Security Think Tank: Grundläggande steg för att säkra din leveranskedja

När vi tänker på försörjningskedjor tänker vi vanligtvis på dem i samband med tillverkning, till exempel kommer en bil vanligtvis att ha en radio från en tillverkare, ett luftkonditioneringssystem från en annan leverantör (eller två), muttrar, bultar och skruvar från andra leverantörer och så vidare. Detsamma gäller för de flesta företag som är verksamma idag med avseende på sin IT.

När man tittar på säkerheten i länkarna mellan ett företag och dess affärspartners är det självklart att säkerheten bara är lika bra som den svagaste affärspartnerlänken. Men när vi säger det måste vi ta med företagets IT i det uttalandet och säkerheten i en partners IT-system.

God praxis, från min erfarenhet, när det gäller att hantera IT-försörjningskedjans säkerhet, kan delas upp i följande steg, men kom ihåg att dessa steg är relativt höga och att djävulen finns i detaljen. Observera också att listan inte är uttömmande eftersom varje IT-scenario är olika.

• Ett IT-säkerhetsteam behöver en gedigen förståelse för ett företags verksamhet, inklusive alla partners, dotterbolag och andra externa tjänster som används, vare sig de är offentliga eller privata.
• Som ett resultat av detta kommer en förståelse för de tillgångar som är i riskzonen och det tillhörande riskvärdet (rykte, finansiellt, förmåga att handla, etc).
• Likaså behöver IT-säkerhetsteamet en gedigen förståelse för företagets IT, inklusive dess leverantörer.
• Internt, internt/tredjepartsunderhåll, partiell outsourcing: outsourcar leverantörerna i sin tur en del av “sin” IT, distansarbete, etc?
• Säkerhetsteamet behöver en bra och uppdaterad förståelse för hot- och sårbarhetslandskapet.
• Säkerhetsteamet måste kunna kartlägga de viktigaste delarna av försörjningskedjan. Varning: för mycket detaljer och du kommer inte att se skogen för träden, men omvänt, ta en för hög nivå och du kommer att börja missa några viktiga punkter.
• När nyckeldelarna i kedjan har kartlagts måste teamet för varje del identifiera om dess säkerhet ligger inom företagets direkta kontroll, företaget har indirekt kontroll eller om företaget inte har någon kontroll.
• Nyckeln här är att identifiera gränserna mellan varje del av försörjningskedjan och vem som har den tekniska hanteringen av säkerheten för varje del och dess gränssnitt.
• Som en del av denna kartläggning bör teamet överväga vilka säkerhetskontroller för nuvarande branschpraxis som de förväntar sig att hitta, både för den del av försörjningskedjan som övervägs och dess gränssnitt till andra delar av försörjningskedjan.
• För varje del av kedjan är nästa steg att se över vilka säkerhetskontroller som faktiskt finns på plats, inklusive dess gränssnitt, och jämföra dem med de identifierade kontrollerna för god praxis.
• Dessa granskningar, tillsammans med kunskapen om företagets tillgångar som kan exponeras av ett säkerhetsbrott och riskvärdet om en kontroll misslyckas, kommer att leda till en riskprofil och en åtgärdsplan för att förbättra säkerheten.

Vad jag inte uttryckligen har tagit upp här är de fysiska aspekterna av säkerheten, till exempel om ett företags kontor är i en delad byggnad eller byggnad med flera hyresgäster, då är kabelrum, garderober och stigare viktiga, är bevakning utlagd, skapar en utlagd bevakningstjänst inträdeskort, och vem anställer städarna? Det är inte en uttömmande lista, men dessa är alla lika del av säkerhetsförsörjningskedjan.

Några tankar att avsluta med:

Direkt kontroll: Det skulle vara där företagets tillgångar kontrolleras av företagets policyer, procedurer, standarder och arbetsguider. Underhållspersonal kan vara anställda eller entreprenörer som enligt lag måste följa företagets policyer etc.

Indirekt kontroll: Det är här en tredje part tillhandahåller tjänster under ett juridiskt avtal. Det avtalet skulle innehålla klausuler om säkerhet och bilagor som preciserar säkerhetskraven i detalj. Säkerhet måste preciseras; det är inte bra att bara säga att den tredje parten måste vara ISO27001-kompatibel, att tillämplighetsförklaringen och relevanta klausuler måste identifieras, tillsammans med eventuell nödvändig expansion. Andra standarder, inklusive eventuella företagsspecifika, måste omfattas av kontraktet, tillsammans med mekanismer för att säkerställa att säkerheten upprätthålls regelbundet – oberoende revisors utlåtande, kopia av ett standardförnyelsecertifikat, till exempel.

Ingen kontroll: Sammankopplingarna mellan företaget och dess partners (och dotterbolag och distansarbetare) över offentliga eller tredjepartsnätverk såsom internet. Här skulle vi behöva leta efter gränssnittssäkerheten för försörjningskedjan, till exempel för att lägga till ett lager av säkerhet, såsom kryptering.

Min tidigare Think Tank-artikel, Security Think Tank: För att följa en väg behöver du en bra karta, kanske lägga till lite mer när det gäller riskanalys.

Håll kontakten med oss ​​på sociala medieplattformar för omedelbar uppdatering klicka här för att gå med i vår Twitter och Facebook