Supply chain: come mitigare il cyber rischio nel processo di approvvigionamento

Sono di grande attualità le iniziative legate alla cosiddetta “economia circolare”, ma parallelamente, mai come ora, emerge il tema della “sicurezza circolare” come approccio metodologico e funzionale al rafforzamento e alla gestione continuativa dei requisiti della sicurezza integrata. Una convergenza che deve tener conto e pianificare anche le attività di prevenzione e di protezione non solo degli asset aziendali indirizzati dal sistema informativo, ma di tutto il processo di approvvigionamento e la catena dei fornitori coinvolti.

I fornitori: l’anello più debole della catena?

Più volte si è detto come la sicurezza, la robustezza, la resilienza di un sistema sia data dall’anello più debole della catena. Investimenti anche rilevanti per la protezione dei propri asset, in un contesto ampiamente documentato in cui si registra un innalzamento progressivo e trasversale (a livello industriale) del profilo di attacco e di rischio, devono considerare questa estensione. Oggi più che mai, in un’economia così globalizzata e interconnessa, sono le “interfacce” a fare la differenza nell’amplificazione positiva di una prestazione (es. la produttività), ma lo sono anche per quanto riguarda la sicurezza complessiva del sistema.

Le violazioni informatiche di Colonial Pipeline, SolarWinds e Microsoft Exchange sono solo gli ultimi lampanti segnali per ribadire come la sicurezza informatica sia un problema fondamentale della catena di approvvigionamento e una minaccia che sta crescendo in frequenza, volume, dannosità e che coinvolge necessariamente non solo le grandi aziende, ma molto spesso le piccole e medie imprese, parte integrante del processo produttivo e dello sviluppo economico complessivo.
Tutte le aziende, infatti, si stanno trasformando per aumentare la digitalizzazione dei propri asset e processi con l’obiettivo (non così scontato) di aumentare la produttività, l’efficienza, riducendo i costi, migliorando l’esperienza del cliente e creando nuovi vantaggi competitivi. Tuttavia in questa trasformazione necessaria le Aziende di ogni dimensione devono considerare come gestire i rischi per la sicurezza che sono intimamente associati alle articolate catene di approvvigionamento che abbracciano dati, infrastrutture IT, prodotti e componenti operativi.

Gli hacker stanno sistematicamente attaccando direttamente le organizzazioni e attraverso le aziende della catena di approvvigionamento indiretta, che possono rappresentare un gateway a volte scarsamente presidiato, riescono ad accedere ad asset di elevato valore. La pandemia ha accelerato il ricorso alla digitalizzazione forzata e all’automazione digitale con tutti i vantaggi del caso, amplificando anche il rischio connesso alle transazioni massive legate agli approvvigionamenti.

Il rischio reale della supply chain

Tutte le aziende oggi sono collegate. I dati più critici vengono condivisi ogni giorno in catene di approvvigionamento globali di vasta portata. Nessuna azienda in questo contesto di accelerata globalizzazione può comportarsi come un elemento distaccato e autonomo del sistema di produzione economica, ma rappresenta sempre più un anello cruciale e critico di questo sistema. Sono certamente diversi gli ambiti in cui analizzare il rischio e le minacce cyber relative all’approvvigionamento.

Esiste un rischio “intrinseco” alla digitalizzazione del processo, all’allargamento delle superficie di contatto, all’uso e alla diffusione di sistemi e tecnologie informatiche, software, rete ed applicazioni, alla consapevolezza e al comportamento degli addetti ai lavori. I rischi più comuni relativi alla catena di approvvigionamento che colpiscono le aziende includono perdite di dati, violazioni della catena di approvvigionamento e attacchi di malware.

Le fughe di dati possono avvenire tramite aggressori esterni e interni. Dipendenti, hacker, concorrenti dannosi e manager possono tutti divulgare dati sensibili e informazioni personali al di fuori dell’azienda.

La minaccia nella supply chain: il ransomware

In questo contesto va ricordata la strettissima e funzionale sinergia tra produzione e logistica di approvvigionamento e di come il ransomware mirato rappresenti la nuova pervasiva minaccia alla sicurezza informatica per la supply chain. Tutti gli attacchi alla sicurezza informatica che hanno bloccato le operazioni di automazione nel 2020 riguardavano ransomware mirati.

I dati suggeriscono soprattutto che oltre il 60% dei problemi di sicurezza informatica si verificano nei domini delle terze parti che lavorano nelle catene di approvvigionamento. Nonostante queste evidenze, le aziende continuano spesso a percepire (e quindi poi a pianificare ed eseguire le azioni di prevenzione e di protezione) la sicurezza informatica come qualcosa che accade all’interno dei confini delle loro quattro mura o meglio del loro Sistema informativo. Un approccio alla sicurezza informatica incentrato solo sull’azienda e non sull’articolazione delle terze parti coinvolte, espone sistematicamente le operazioni critiche e dati preziosi agli attacchi e può effettivamente aumentare la vulnerabilità di un’organizzazione.

Più in particolare i rischi informatici aumentano sulle “interfacce” della catena di approvvigionamento e dei sistemi che collegano fornitori, clienti, funzioni interne della catena e altre interfacce aziendali. La visione più attuale e certamente più produttiva di Azienda “allargata”, chain-to-chain deve fare necessariamente i conti (ma meglio, deve poter contare) su un approccio metodologico strutturato per la mitigazione del rischio cyber, che vada a mettere in protezione tutte queste interazioni. Estendere oggi la prevenzione, la simulazione, gli assessment, le verifiche, i benchmark, l’analisi del rischio e della postura di sicurezza dell’Azienda a questo perimetro di approvvigionamento allargato, diventa il fattore critico di successo per il sostentamento di una adeguata e virtuosa digitalizzazione ed automazione aziendale.

I fornitori quindi a maggior transitività anche per i servizi generali, le facility, gli approvvigionamenti di sussistenza, i manutentori, non sono scevri da questi rischi e spesso, sia per le minor difese informatiche adottate (carenza di budget, visione limitata, bassa consapevolezza, risorse non specializzate), sia per la debolezza dei comportamenti (da punto di vista del risk management), possono introdurre rischi e vulnerabilità nel sistema di sicurezza dell’azienda Cliente. Le stesse forniture di sicurezza (tecnologie e servizi professionali correlati) erogate dai fornitori, vanno ricompresi in un’analisi articolata e profonda da parte dell’azienda per evitare o limitare il rischio che singole componenti (ad esempio software o il firmware di device IoT) possano minare le fondamenta del sistema di sicurezza aziendale con impatti rilevanti nella perdita di dati sensibili e/o nella reputazione.

Come mitigare il rischio cyber

Le aziende devono comprendere definitivamente che la sicurezza informatica deve essere il lavoro dell’intera organizzazione in collaborazione con i partner della catena di approvvigionamento. Questo tipo di strategia per la sicurezza informatica end-to-end garantisce che diversi gruppi interni ed esterni lavorino insieme per la mitigazione del rischio cyber e raggiungere obiettivi comuni. Inoltre, tale approccio protegge gli investimenti in sicurezza informatica assicurando che le risorse siano destinate alla protezione dei punti più vulnerabili della catena di approvvigionamento nel suo complesso.