Pilt: pgjonline.com
Tarneahelaid ohustavad küberrünnakud
Küberkurjategijad kasutavad ära ettevõtte ja selle tarnijate infosüsteemide liidestatust ja andmevahetust tungimaks kriitilistesse infosüsteemidesse, põhjustades neile sel viisil sageli olulist kahju. Tarneahelaid võivad mõjutada kolme eri tüüpi küberrünnakud – võlts tarneahel, tarnija ressurssidele suunatud küberrünnakud ja rünnakud kliendi süsteemidele.
Võlts tarneahel
Küberkurjategijad kasutavad sageli sotsiaalse manipuleerimise rünnakuid. Nende küberrünnakute puhul esinevad häkkerid legitiimse sidusrühmana, kelleks võivad olla tarneahela partnerid, ettevõtte juhid ja isegi riigiametnikud, kallutamaks pahaaimamatuid ohvreid turvalisust ohustavatele toimingutele. Sageli üritavad nad allutada oma väljavalitud ohvreid avaldama tundlikku teavet või tegema rahaülekandeid.
Kurjategijad kasutavad seejuures kahte peamist meetodit – haavlipüssi meetod ja sellest sihipärasem snaipripüssi meetod. Haavlipüssi meetodi puhul saadavad küberkurjategijad suurele hulgale potentsiaalsetele ohvritele andmepüügimeile lootes, et vähemalt mõnel juhul näkkab.
Küberkurjategijad võivad kehastada näiteks tuntud logistikaettevõtteid, saates pahaaimamatutele ohvritele võltsteateid tekkinud tarneprobleemide kohta. Niisamuti võivad küberkratid esineda tarnijatena häkkides sisse erinevatesse tarneahelatesse. Snaiprimeetodit kasutavad häkkerid koguvad rünnakusihtmärkide kohta üksikasjalikku infot avalikest allikatest, nagu ettevõtete veebisaidid ja ettevõtte töötajate profiilid sotsiaalmeedia platvormidel. Ründajad võivad kehastada lepingulist tarnijat saates selle nimel välja kohandatud sõnumi, mida ohver tajub usaldusväärsena. Eelnevalt on häkkerid tunginud tarnija ja kliendi vahelisse meilisuhtlusesse, omandades sel viisil nii petmiseks vajaliku informatsiooni kui ka selle usaldusväärsena tunduva esitusviisi.
Kuigi kirjeldatud tegutsemisviisid võivad tunduda aegunutena, toimivad need tänapäeval endiselt väga tõhusalt. Kaitsmaks end taoliste rünnakute eest soovitatakse ettevõtetel kasutada enne oluliste otsuste langetamist mitmeastmelist valideerimistoimingut. Nii näiteks tuleks palve korral teostada pangaülekanne kontrollida selle põhjendatust mitme erineva töötaja poolt ja mitmel erineval viisil. Soovitatakse kasutada nn null-usalduspoliitikat, mille puhul kontrollitakse ka enne sertifitseeritud tarnijale rahaülekande teostamist kogu eelnevat kirjalikku suhtlust või vähemalt hilisemat osa suhtlusest.
Tarnija hallatavatele ressurssidele suunatud küberrünnakud
Selle asemel, et rünnata tarnija ettevõtet, suunatakse rünnak pigem kolmanda osapoole IT teenuste osutajate ressurssidele. Sihtmärgiks olevad ressursid võivad hõlmata tarnija tundlikke andmeid, IT infrastruktuuri ja digitaalseid juurdepääsupunkte, muutes tarnijad küberkurjategijate jaoks atraktiivseks sihtmärgiks. Taolised rünnakud võivad tuua endaga kaasa tarnija logistikatoimingute ohustamise ja tarnija klientidele mainekahju.
Kõige enam on levinud andmete ja infoga seotud küberkuriteod. Tarnijad haldavad sageli oma klientide tundlikke ettevõtte- ja isikuandmeid või selle äritegevusega seotud teavet. Juhul, kui need andmed peaks sattuma kurjategijate sihtmärgiks, võivad nii esimese kui ka teise astme kliendid tunda tõsiseid tagajärgi.
Lisaks andmetele on sageli sihtmärgiks tarnijate pakutav IT-infrastruktuur põhjusel, et ettevõtted sõltuvad üha enam pilveandmetöötlusest ning muudest andmelao- ja andmetöötlussüsteemidest. Paljudes organisatsioonides ei mõisteta nende süsteemide turvamise keerukust, jättes end haavatavaks andmehoiu- ja andmetöötlussüsteemi väära või vigadega konfiguratsiooni osas. Paljud pilvepõhised küberrünnakud on saanud alguse süsteemi ebaõigetest turvaseadetest, mis on teinud võimalikuks ligipääsu andmetele ja informatsioonile. Mõned ettevõtted on kandnud kahju väärate sätete tõttu andmepilve konfiguratsioonides.
Küberrünnakust tingitud häired tarnija tegevuses võivad tuua kaasa tarnete peatumise tarneahelas. Domeeninime süsteemi (DNS) puhul võivad häkkerid võtta kontrolli tarnija DNS- serveri üle halvates seejuures kõik teenusel tuginevad võrgutoimingud. Ettevõtted püüavad neid riske maandada sekundaarsete/dubleerivate infokanalite loomisega, kuid paljud ei suuda varusüsteeme põhisüsteemiga täielikult integreerida.
Taoliste rünnakute eest kaitsmiseks peavad ettevõtted hakkama andma hinnangut tarnija küberturvalisusele juba tarnijate valiku tegemise etapis. Kuna tarnija jätkusuutlikkus on muutunud tarnijate hindamisel ja valiku tegemisel kriitiliseks teguriks, peaks küberturvalisus olema esmatähtis kriteerium. Ettevõtted peaksid hindama oma tarnijate reageerimisvõimet küberohtudele tagades, et need tegelevad haavatavusega juba ennetavalt.
Küberrünnakud tarnija juurdepääsu kaudu kliendi süsteemidele
Kolmanda ja kõige keerukama küberrünnaku liigi korral kasutavad häkkerid tarnija juurdepääsu kliendi infosüsteemidele. Ründaja tungib tarnija süsteemi ja kasutab seda kanalina klientettevõtte infosüsteemi turvameetmete ohustamiseks. Rünnakuga võidakse kahjustada nii tarkvara, riistvara kui ka samaaegselt mõlemat. Tavapäraseid turvaprotokolle eirates on need rünnakud eriti kahjulikud, kuna rünne leiab sageli aset ettevõtte usaldusväärseks peetud IT-taristu kaudu.
Tuntud näiteks on siinjuures e-poodidele suunatud nn Magecarti rünnak varastamaks klientide krediitkaarditeavet. Kuna paljud ettevõtted kasutavad oma e-kaubanduse süsteemide haldamiseks kolmanda osapoole veebipoe rakendusi, on nad nende väliste rakenduste turvanõrkuste suhtes haavatavad.
Ettevõtted käsitlevad sageli oma tarkvara- ja riistvarasüsteeme nagu musti kaste ehk süsteeme, mis pole ka selle töötajate jaoks sageli läbipaistvad ja arusaadavad. Läbipaistvuse puudumine raskendab ettevõtetel nii varasemalt esinenud kui ka eksisteerivate turvariskide hindamist. Nii nagu tarneahela spetsialistid keskenduvad kvaliteedijuhtimise pidevale täiustamisele, tuleb küberturvalisust käsitleda kui valdkonda, mis nõuab pidevat jälgimist, uuendusi ja haavatavuse hindamist.
Ettevõtetes tuleb hinnata konkreetseid riske, millega seistakse silmitsi ja tarnijate osa riskistsenaariumites. Kasutades ennetavat lähenemist küberturvalisuse tagamisel, integreerides seda tarnijate hindamisse ja valikusse ning käsitledes seda valdkonnana, mis vajab pidevat täiustamist, saavad organisatsioonid end paremini kaitsta küberrünnakute tagajärgede eest.
Lühendatult: scmr.com, The 3 types of cyberattacks affecting global supply chains
Seongkyoon Jeong
