Oana Buzianu, vicepreşedinte Wintech și Sergiu Zaharia, Cyber Security and Privacy Officer Huawei Romania & Moldova, au vorbit despre securitatea supply-chain, în exclusivitate pentru DC NEWS și DC NEWS TV.

Oana Buzianu și Sergiu Zaharia au explicat ce se înțelege prin lanțul de aprovizionare (supply chain), care este legătura acestuia cu securitatea cibernetică și care sunt riscurile generate de lanțul de aprovizionare (supply  chain) în domeniul confidențialității și protecției datelor, inclusiv datele cu caracter personal.

"Supply-chain e un lanț de aprovizionare care este un sistem compus din organizații, oameni, activități, resurse, informații. Toate furnizează servicii sau produse consumate. La fel ca alte bunuri, există un lanț de aprovizionare, de securitate, pentru dezvoltarea componentelor hardware și software, adică cele necesare în tehnologia informației care ar trebui, și de multe ori sunt identificate și gestionate corect de către companii, tocmai pentru a proteza interesele și pentru a proteja clienții și utilizatorii. În mediul de acum, de astăzi, extrem de globalizat, nicio companie nu este izolată și nu e o insulă. Este parte dintr-un ecosistem care cuprinde un număr foarte mare de entități cu care compania desfășoară activități comerciale.

Dacă iau în considerare câteva scenarii cum ar fi un furnizor externalizat pentru procesarea unor tranzacții și acesta decide să iasă din afacere, trimițând pe ultima sută de metri o notificare minimă, ce fac mai departe sau ce fac în situația în care un contractant nu-mi livrează marfa la timp și mă pune într-o situație delicată și dificilă față de clienții mei și-mi afectează reputația companiei", a declarat Oana Buzianu, în exclusivitate pentru DC NEWS și DC NEWS TV.

24 de atacuri în anii 2020 - jumătatea lui 2021

Au existat numeroase atacuri cibernetice în ultimul an, cum ar fi cel al SolarWind, asociate cu vulnerabilitățile din lanțul de aprovizionare (supply chain). În acest context, Sergiu Zaharia a fost întrebat care a fost cauza lor principală. 

"SolarWind este doar unul dintre atacurile mediatizate. Recent, în iulie anul acesta, ni s-a scos un raport cu atacurile de tip supply-chain, cele mai mari din lume, undeva la 24 de atacuri în anii 2020 - jumătatea lui 2021. Am analizat cauzele acestor atacuri, dar pentru a răspunde la întrebare trebuie să ne gândim că un atac de tipul supply-chain presupune 2 atacuri: unul asupra furnizorului și al doilea la adresa țintei. De asta se numește supply-chain.

Ce a rezultat în raportul emis e foarte interesant. La nivelul furnizorului, undeva la 66% dintre metodele de atac, sunt necunoscute. Deci furnizorul nu știe ce l-a lovit. Asta o dată!

Doi, din partea furnizorului către organizația țintă, au fost 2 tipuri de atacuri sau de metode. Cele mai importante, în proporție de 60 și ceva % fiecare. Prima și cea mai importantă aș zice că este încrederea pe care o ai în furnizorul tău și a doua malware, viruși, troieni...

Toate aceste atacuri arată ceva, că furnizorii au o maturitate în zona de cyber security în general mult mai scăzută decât a organizațiilor ținte. Dar, ceea ce a contat cel mai mult a fost lipsa de maturitate a furnizorilor, pentru că ei nici nu știu ce i-a lovit, asta înseamnă că nu ai vizibilitate, deci nu poți să te protejezi în fața a ceea ce nu vezi sau nu înțelegi.

Și încă un lucru important, undeva spre 70% a fost țintit codul sursă, aplicațiile software ale furnizorilor, atunci când a fost atacată organizația precum SolarWind. Nu e singura, dar pur și simplu e cea mai mediatizată. Aș putea spune că dacă ne uităm strict pe raport, software-ul produs de furnizori și lipsa de maturitate a acestora în zona de cyber a fost cumva cauza principală a atacurilor acestora foarte mediatizate, din ultimii 2 ani de zile", a declarat Sergiu Zaharia.

Care sunt riscurile generate de lanțul de aprovizionare supply-chain pentru datele personale

 

"În general atacurile țintesc date, procese sau chiar oameni pentru date și informații sau chiar pentru bani. În raport se arată că ținta finală a atacatorilor în proporție de 58% erau datele. Nu neapărat datele cu caracter personal, ci date financiare sau alte tipuri.

Numai dacă ne uităm a cifra asta, riscurile sunt foarte mari asupra datelor, însă trebuie să ne gândim un pic la diverse tipuri de roluri în supply-chain. Odată, există un flux al atacului dinspre furnizor gen atacul prin care compromiți software și organizația folosește acel software pentru managementul rețelei. Dacă am compromis software, am acces la date, iau datele acelei organizații, date financiare sau clienților organizației respective.

Mai e varianta prin care, de pildă un spital, își transferă partea de analiză de laborator către un laborator terț și atunci dai de toate datele, date sensibile, vorbind de chestii medicale.

Ideea este că aceste două tipologii acoperă cam 90% din rolul fluxului atacatorului în supply-chain", a mai spus Sergiu Zaharia.

 

  Fiți la curent cu ultimele noutăți. Urmăriți DCNews și pe Google News