Technologiegewinne in der Lieferkette führen zu Sicherheitsproblemen

Verschiedene Technologien, darunter Künstliche Intelligenz (KI), Big Data, Analytik und Blockchain, verändern die Funktionsweise der Lieferkette dramatisch. Sie ist schneller, genauer und vorausschauender als je zuvor. Es ist alles in Ordnung. Oder doch nicht? Diese Fortschritte bringen zumindestens ein großes Problem mit sich: ein erhöhtes Cybersicherheitsrisiko. Eine vernetzte Lieferkette bietet geschickten Cyber-Kriminellen mehr Angriffsvektoren und eine größere Belohnung, möglicherweise über mehrere Unternehmen hinweg. Das macht die Lieferketten zu einem unwiderstehlichen Ziel.

Cyberangriffe sind unvermeidlich

Da Cyberangriffe auf die Lieferkette immer häufiger vorkommen, müssen Unternehmen mit einem Angriff rechnen und planen, wie sie darauf reagieren können, anstatt nur daran zu arbeiten, den Angriff zu verhindern. Kurz gesagt, Cyberangriffe sind eine Frage des „Wann“ und nicht des „Ob“.

Gartner stellte in seiner Umfrage „Thriving Amid Heightened Complexities Supply Chain Survey“¹ aus dem Jahr 2022 fest, dass 31 % der Befragten angaben, in den letzten zwei Jahren Opfer eines Cyberangriffs geworden zu sein, der sich auf die Lieferkettenabläufe ausgewirkt hat. Das Marktforschungsunternehmen prognostiziert, dass diese Zahl bis 2025 um 45 % steigen wird.² Während menschliches Versagen nach wie vor ein gängiger Angriffsvektor ist, sei es durch Phishing-Angriffe per E-Mail oder dadurch, dass man jemanden dazu bringt, einen infizierten USB-Stick in die Hand zu nehmen und einzustecken, sind Ransomware und andere erpresserische Bedrohungen ebenfalls auf dem Vormarsch, und zwar um 180 % im Vergleich zum letzten Jahr, so der Data Breach Investigations Report (DBIR) 2024 von Verizon³ (Abbildung 1).

Abbildung 1: Der Mensch ist nach wie vor der am meisten gefährdete Zugangspunkt, und Ransomware und Erpressung werden immer häufiger. (Bildquelle: Verizon DBIR)

Diese Art von Angriffen kostet Zeit und Geld. Laut dem „2023 Cost of Insider Risks Global Report“ des Ponemon-Instituts stiegen die durchschnittlichen Kosten eines Sicherheitsverstoßes in der Branche auf 16,2 Millionen US-Dollar pro Unternehmen, wobei die durchschnittliche Zeit bis zur Eindämmung des Vorfalls 86 Tage betrug.⁴ Zum Vergleich: im Vorjahr waren es 15,4 Millionen US-Dollar und 85 Tage. Diese Statistiken berücksichtigen nicht einmal den Schaden an der Marke eines Unternehmens.

Cyberangriffe sind regelmäßig in den Schlagzeilen, und der Hightech- und der Fertigungssektor sind wichtige Ziele. Im vergangenen Jahr waren Unternehmen der Fertigungsindustrie die größte Angriffsfläche für Cyberkriminelle (Abbildung 2). Angesichts der jüngsten technologischen Entwicklungen ist die Cybersicherheit heute entscheidend für den Erfolg eines Unternehmens. Die Unternehmen haben dies erkannt und ihre Investitionen in die Cybersicherheit schrittweise erhöht. Für das Jahr 2025 wird ein Gesamtbudget von 212 Milliarden US-Dollar prognostiziert, was einem Anstieg von 15,1 % gegenüber 2024 entspricht.⁵

Abbildung 2: Im vergangenen Jahr waren Unternehmen der verarbeitenden Industrie am stärksten im Visier von Cyberkriminellen. (Bildquelle: Statistica)

Bewährte Methoden für die Sicherheit

In diesem dynamischen und sich wandelnden Umfeld müssen Beschaffungsabteilungen Cybersicherheitsmaßnahmen so priorisieren, dass interne Mitarbeiter, Kunden und Lieferanten in der gesamten Lieferkette einbezogen werden. Innerhalb des Unternehmens muss die Cybersicherheit an erster Stelle stehen und bei regelmäßigen Risikobewertungen berücksichtigt werden. Es ist wichtig, das Cyber-Bewusstsein zu fördern und in die Widerstandsfähigkeit im Bereich der Cybersicherheit zu investieren. Einige bewährte Praktiken sind:

• Datenverschlüsselung: Verschlüsseln Sie alle Datentypen mit dem Advanced Encryption Standard (AES). Die US-Regierung hat diese symmetrische Blockchiffre gewählt, um geheime Informationen zu schützen.
• Sichern Sie die Anmeldedaten und den Zugang der Mitarbeiter: Menschen sind fehlbar, also sorgen Sie für Schulungen und regelmäßige Erinnerungen. Die Mitarbeiter, die erste Verteidigungslinie eines Unternehmens, müssen in der Lage sein, Phishing-E-Mails und verdächtige Links zu erkennen und ihre Logins zu schützen.
• Trainieren Sie für das wirkliche Leben: Machen Sie Ihre Mitarbeiter mit realen Szenarien vertraut und informieren Sie sie darüber, wie sich diese Cyberangriffe auf ein Unternehmen und seine Partner auswirken. Informieren Sie regelmäßig über neue Angriffe: Lebendige Informationen werden leichter behalten.
• Führen Sie Penetrationstests durch: Beauftragen Sie einen Experten damit, nach Schwachstellen zu suchen und sie zu beheben, bevor sie ausgenutzt werden. Aktualisieren Sie schwache Passwörter, und sichern Sie Datenbanken, Endgeräte und Netzwerke.
• Planen Sie für Probleme: Erstellen und pflegen Sie einen unkomplizierten und praktikablen Plan zur Reaktion auf Vorfälle mit umsetzbaren Abhilfemaßnahmen. Testen Sie regelmäßig.

Der Weg für Partner

Ebenso wichtig wie die Priorisierung der internen Cybersicherheit ist es, die Informationssicherheitsstrategien der Partner, sowohl der ersten als auch der zweiten Ebene, zu gewährleisten. Erstellen Sie eine Checkliste für die Informationssicherheit und stellen Sie sicher, dass Ihre Partner diese einhalten. Ermutigen Sie sie auch, diese bewährten Praktiken in der Lieferkette weiter zu verbreiten. Die „CSA Cloud Controls Matrix“ bietet 197 Kontrollziele in 17 Bereichen, die kritische Aspekte der Cloud-Sicherheit und Compliance abdecken.⁶ Ihre Partner sind, wenn sie anfällig sind, Vektoren für Angriffe, die einen bösen Akteur in Ihr Unternehmen eindringen lassen können.

Sicherheit ist wie ein Spiel. Sobald die Guten eine neue Methode zur Sicherung von Systemen und Daten entwickelt haben, finden die Bösen einen Weg, sie zu knacken. Angesichts des zunehmenden Einsatzes fortschrittlicher Technologien sind Wachsamkeit und die Einhaltung bewährter Praktiken von entscheidender Bedeutung, um die Sicherheit zu gewährleisten.

Referenzen

1: https://www.scmr.com/article/tackling_hidden_risks_in_the_supply_chain_insights_for_procurement_leaders - :~:text=According to Gartner’s 2022 Thriving Amid Heightened Complexities Supply Chain Survey, 31%25

2: https://aratum.com/perspective/emerging-threats-in-supply-chain-cybersecurity-in-2024/#:~:text=The%20Most%20Compelling%20Cybersecurity%20Stats%20of%202022%20%7C%20Alert%20Logic

3: https://www.verizon.com/business/resources/reports/dbir/

4: https://ponemonsullivanreport.com/2023/10/cost-of-insider-risks-global-report-2023/

5: https://www.gartner.com/en/newsroom/press-releases/2024-08-28-gartner-forecasts-global-information-security-spending-to-grow-15-percent-in-2025

6: https://cloudsecurityalliance.org/research/cloud-controls-matrix