Oggi, più che mai, garantire la continuità operativa in azienda significa mitigare i rischi informatici. Per raggiungere questo obiettivo, però, è necessario prevedere all’interno della propria strategia difensiva anche soluzioni avanzate che tengano conto della cyber security nella supply chain. Infatti, nella situazione macroeconomica che stiamo vivendo, dominata da fluttuazioni dei prezzi, tensioni geopolitiche e difficoltà di reperimento delle materie prime, i sistemi di procurement sono diventati un punto nevralgico della catena del valore. Questo sia perché hanno assunto carattere strategico nell'ottimizzare i meccanismi di approvvigionamento delle risorse e dei servizi di cui ha bisogno l'organizzazione per sopravvivere, sia perché – proprio in virtù dalla crescente importanza della funzione – stanno affrontando un tumultuoso processo di digitalizzazione.
La digital transformation porta con sé innumerevoli vantaggi, ma se non è governata con la giusta consapevolezza – ponendo, dunque, grande attenzione alla protezione delle strutture informatiche, dei flussi di dati, delle applicazioni e delle esperienze d'uso - rischia di rivelarsi un'arma a doppio taglio. Un assunto che diventa ancora più netto quando si parla di catene di approvvigionamento: la security nella supply chain è essenziale nel momento in cui l'azienda estende digitalmente il proprio perimetro, esponendo una superficie d'attacco maggiore e integrando nelle proprie procedure applicativi di endpoint di clienti, partner e fornitori.
Non è un caso che gli attacchi alla catena logistica e alla supply chain in generale abbiano fatto registrare una crescita record proprio a ridosso dell'emergenza pandemica, quando le aziende sono state costrette a ricorrere alle soluzioni digitali sia per rendere più agili le operazioni, sia per rispettare i vincoli imposti da lockdown e regole di distanziamento sociale.
Gli attaccanti hanno sfruttato persino gli stessi canali digitali, quelli di fornitura del software, per sferrare iniziative malevoli. Nell'anno della svolta, il 2021, gli attacchi rivolti a questa specifica supply chain sono cresciuti di oltre il 300% rispetto al 2020, secondo uno studio di Argon Security. D'altra parte, uno studio globale condotto da Help Net Security su mille CIO ha indicato che l'82% del campione afferma che le proprie organizzazioni sono vulnerabili agli attacchi informatici che prendono di mira le catene di fornitura del software.
A puntare i riflettori su security e supply chain è anche l'Enisa, l'Agenzia europea per la Cybersecurity. Nel suo rapporto, sempre relativo all'anno 2021, il think tank rivela che un'organizzazione potrebbe essere vulnerabile a un attacco alla catena di approvvigionamento persino quando ha predisposto misure di security supply chain di alto livello. Gli aggressori, infatti, esplorano nuove potenziali vie d'accesso per infiltrarsi nelle reti aziendali prendendo di mira i fornitori. Per compromettere le aziende target, gli aggressori si sono focalizzati sul codice dei fornitori in circa il 66% degli incidenti segnalati. Ciò dimostra che le organizzazioni dovrebbero concentrare i propri sforzi sulla convalida di codice dei software di terze parti prima di utilizzarli per garantire che non siano stati manomessi o manipolati.
Questo, però, non basta: rispetto al 66% degli attacchi alla catena di approvvigionamento analizzati, i fornitori che avevano subito una violazione non sapevano o non avevano riferito in che modo erano stati compromessi. Tuttavia, all'atto pratico, meno del 9% degli utenti coinvolti in attacchi alla catena di approvvigionamento ignorava come si fossero verificati gli incidenti. Questo evidenzia un gap non trascurabile nell'abilità di comunicare gli eventi di sicurezza informatica tra fornitori e utenti finali.
Potenziare la security nella supply chain implica, dunque, la capacità di sviluppare una visione d'insieme su tutti i processi – interni ed esterni – coinvolti nel funzionamento della filiera e, soprattutto, di comunicarli in modo tempestivo.
In particolare, un'azienda deve in primo luogo identificare i fornitori e misurarne il grado di affidabilità in termini di sicurezza informatica, dopo aver definito parametri accurati per valutare il tasso di rischio di ciascuna tipologia di fornitori e servizi. A questo punto, monitorare le potenziali minacce insite nella catena di approvvigionamento vuol dire alimentare il dialogo con i fornitori durante l'intero ciclo di vita di un prodotto o servizio, classificando le informazioni condivise o accessibili ai partner e definendo procedure ad hoc per l'accesso e la gestione dei flussi di dati.
Tutto questo, naturalmente, deve andare di pari passo con l'adozione di soluzioni di cybersecurity intelligenti, che garantiscano che l'infrastruttura utilizzata per progettare, sviluppare, produrre e fornire prodotti, componenti e servizi operi secondo le policy stabilite, monitorando eventuali anomalie e presidiando tempestivamente le vulnerabilità di sicurezza segnalate da fonti interne ed esterne.