让您的供应链抵御网络攻击

让您的供应链抵御网络攻击 目录 Contents 内容摘要3 介绍4 为什么供应链安全很重要?6 供应链安全计划和策略10 人员10 流程11 技术13 结论14 资料来源15 内容摘要1 01 内容摘要 背景 供应链的数字化转型以及物理和数字技术的交叉，使企业容易受到安全问题的影响。由于缺乏沿供应链制定的适当安全措施，以及因供应链的互连性而产生的广泛影响，网络犯罪分子越来越多地利用商业供应链中的漏洞。这会给那些未在组织中建立强有力的网络安全措施的企业带来可能的业务中断和事件。此外，由于全球化和供应链结构的复杂性，少数企业的行动对整个生态系统产生重大影响。如今，在整个供应链中提供适当的安全性比以往任何时候都更重要。安全事件可能对组织的各个方面产生负面影响，并给企业留下持久的全球性影响。 目标 首席供应链官和供应链副总裁在保障供应链网络安全方面发挥着至关重要的作用。最近的多次网络攻击、业务影响和主要经验教训表明，缺乏保护、检测和应对网络事件的可见性和能力是如何导致重大商业后果。企业面临的直接监管、财务和声誉影响，可能导致短期的资产减值和长期的增长挑战。本白皮书为供应链专业人士提供了有关如何应对这些挑战的见解。它指明了启动有效的供应链安全计划的第一步，即，将网络战略与组织内的关键业务需求保持一致。 介绍 02 介绍 在整合网络安全措施方面，供应链内部存在重大差距。供应链由于其全球互联性而极易受到攻击。这种复杂的场景提供了许多可供利用的载体，从而导致网络攻击。由于网络攻击的高度危险性，应在整个供应链的基础设施中建立安全性。那么，供应链安全到底是什么？供应链安全是指企业供应链中涉及的所有流程、资产和基础设施免受威胁的保护和风险管理。 有一种常见的误解是，网络安全风险主要是信息技术（IT）和安全团队的责任。然而，网络安全是一项需要组织内所有人参与的合作努力。攻击可以通过数据盗窃、伪造、未经授权的访问和破坏等威胁对关键组织功能产生全公司范围的影响。这些风险可能导致组织中断、渗透、数据泄露、收入损失和公司声誉受损。 根据安永20211年全球信息安全调查，67%的CISO（首席信息安全官）不相信其供应链在抵御网络威胁和从网络威胁中恢复的能力方面无懈可击。网络安全措施应在全公司范围内实施，以增强组织对威胁行为者的防御和抵御能力。 67% 供应链的任何漏洞都可能摧毁网络安全的三大支柱。这些支柱包括保密性、完整性和可用性（被称为CIA三元组）。通过泄露敏感信息、更改数据和破坏运营的可靠性，网络安全的三大支柱可能会受到损害。中断不仅会导致财务损失，还会导致声誉受损、信任受损、错过最后期限和引发客户不满。长期中断甚至可能导致相关供应链实体发生危机。 67%的CISO不相信他们的供应链在抵御网络威胁并从中恢复。 资料来源：安永全球信息安全调查20211 介绍3 实物盗窃和入侵 固件攻击 未经授权访问物联网设备 供应链的网络威胁 敏感数据暴露 供应链中介的违规行为 恶意软件和勒索软件 社会工程 内部威胁 供应链所面临 的挑战 针对IT供应商关键基础设施的APT（高级持续威胁）和恶意软件 具有多项持续变化的复杂监管义务 跨企业、跨产品、跨制造供应链的额外考虑范围 针对终端产品子组件的高级威胁 供应商的弹性有限，导致供应链中断 在现代供应链中，检测供应商的违规行为变得困难 为什么供应链安全很重要? 03 为什么供应链安全很重要? 为什么攻击者会针对实体供应链？这种趋势背后的基本原理是巨大的回报潜力。发现和修复安全漏洞是极其困难的，它使犯罪者能够长期接触，并很有可能获得金钱回报。 企业可能需要几天甚至几周的时间来解决这些安全事件的影响。这可能会导致潜在收入的重大损失和资源紧张。在整个供应链中有多个攻击的例子表明，在这种投资不足的情况下，一些公司受到了负面影响。网络犯罪分子可以在系统中发现大量漏洞，并利用它们危害公司。审查此类威胁的示例非常重要，以便供应链的利益相关者可以随时了解网络攻击可能带来的业务影响。 一步加强了对网络攻击的防御。 此外，根据2022年世界经济论坛3发布的《全球网络安全展望》，39%的组织已受到第三方网络事件的影响。 这项调查显示，许多组织并未充分评估其供应链中的第三方，并且可能未被告知他们涉及事件的情况。 供应链安全现状未来12个月未来5年 预计网络攻击导致供应链中断 企业和第三方 根据2023年业务连续性研究所的调查2，网络攻击造成的中断是长期关注的主要问题：53.2%的受访者担心网络攻击在未来12个月内可能导致供应链中断，55.6%的受访者担心未来5年内可能导致供应链中断。这也是过去12个月中，35.7%的组织中断原因中被提及的第六大常见原因。这些对因网络攻击而扰乱供应链的担忧进 35.7% 35.7%的组织称，网络攻击是造成破坏的第六大原因。 资料来源：2023年业务连续性研究所调查2 运营技术 随着工业4.0的到来，运营技术（OT）在供应链中的使用不断增长。工业4.0侧重于通过增加互联性来融合IT和OT资产。根据欧洲网络安全局（ENISA）4在2022年进行的一项调查，76%的组织缺乏OT供应链网络安全的专门角色和责任。这一统计数据预示了一个危险信号，迫切需要优先考虑供应链的安全性和韧性。有熟练的专业人员监控、维护和保护OT设备至关重要。 ENISA4调查还表明，只有47%的组织为OT供应链网络安全分配了专属预算。在确保供应链安全方面的投资不足，使企业容易受到潜在中断和网络威胁的影响。预算分配对于确保强有力的安全措施、复原力和总体业务效力至关重要。 需要注意的是，某些行业比其他行业更容易受到攻击。根据OT的IBM网络安全专家20225年的报告，制造业往往是最具针对性的。它占所有OT攻击的58%。这是一个令人震惊的数字，因为大多数在制造业中大量使用的OT设备在默认情况下没有安全保护。企业通常缺乏这些设备的适当安全措施。因此，对于供应链相关方来说，从更广泛的商业视角评估其供应链中常被忽视的风险至关重要。 风险评估 此外，数据揭示了一个令人担忧的事实，即只有37%的组织积极对其供应链进行风险评估。当今供应链环境中缺乏风险评估也解释了成功供应链攻击不断上升的原因。一次成功的攻击不仅会给组织本身，也会给整个行业领域带来严重的损失和中断。 预算 在供应链安全方面，同时投入资金和人员的公司有效地降低了攻击风险。投资于全面的安全措施，使组织能够发现和减少供应链任何阶段的风险，建立健全的程序和协议，并确保对安全事件做出迅速反应。 确保供应链免受网络攻击还可以维护客户之间的信任，保护敏感信息并保持业务的运营连续性。因此，对供应链安全的重视是一个持续的趋势，这正在组织内获得较高的关注。越来越多的公司意识到将注意力、时间和资源放在供应链安全上的重要性和价值。 在2021年Gartner对352名供应链专业人士进行的调查6中，有44%的受访者表示，他们的公司计划大幅增加 （5%-10%）年度供应链网络安全支出。另有18%的受访 76%的组织在OT供应链网络安全方面缺乏专门的角色和责任。 58% 76% 在所有针对操作技术（OT）的攻击中，制造业占了58%。 47%的组织为OT供应链网络安全分配了单独预算。 47% 37% 37%的组织积极开展供应链风险评估。 44% 者表示，他们的组织将显著增加（>10%）开支。这表明 公司已经开始采取初步措施，以确保供应链的网络安全 方面。 显著减少 （-5%至-10%） 适度减少 （<-5%） 维持不变适度增加 （<5%） 对供应链网络安全支出年度变化的预期 显著增加 （5%至10%） 急剧增加 （>10%） 为什么供应链安全很重要? 资料来源：2021年Gartner对352名供应链专业人士的调查6 影响深远的攻击 NotPetya勒索软件攻击 NotPetya网络攻击是供应链攻击中对多个组织产生重大业务影响的一个例子。NotPetya是一款针对全球组织的勒索软件。受此恶意软件影响最大的一些公司，其超过50000个端点（笔记本电脑、台式机、工作站）受到感染，造成数百万收入损失。根据白宫的一项经济估计，NotPetya勒索软件攻击给世界各地的企业造成的损失估计超过100亿美元。这次攻击导致了全公司范围的停工，并迫使企业手动运行其业务。尽管缺乏信息技术支持，公司官员仍必须在继续运营与恢复和重建网络之间找到平衡。根据受影响公司之一的网络安全运营负责人表示： “恢复运营在很大程度上依赖于人的韧性：我们在大约10天的时间里重建了我们的信息技术基础设施，期间我们尽一切可能维持正常的业务运营。” 一些基于物流的公司因攻击而无法使用其运输货物终端数日。这严重影响了运营，导致制造和发货的延误、库存问题以及运营中断。由于运营与各个组织的供应链相 互连接，此事件显著影响了健康和生产等多个行业的企业。持续影响还通过财务损失、错过交付和延误造成了声誉损害。 关键基础设施攻击 最近的另一次攻击表明，关键供应链基础设施容易受到网络威胁和更广泛的经济影响，美国一条大型石油管道在遭到勒索软件攻击后被迫关闭。这次攻击始于一个黑客组织窃取数据，然后获得了一家公司的网络和物理资产。该组织可能在几小时内窃取了超过100GB的数据，并可能获得了对管道关键信息技术系统和操作技术的未经授权的访问。该公司将他们的管道下线，作为防止勒索软件传播的预防措施。这导致其业务中断。这次关闭对客户造成了影响，因为汽油和航空燃料不再可用，而且这次攻击的严重性足以被视为对国家安全的威胁。该公司决定向攻击者支付赎金，并获得了解密密钥，这让该公司重新获得了对其系统的控制权。在接下来的几个月里，该公司支付了数百万赎金。虽然恢复正常运营，但经济影响巨大。总而言之，这一事件提醒我们供应链安全中的漏洞可能会对关键服务以及更广泛的经济产生影响。 内部威胁和货物盗窃 内部威胁还可能通过数据和资产盗窃、知识产权泄漏等问题对组织造成有意或无意的损害。检测内部威胁也特别困难，因为个人通常有适当的访问权限。防范恶意或因疏忽而引起的内部威胁应该是安全方面的一个关键重点。在供应链系统中，物理安全是保护任何资产的第一道防御；无论是存储存货的计算机系统，监控仓库的摄像头，还是运送货物的拖车。物流合作伙伴还连接到收集、处理和共享远程信息的内部系统数据。所有这些资产都需要通过物理安全措施进行保护，因为它们为黑客提供了大量数据点，如驱动程序信息、资产位置和货物 价值，使他们很容易进行有针对性的攻击。这些数据点正在催化当前对于货物和资产盗窃增加的趋势7。根据货联网的数据8，2022年在美国和加拿大共报告了大约2000起盗窃事件，且自2021年以来，供应链风险事件增加了15%。这些事件中的23%被怀疑来自内部威胁活动，因此表明这些活动应该作为一种检查措施被监控。被盗物品和数据的财务损失是主要的担忧之一。这种库存的损失会导致运营中断、生产延迟以及寻找替代供应来源的需求。希望减少盗窃的公司应使用像GPS追踪或能检测到未授权入侵的智能集装箱等技术。 为什么供应链安全很重要? 内部威胁活动盗窃贷款劫持源容器/拖车车辆盗窃员工财务盗窃其他 2022年全球货物盗窃趋势 资料来源：货联网7,8 为什么供应链安全很重要?7 事件影响 声誉损害和监管影响 供应链安全中的关键事件可能会对声誉产生重大影响。像NotPetya勒索软件这样的安全事件可能会因客户不满意而导致品牌形象下降，失去对公司可靠性的信任，并通过媒体宣传损害品牌地位。重要的是要记住评估整个供应链中的第三方服务提供商，因为依赖具有安全风险的公司可能会对下游公司的声誉造成后果。 根据Centrify的一项研究9，在安全漏洞或事件发生后，65%的客户对组织失去信任。世界经济论坛10还指出，中断可能导致工业生产在1-2年内下降4%-5%。供应链安全事件的影响可能会对声誉和信任造成毁灭性的影响；该事件的影响可能会影响全球