¿Te asusta la ciberseguridad de la cadena de suministro? 5 razones por las que no tienes suficiente miedo:Parte 2

Evaluación de los riesgos de ciberseguridad en la cadena de suministro

Un aspecto particularmente pernicioso de los ciberataques es la forma en que las amenazas están siempre "en movimiento", dice Katherine Barrios, directora de marketing de Xeneta . .

Por su propia naturaleza, los atacantes intentan eludir los obstáculos y las contramedidas.

Mantenerse por delante de las amenazas, como el ataque de ransomware WannaCry o WannaCrypt y el rápido movimiento "Petya" es un desafío. "WannaCry" ha afectado a más de 230.000 ordenadores en más de 150 países, y el mayor daño ha sido el Servicio Nacional de Salud Británico . Compañía telefónica española Telefónica y ferrocarriles estatales alemanes. "Petya" impactó no solo a Maersk Line, sino también la infraestructura de TI de muchas otras empresas, como la multinacional farmacéutica Merck , anunciante WPP , empresa de alimentación Mondelez y la firma legal DLA Piper.

Cuando un virus afecta a una empresa de transporte como Maersk Line, que es responsable del flujo de mercancías (flota, contenedores), el efecto dominó en la cadena de suministro es rápido y enorme (Olivia Solon y Alex Hern, “'Petya' Ransomware Attack:What ¿Es y cómo se puede detener? The Guardian .)

Los grupos e individuos hostiles que se mueven rápidamente poseen la "persistencia, las habilidades tácticas y la destreza tecnológica" para dañar y destruir los principales sistemas SCM, incluida, siniestramente, la cadena logística (PWC, US Cybercrime).

Ya sea a través de malware ("software malicioso"), aprovechando las credenciales comprometidas disponibles en la Internet "clandestina", denegación de servicio distribuida (DDoS) (una interrupción de los sistemas por parte de un mal actor) e inyecciones de SQL (la inserción de código malicioso en Structured Query Language), entre otras tácticas, los piratas informáticos son ingeniosos (Drew Smith, "¿Está su cadena de suministro a salvo de ciberataques?" Supply Chain Quarterly).

Además, si bien se mitiga un poco con la capacitación de los empleados, no siempre es posible protegerse de los eventos internos, los que resultan de las vulnerabilidades de los empleados. Los eventos internos pueden incluir el fenómeno de la ingeniería social (cuando un delincuente obtiene acceso a edificios, sistemas o información explotando la psicología humana de los empleados). También existe el uso ocasional de dispositivos por parte de los empleados y el mal manejo de la información por parte de los trabajadores que no se adhieren a las mejores prácticas (PWC, US Cybercrime).

La escala potencial de las amenazas cibernéticas de la cadena de suministro

En esencia, Supply Chain Management “ayuda a mantener la vida humana:los seres humanos dependen de las cadenas de suministro para satisfacer necesidades básicas como alimentos y agua” (CSCMP, The Council of Supply Chain Management Professionals, “La importancia de la gestión de la cadena de suministro”).

Cualquier interrupción podría causar un colapso social. Debido a la falla de la computadora causada por Petya, los trabajadores tuvieron que monitorear manualmente los niveles de radiación en la planta nuclear de Chernobyl y los ciudadanos de Kiev no pudieron acceder a los cajeros automáticos. (Nicole Perlroth, Mark Scott y Sheera Frenkel, "El ciberataque llega a Ucrania y luego se propaga internacionalmente", New York Times ).

Los riesgos potenciales que amenazaban la vida a fines de junio eran muy reales:el ataque de ransomware se extendió al Heritage Valley Health System, que opera los hospitales Heritage Valley Sewickley y Heritage Valley Beaver en el oeste de Pensilvania, el este de Ohio y Virginia Occidental, incautando temporalmente HVHS sistemas informáticos.

Afortunadamente, la única suspensión operativa real del servicio ocurrió en el laboratorio de la red de prestación de servicios de salud y en los sitios de la comunidad de diagnóstico por imágenes con esos servicios ahora "completamente funcionales". ("Actualizaciones sobre el incidente de seguridad cibernética en el sistema Heritage Valley Health", Publicaciones de noticias más recientes, HVHS).

Las exportaciones y los importadores todavía están "atormentados" por los retrasos del cierre del sistema en las instalaciones de Maersk y APM Terminals, y Maersk Line en consecuencia renuncia a los cargos por demora y detención que ocurrieron. (Mike Wackett, "El ataque cibernético todavía persigue a Maersk mientras lucha por recuperar volúmenes", The Loadstar ).

Uno solo puede imaginar un impacto a mayor escala de un evento desencadenante similar en el futuro. La próxima perturbación en el movimiento de personas y bienes en la cadena de suministro podría conducir a consecuencias sociales más graves más allá del mero desempeño corporativo. ( Foro Económico Mundial , Nuevos modelos para abordar el riesgo de la cadena de suministro y el transporte:una iniciativa de la red de respuesta al riesgo en colaboración con Accenture ).

Complejidad cibernética

Otra triste razón por la que "deberíamos tener miedo" por el futuro de la cadena de suministro / red de transporte es la complejidad de las amenazas cibernéticas.

Michael Daniel detalla el gran nivel de complejidad en su artículo, "¿Por qué es tan difícil la ciberseguridad?" Harvard Business Review:

“El ciberespacio opera de acuerdo con reglas diferentes a las del mundo físico. No me refiero a las "reglas" sociales, sino a la física y las matemáticas del ciberespacio. La naturaleza nodal de una red a la velocidad de la luz significa que conceptos como distancia, fronteras y proximidad operan de manera diferente, lo que tiene profundas implicaciones para la seguridad ”.

Debido a que no existe la proximidad típica, ni las fronteras típicas, las construcciones y soluciones del "mundo físico" no funcionan muy bien.

“Por ejemplo, en el mundo físico, asignamos al gobierno federal la tarea de la seguridad fronteriza. Pero dada la física del ciberespacio, la red de todos está en la frontera. Si todo el mundo vive y trabaja justo en la frontera, ¿cómo podemos asignar la seguridad fronteriza únicamente al gobierno federal? En el mundo físico, el crimen es local:tienes que estar en un lugar para robar un objeto, por lo que la policía tiene jurisdicciones basadas en límites físicos ".

No es así en el ciberespacio. Las organizaciones e instituciones están tocando nuevas y complicadas fronteras desde el punto de vista legal y político, como la división adecuada de responsabilidades entre los gobiernos y la empresa privada a proteger. La defensa contra los riesgos (ya sean externos o internos de una organización) necesita una inversión significativa para mantenerse al día con las amenazas.

Combatir los riesgos cibernéticos en la cadena de suministro:mayor necesidad de actuar

Muchas empresas no están dedicando la cantidad necesaria de inversión a la ciberseguridad. Alex Bau cree que todo se reduce a la economía del comportamiento ("La economía del comportamiento de por qué los ejecutivos invierten insuficientemente en ciberseguridad", Harvard Revision del negocio). Ciertamente, existen consideraciones de costos desalentadoras. Se prevé que el gasto mundial en ciberseguridad supere el billón de dólares entre 2017 y 2021, y muchas empresas no podrán seguir el ritmo. (Steve Morgan, "Perspectiva del gasto en ciberseguridad:$ 1 billón de 2017 a 2021", CSO ).

También hay esperanza. Soluciones de cadena de bloques, que se unen para aunar esfuerzos de ciberseguridad, sensores inteligentes (Marianne Mannschreck, "Cómo los sensores inteligentes y el IoT harán evolucionar las cadenas de suministro", ITProPortal , formación continua ... todas estas son posibles vías para un futuro mejor, en el que (se espera) habrá menos motivos para temer.

La autora de este blog es Katherine Barrios, directora de marketing de Xeneta