De dreiging van digitale 'supply chain-aanvallen' wordt steeds groter omdat partijen binnen hun keten, door toenemende digitalisering, globalisering en outsourcing, steeds meer informatie met elkaar delen. Dat is nodig om de keten efficiënt te kunnen laten functioneren, maar creëert ook risico’s.

Een supply chain aanval betekent dat een bedrijf wordt aangevallen via een ander bedrijf in de keten. Als aanvallers een goed beveiligd bedrijf willen aanvallen, kunnen ze voor de makkelijke weg kiezen door een minder goed beveiligd bedrijf aan te vallen dat een relatie heeft met het doelwit. Supply chain-aanvallen komen voor in vrijwel elke bedrijfstak, van de financiële sector, de detailhandel, gezondheidszorg tot de overheidssector. Dergelijke aanvallen worden steeds geraffineerder en nemen de afgelopen jaren in aantal toe. Het motief van cybercriminelen hierbij is het veroorzaken van schade of het stelen van informatie.

Een ander goed voorbeeld was de aanval op CCleaner. Dit is een bekend programma voor het opschonen van het systeemregister op computers. Het wordt veel gebruikt door zowel thuisgebruikers als systeemadministrators. Op een bepaald moment maakten aanvallers gebruik van de compilatie omgeving, waardoor ze verschillende versies konden uitrusten met een backdoor. Er werden gedurende een maand meer dan 2.27 miljoen besmettelijke versies verspreid via de officiële website van het bedrijf.

Hoe voorkomen?

Er zijn verschillende manieren over hoe je supply chain attacks kunt voorkomen. Ten eerste is het belangrijk om een goede relatie op te bouwen met leveranciers. Partners die samenwerken kunnen cyberveiligheidsvoorschriften ontwikkelen om de risico’s te beperken. Maak bijvoorbeeld afspraken over hoe je gedeelde netwerken en je eigen netwerk beveiligd.

Overweeg ook om beveiligingscontroles en periodieke audits op te nemen in leverancierscontracten, zodat leveranciers aan dezelfde controleniveaus voldoen als jouw onderneming.

Uiteraard kan het soms misgaan. Organisaties doen er daarom goed aan om zich hierop voor te bereiden door een incident response plan te ontwikkelen. In een dergelijk plan staan de stappen die moeten worden gezet als er sprake is van een cyberincident, diefstal of verlies. Zorg er voor dat alle risico’s in kaart zijn gebracht en dat er een lijst is met alle sleutelpersonen (ook die van partners) en verantwoordelijken. Op deze manier is het mogelijk om snel in te grijpen en verdere schade te voorkomen.

Wie mag wat?

Het is daarnaast belangrijk om precies te weten wie toegang heeft tot de gevoelige gegevens van een organisatie, zodat ze de toegang kunnen beperken tot geselecteerde gebruikers voor specifieke doeleinden.

Van derden moet worden verlangd dat ze deze informatie openlijk delen. Organisaties moeten ook nadenken wat ze doen als ze stoppen met een leverancier. Als data op straat komt te liggen of bij de verkeerde personen terecht komt, kan dit ook zorgen voor de nodige risico’s. In ieder contract met een leverancier moet daarom zijn opgenomen wat er gebeurt met de data en gevoelige gegevens na beëindiging van het contract.

IoT achterdeurtje tot netwerk?

Breng ook de beveiliging van de IoT-apparaten binnen het bedrijf in kaart. Bij veel IoT-apparaten kunnen diagnoses voor een slimme fabricagetool automatisch naar de fabrikant worden gestuurd om voorspellend onderhoud uit te voeren. Het is misschien een zeer gewaardeerde dienst, maar het maakt organisaties kwetsbaar voor aanvallen. Gartner verwacht bovendien dat IoT devices op korte termijn betrokken zullen zijn bij 25 procent van de aanvallen op bedrijven, wat betekent dat extra voorzorgsmaatregelen moeten worden genomen om ze te beveiligen.

Updaten en opruimen

Zorg daarnaast ook voor de juiste mix van beveiligingsoplossingen en wees er zeker van dat al je apparaten volledig geüpdatet en gepatched zijn. Moderne security oplossingen werken met intelligente mechanismen zoals heuristiek, gedragsanalyse en een exploitbeveiliging. Op deze manier krijgen nieuwe malware en zero-day exploits geen kans.

Verwijder daarnaast ook altijd de software die niet meer wordt gebruikt. Dergelijke software wordt meestal ook niet geüpdatet, waardoor er kwetsbaarheden kunnen ontstaan. Monitor daarnaast het netwerk regelmatig, weet wie waar toegang heeft tot het netwerk en welke apparatuur toegang heeft tot de systemen.

Pas op voor Shadow IT

Toch is de juiste security technologie alleen niet voldoende. Een ander probleem zijn vaak de medewerkers zelf omdat ze zich niet bewust zijn van de risico’s. Vaak geven medewerkers de voorkeur aan hun eigen laptop of downloaden ze op eigen initiatief software omdat ze de systemen en procedures van hun werkgever te omslachtig vinden.

In de huidige digitale wereld noemen we dit ‘shadow-IT’, een veelvoorkomend probleem waar IT-beheerders mee moeten leren omgaan. Werknemers beseffen vaak niet dat security oplossingen zijn afgestemd met specifieke technologieën of (Cloud) oplossingen. Als dit niet in balans is kan de veiligheid van het netwerk in gevaar komen. Reduceer daarom het aantal gebruikers dat geautoriseerd is om software van derden op machines te installeren. Zorg ook voor een structurele training zodat medewerkers op de hoogte zijn van de risico’s en menselijke fouten voorkomen kunnen worden. Hierdoor wordt de kans op aanvallen aanzienlijk verkleind.

Zo sterk als de zwakste schakel

Hoewel deze bovenstaande maatregelen helpen, kunnen we nooit een 100 procent veiligheid garanderen. Sterker nog, de supply chain van veel organisaties zal alleen maar kwetsbaarder worden vanwege de toenemende digitalisering, globalisering en outsourcing.

Het is daarom belangrijk om extra alert te zijn en ervoor te zorgen dat er een balans is tussen solide security technologie en cyberbewustwording. Daarnaast is het belangrijk om te zorgen dat de risico’s in kaart zijn gebracht en dat er afspraken zijn gemaakt met leveranciers. Het is daarom belangrijk dat organisaties toezicht houden op iedere schakel binnen het netwerk, waardoor indringers sneller ontdekt worden. Tenslotte is elke keten zo sterk als de zwakste schakel.