Supply Chain Security (Lieferkettensicherheit) ist Teil des Supply Chain Managements und befasst sich mit den Bedrohungen, die von externen Lieferanten, Anbietern, Wiederverkäufern, Logistik und Transport ausgehen. Dazu gehören physische Angriffe und Cyberangriffe, die auf Dritte abzielen, die vermeintlich weniger gut geschützt sind als die Zielunternehmen.
Was gehört zu Lieferkettensicherheit?
Wichtige Bestandteile der Lieferkettensicherheit sind:
- Risikomanagement trägt dazu bei, die potenziellen Auswirkungen von Vorfällen zu erkennen, zu analysieren und zu mindern.
- Technologische und physische Sicherheitskontrollen
- Cybersicherheit in der Lieferkette umfasst die verwendeten IT-Systeme, Software und Netzwerke sowie die damit verbundenen Managementkontrollen.
Lösungen für die Sicherheit der Lieferkette sind mit Blick auf zahlreiche Schwachstellen und Bedrohungen optimiert, die sich gegen Lieferketten richten.
Wie werden Lieferketten gesichert?
Zusätzlich zu IT-Sicherheitslösungen und -verfahren sollten in Bezug auf die Sicherheit der Lieferkette die folgenden Maßnahmen ergriffen werden.
Überwachung der Angriffsfläche
Die Überwachung der Angriffsfläche hilft bei der Identifizierung von Sicherheitsrisiken durch Dritte, einschließlich Sicherheitslücken in der Lieferkette bei Cloud-Lösungen in Netzwerken von Dritt- und Viertanbietern.
Datenverschlüsselung
Zum ständigen Schutz der Daten – im Ruhezustand, unabhängig davon, wo sie sich befinden, und bei der Übertragung, ungeachtet der Art der Übertragung – sollte stets eine robuste Verschlüsselung eingesetzt werden.
Identity & Access Management
Robuste Zugriffskontrollen sollten dem Least-Privilege-Prinzip folgen. Die Sicherheitsprotokolle für die Lieferkette sollten vorschreiben, dass kein Benutzer über Zugriffsrechte verfügt, die über das zur Erfüllung seiner Aufgaben erforderliche Mindestmaß hinausgehen.
Netzwerksegmentierung
Netzwerke sollten je nach Zweck und Vertrauensebene logisch unterteilt werden, um sensible Informationen zu isolieren und Querbewegungen über Netzwerke zu verhindern.
Penetrationstests
Die Sicherheitssysteme und -prozesse der Lieferkette sollten regelmäßigen Penetrationstests unterzogen werden – sowohl automatisiert als auch von Menschen durchgeführt. Dies sollte Anwendungen, IT-Infrastruktur und Menschen (z. B. mit simulierten Phishing-Angriffen) sowie Taktiken zur Reaktion auf Bedrohungen umfassen.
Software Composition Analysis (SCA)
SCA-Tools bieten einen Einblick in den Code von Anwendungen und überwachen die Sicherheit der Lieferkette auf Schwachstellen oder potenzielle Hintertüren.
Sicherheitsaudits
Zur Bewertung der Sicherheit der Lieferkette und zur Ermittlung von Schwachstellen werden laufende Audits durchgeführt. Dabei kann es sich um eine Kombination aus selbstgesteuerten Audits und Audits vor Ort handeln.
Sicherheitslücken-Scanning
Schwachstellen-Scanner dienen der Aufdeckung bekannter und unbekannter Sicherheitslücken. Die regelmäßige Durchführung von Schwachstellen-Scans trägt zur schnelleren Erkennung von und Reaktion auf Bedrohungen bei und minimiert die Sicherheitsrisiken in der Lieferkette.
Was ist globale Lieferkettensicherheit?
Globale Lieferkettensicherheit ist eine Erweiterung der Sicherheit der Lieferkette, die den einzigartigen und komplexen Herausforderungen des internationalen Handels Rechnung trägt. Der Handel außerhalb der Grenzen der USA ist größeren Risiken ausgesetzt, die mit Naturkatastrophen, geopolitischen Bedrohungen, Unfällen und böswilligen digitalen und physischen Vorfällen einhergehen, die die Sicherheit bedrohen und den Betrieb beeinträchtigen können.
Herausforderungen für die Sicherheit der Lieferkette
Unternehmen jeder Größe unterliegen dem Risiko von Sicherheitsverstößen in der Lieferkette. Zu den Herausforderungen, die zu diesen Sicherheitsproblemen führen können, gehören die folgenden.
Schlummernde Hintertüren
Um die Entdeckung durch Sicherheitssysteme für die Lieferkette zu umgehen, bauen Cyberkriminelle bei Malware-Angriffen oft Hintertüren ein, die sie für eine spätere Verwendung hinterlassen. Die Sicherheitsteams sind durch den Angriff abgelenkt und bemerken die Hintertür nicht, die dann zu einem späteren Zeitpunkt ausgenutzt wird.
Schwachstellen im Anwendungscode
Anwendungen stellen ein Risiko für die Sicherheit der Lieferkette dar. Da bei der Erstellung von Anwendungen zunehmend viele Komponenten von Dritten eingesetzt werden, haben Entwickler selten einen vollständigen Einblick in den gesamten Code. Angreifer nutzen routinemäßig Schwachstellen aus, die tief in einer Anwendung verborgen sind, um die Sicherheit zu gefährden und unbefugten Zugang zu Systemen und Netzwerken zu erhalten.
Mangelnde Transparenz in Bezug auf Dritte
Ohne angemessene Kontrollen können Unternehmen nicht nachvollziehen, wie Dritte ihre IT-Ressourcen verwalten. Dies birgt erhebliche Risiken, denn selbst die besten Sicherheitslösungen für die Lieferkette können nicht schützen, was sie nicht sehen können.
Bereitstellung von übermäßigen Zugriffsrechten für Dritte
Eine gängige Schwachstelle in der Sicherheit der Lieferkette entsteht durch die Gewährung übermäßiger Zugriffsrechte an Dritte. Unternehmen räumen Dritten häufig Zugang zu Systemen ein, weiten diese Privilegien aber oftmals zu weit aus und versäumen es, die Zugriffsrechte wieder zu entziehen, wenn sie nicht mehr benötigt werden.
Partner mit Sicherheitslücken in der Lieferkette
Die Sicherheit der Lieferkette ist nur so stark wie ihr schwächstes Glied. Wenn nur ein Partner eine Sicherheitslücke hat, sind alle anderen gefährdet. Sobald eine Schwachstelle vorliegt, kann selbst ein sehr kleiner Partner ein Einfallstor für Cyberkriminelle sein, die sich Zugang zu den Umgebungen anderer Partner verschaffen.
Unzulängliche Datensicherheitspraktiken
Sensible Daten können gefährdet sein, wenn Unternehmen es versäumen, Datensysteme und -prozesse sicher zu nutzen, zu speichern und zu schützen.Wenn die Sicherheit der Lieferkette nicht auf alle sensiblen Daten ausgedehnt wird, besteht das Risiko, dass sie gefährdet werden.
Bewährte Verfahren für die Sicherheit der Lieferkette
Ein Testlabor einrichten
Decken Sie verborgene Hardware- und Software-Schwachstellen mithilfe eines Testlabors auf.
Einen Reaktionsplan für Bedrohungen entwickeln und pflegen
Bereiten Sie sich darauf vor, bei einem Sicherheitsvorfall in der Lieferkette schnell und effektiv zu handeln. Arbeiten Sie mit einem organisationsübergreifenden Team zusammen, um einen Reaktionsplan für Bedrohungen zu entwickeln, der alle Bereiche der Lieferkette, einschließlich aller Dritt- und Viertparteien, berücksichtigt. In diesem Plan sollten spezifische Maßnahmen aufgeführt werden, ebenso wie die Reihenfolge, in der sie ergriffen werden sollten, und welche Teams und Personen für die einzelnen Funktionen verantwortlich sind.
DevSecOps einführen
Integrieren Sie DevSecOps-Best-Practices in alle Bereiche der Entwicklung, um die Sicherheit der Lieferkette zu optimieren. Durch die Priorisierung von Sicherheit und die frühzeitige Behebung potenzieller Probleme im Entwicklungszyklus wird die Sicherheit von Anwendungen verbessert, bevor sie für die Produktion freigegeben werden, wo sie zur Zielscheibe von Angriffen werden können.
Threat Hunting betreiben
Suchen Sie proaktiv nach unbekannten Schwachstellen und identifizieren Sie Angriffe auf Lieferketten, die zu unbefugtem Zugriff auf Systeme geführt haben.
Risikomanagement für Dritte priorisieren
Räumen Sie dem Risikomanagement für Dritte Priorität ein und konzentrieren Sie Ihre Ressourcen auf die Sicherheitsrisiken in der Lieferkette. Dies sollte eine kontinuierliche Überwachung und Analyse der Risiken beinhalten, die sich aus den Beziehungen zu Dritten wie Anbietern, Lieferanten, Auftragnehmern und anderen Geschäftspartnern ergeben können.
Blockchain verwenden
Blockchain-Systeme sorgen für mehr Sicherheit, Transparenz und Rückverfolgbarkeit in Lieferketten. Die Verwendung von Blockchain unterstützt die Sicherheit der Lieferkette und verringert Betrug durch Gewährleistung der Authentizität.
Nuancen einer sicheren Lieferkette beachten
Die Sicherheit der Lieferkette sollte als Ergänzung zur allgemeinen Sicherheit auf der Liste der höchsten Prioritäten für das Unternehmen stehen. Die Auswirkungen von Versäumnissen bei der Lieferkettensicherheit können gar nicht überbewertet werden – von Betriebsunterbrechungen über Umsatzeinbußen bis hin zu Reputationsschäden und verfälschten Produkten.
Ausgedehnte Lieferketten sind von Natur aus anfällig für Sicherheitslücken. Das erfordert Aufmerksamkeit und speziell entwickelte Lösungen, die die Nuancen komplexer Sicherheitsanforderungen berücksichtigen. Und es liefert Ergebnisse. Ressourcen für die Sicherheit der Lieferkette bringen eine exponentielle Kapitalrendite, da Risiken verhindert und Sicherheitsvorkehrungen insgesamt gestärkt werden.