentos | Relatório de Pesquisa Global de 2022

Uma das descobertas mais surpreendentes da pesquisa foi que 25% das organizações disseram ter sofrido um ataque à cadeia de suprimentos nos últimos 12 meses. “Eu não pensei que seria tão alto”, disse Clyde.

“Embora muitas organizações tenham sofrido ataques cibernéticos nos últimos 12 meses, não pensei que haveria tantos atribuindo isso a um problema na cadeia de suprimentos. Se fizéssemos essa pergunta há vários anos, seria um número muito baixo”, acrescentou.

Enquanto isso, mais de oito em cada 10 especialistas em tecnologia (84%) disseram que suas cadeias de suprimentos precisavam de uma governança melhor do que a que têm agora.

“A maneira como tentamos certificar os parceiros da cadeia de suprimentos hoje simplesmente não funciona”, afirmou Andrew Hay, COO da Lares , uma empresa de consultoria de segurança da informação em Denver.

“Geramos uma pontuação arbitrária com base em dados de varredura externa e confiança baseada em IP ou tentamos forçá-los a preencher 100 ou mais perguntas em uma planilha”, disse ele ao TechNewsWorld. “Nenhum deles descreve com precisão o quão segura é uma organização.”

Auditoria necessária

Mike Parkin, engenheiro técnico sênior da Vulcan Cyber , fornecedora de SaaS para remediação de riscos cibernéticos corporativos em Tel Aviv, Israel, observou que há vários fatores que entram em jogo ao tentar proteger a cadeia de suprimentos.

“As organizações só têm visibilidade total de seu próprio ambiente, o que significa que elas precisam confiar que seus fornecedores estão seguindo as melhores práticas”, disse ele ao TechNewsWorld. “Isso significa que eles precisam incluir contingências para quando um fornecedor terceirizado for violado ou criar um processo que restrinja severamente os danos que podem ocorrer se isso acontecer.”

“Isso é ainda mais complicado quando uma organização precisa lidar com vários fornecedores para compensar faltas ou interrupções”, continuou ele. “Mesmo com as ferramentas corretas de gerenciamento de risco, pode ser difícil contabilizar tudo o que está em jogo.”

Deixe uma resposta

O seu endereço de email não será publicado. Campos obrigatórios marcados com *