La cybersecurity nella supply chain

Supply chain è il termine inglese con cui vengono definite le catene di approvvigionamento, ovvero i processi che comprendono vari passaggi che vanno dalla consegna dei materiali dai fornitori al produttore fino alla lavorazione in vari passaggi del bene o del progetto, per terminare con la consegna all’utente finale. 

Supply chain è un termine che si sente sempre più spesso in ambito di cybersicurezza poiché gli attacchi alla catena di approvvigionamento sono purtroppo aumentati di numero. I cybercriminali si stanno specializzando nell’individuare l’anello debole di una supply chain, poiché, una volta entrati è più facile estendere l’attacco alle aziende collegate.

Per controbattere a questa situazione serve una consapevolezza dei rischi cyber, infrastrutture certificate e una buona formazione in materia per chi lavora in questo ambito. Consideriamo che spesso, le supply chain, comprendono aziende di ogni tipologia e dimensione con funzioni e livelli di organizzazione e digitalizzazione molto diversi tra loro. Per le aziende è un compito impegnativo che comprende sia la sicurezza fisica dei beni e delle proprietà, sia quello della sicurezza informatica. 

La crescente digitalizzazione ha avuto un impatto significativo sulla gestione della catena di approvvigionamento, se da una parte avvantaggia la cooperazione fra le aziende, al contempo, genera più problematiche per quanto riguarda la gestione delle vulnerabilità e della cybersecurity.

In questa “catena” vanno poi considerate le aziende che rientrano fra gli operatori di servizi essenziali che, in base alla NIS, hanno obblighi più rigidi per la gestione della cybersicurezza. Per chi ancora non la conoscesse la NIS è la Direttiva sulla sicurezza delle reti e dei sistemi informativi nell’Unione Europea. Da questo punto di vista le aziende devono considerare che dal 2024 con l’attuazione delle NIS 2 ci saranno obblighi ancora più rigidi per la sicurezza informatica, in particolare per le supply chain, oltre a un ampliamento delle categorie di aziende interessate.

In un periodo come quello in cui viviamo le minacce informatiche sono al primo posto tra i rischi di sicurezza della supply chain, in particolare se nell’ambito della cooperazione fra le aziende vengono condivisi dati sensibili su più reti: è bene essere consapevoli che una violazione di una sola infrastruttura può colpire un maggior numero di destinatari. Vanno poi considerati gli attacchi malware e ransomware che possono coinvolgere più aziende della catena di approvvigionamento.

Risulta quindi di fondamentale importanza verificare i requisiti di cybersicurezza dei propri partner e, in caso di mancanze, richiedere che il fornitore adotti le giuste misure per garantire la propria cybersecurity e quella dei partner. Consideriamo che la sicurezza della supply chain è di fondamentale importanza non solo per la protezione delle informazioni sensibili, ma anche perché le violazioni dei sistemi possono interrompere la produzione generando pesanti costi per le realtà colpite.

Le soluzioni Hypergrid

Hypergrid è in grado di proporre le migliori soluzioni di cybersicurezza per la vostra azienda e organizzazione ed è in grado di valutare l’affidabilità delle aziende partner. Ma quali sono i modi per proteggere efficacemente una supply chain? Per prima cosa eseguire le dovute verifiche sulla propria infrastruttura certificando con procedure di Vulnerability Assestment e Penetration Test l’effettiva sicurezza della propria rete, oltre a dotarsi di un sistema attivo per la rilevazione in tempo reale delle minacce come per esempio il Managed Security Services HyperSafe.

Ovviamente l’accesso all’infrastruttura dall’esterno e la comunicazione con i propri partner devono essere protette da connessioni VPN business con 2FA. A livello organizzativo, sia per l’azienda, sia per i fornitori è consigliabile attivare le zone di autorizzazione alle aree dell’infrastruttura e l’accesso ai dati in base al ruolo dell’utente, in modo che il personale possa lavorare solo sulle proprie aree di competenza.

Come comportarsi quando si sceglie un partner?

In base alle caratteristiche dell’azienda e al tipo di fornitura e collaborazione potrebbe essere opportuno richiedere le verifiche dei precedenti e naturalmente collaborare con fornitori accreditati di un buon livello di sicurezza informatica e certificati.

Con l’attuazione della NIS 2 sarà poi necessario coordinare le strategie di sicurezza e la definizione di un piano di risposta comune quando vengono individuate le minacce. Di grande importanza anche la verifica degli aggiornamenti all’infrastruttura e la verifica dei codici tramite audit quando le aziende integrano l’uso di dispositivi ioT. Di fatto, la sicurezza in ambito informatico passerà dall’essere una soluzione a uso esclusivo dell’organizzazione a un tipo di cybersicurezza partecipato. 

A prima vista può sembrare esagerato, ma ricordiamo che la NIS 2 prevede l’ampliamento di responsabilità fra le aziende per tutti i Paesi membri dell’Unione Europea. Alcune delle piccole e medie imprese che con la NIS 1 erano rimaste escluse della normativa in futuro dovranno attenersi alla compliance richiesta per i requisiti di sicurezza, onde evitare il rischio di non dover rispondere in caso di violazioni dei dati e dei sistemi di aziende partner.