Con il crescente numero di attacchi hacker, è importante preoccuparsi della sicurezza non solo della propria azienda, ma anche della propria “supply chain”.
La supply chain (tradotta in italiano come “catena di approvvigionamento”) indica quella relazione di dipendenza tra fornitori, produttori, grossisti e rivenditori necessaria per la creazione e la vendita di prodotti e servizi.
Tale relazione è importante non solo ai fini di business, ma anche in termini di sicurezza delle informazioni. Questo perché, proprio per la dipendenza reciproca presente, nel caso in cui una delle aziende che fanno parte della supply chain fosse vittima di un attacco hacker riuscito, questo si ripercuoterebbe poi, con un effetto domino, sulle altre.
Ciò spiega perché, come evidenziato da ENISA in questo report, gli hacker prendono le supply chain sempre più di mira.
Supply chain: perché basta un solo anello debole per compromettere la sicurezza di tutti gli altri
Basta che una sola azienda presente nella catena di approvvigionamento presenti qualche elemento di vulnerabilità per compromettere la sicurezza di tutte le aziende che costituiscono la catena.
I cyber-attaccanti infatti, una volta individuata questa vulnerabilità, potrebbero utilizzarla per infiltrarsi all’interno della supply chain.
Una volta abbattute le barriere dell’anello debole, gli attaccanti potrebbero utilizzare le risorse di questa per infiltrarsi nelle aziende un po’ più a valle e/o a monte (attraverso, per esempio, email di phishing inviate attraverso un account di posta elettronica dell’azienda compromessa). Nel caso anche questo attacco andasse a buon fine, il processo potrebbe essere ripetuto azienda dopo azienda, fino a risalire l’intera catena di approvvigionamento.
Nel caso in cui questo scenario non fosse già sufficientemente preoccupante, basta sottolineare che generalmente le aziende hanno molteplici fornitori e clienti. Il che si traduce in una possibile diffusione dell’attacco sempre ampia e capillare.
Attacchi hacherk alle supply chain in aumento: best practice per una maggiore sicurezza
Per proteggere la supply chain e il proprio business, ogni organizzazione dovrebbe realizzare e implementare una serie di procedure e attività volte a:
- Assicurarsi di non essere l’anello debole della catena
- Verificare l’attenzione alla cybersicurezza dei propri fornitori
- Proteggersi nel caso in cui un fornitore cadesse vittima di un attacco hacker.
Assicurarsi di non essere l’anello debole della catena
Per fare ciò è buona norma:
- Sviluppare (e aggiornare costantemente) un sistema di gestione della sicurezza delle informazioni in linea con gli standard internazionali, meglio ancora se certificandosi ISO 27001 per avere un parere esterno sull’effettiva validità del proprio sistema
- Identificare e crittografare le informazioni più importanti e più sensibili. In questo modo, anche se i malintenzionati ottenessero l’accesso, non sarebbero in grado di sfruttare le risorse protette
- Gestire con attenzione i permessi che consentono l’accesso alle diverse risorse, completi di sistemi di autenticazione validi
- Effettuare penetration test e scansioni di vulnerabilità
- Fornire un’adeguata formazione al proprio personale, spesso vittima di attacchi basati su tecniche di ingegneria sociale altamente raffinate
Verificare l’attenzione alla cybersicurezza dei propri fornitori
In base al tipo di servizio fornito, è fondamentale verificare che i propri fornitori siano allineati con la tua azienda dal punto di vista della sicurezza informatica. Hanno un sistema di gestione della sicurezza delle informazioni in linea con gli standard internazionali? Sono certificati ISO 27001? Hanno altre certificazioni? Come gestiscono le informazioni rilevanti per il vostro business? Svolgono attività di risk management?
In sintesi, è vitale condurre un’analisi approfondita delle pratiche di sicurezza dei fornitori, valutando se cambiarli nel caso in cui non rispettassero certi requisiti.
Proteggersi nel caso in cui un fornitore cadesse vittima di un attacco hacker
Per questo punto, è fondamentale aver da tempo implementato e svolto regolarmente attività di Risk Management volte a identificare i rischi, valutarli e mitigarli.
In particolar modo, per quanto riguardo l’ultimo punto è fondamentale aver sviluppato dei piani d’azione non solo preventivi ma anche reattivi da usare come base per affrontare il rischio in modo ottimale.
Vuoi mettere anche tu la tua azienda al sicuro da possibili attacchi hacker alla tua azienda e alla tua supply chain? Contattaci per una consulenza!