• Digital säkerhet
  • Traditionell säkerhet
  • I FOKUS
  • Nyhetsbrev

Dags att ta due diligence till nästa nivå – supply chain-attacker kräver det

Det håller inte längre att se olika företag som isolerade öar, som ansvarar för sin egen cybersäkerhet. För att vara säker behöver man se tjänsteleverantörers cybersäkerhet som sin egen cybersäkerhet. Det gäller inte minst för leverantörer av tjänster för logistik och försörjningskedjor. Det skriver Emanuel Lipschütz, teknikchef på Conscia Sverige.

-

Det här är en opinionstext. Åsikter som uttrycks är skribentens egna.

Supply chain-attackerna de senaste åren var bara början. De kriminella har fått upp ögonen för att de här attackerna är en mycket lönsam verksamhet. Bland alla supply chain-attacker under 2022 sticker några ut. Hittills. 2022 är inte slut än. Två av de mest omtalade attackerna riktades mot företaget Okta och mot GitHub OAuth tokens.

Hur ska du skydda dig mot supply chain-attacker, som i ett första skede drabbar leverantörer till din arbetsgivare (eller ditt företag)? Det finns en grundregel som är enkel att beskriva, men kan vara svår att efterleva: se din leverantörs cybersäkerhet som din egen cybersäkerhet.

Säkerhetsarbetet i mer detalj
Supply chain-attacker är ingen nyhet. En av de första som väckte stor uppmärksamhet riktades mot säkerhetsföretaget RSA redan 2011 och det amerikanska företaget Target drabbades 2013. På grund av brister i Targets nätverksarkitektur kunde kriminella komma åt kassaapparater och via dem stjäla 40 miljoner uppgifter om betalningar och andra finansiella transaktioner, samt detaljerad information om 70 miljoner kunder.

Den här typen av attacker är på god väg att bli vardagsmat. Det betyder till att börja med en sak för organisationen du arbetar på: det första steget för att skydda ett företag mot det här växande hotet är att skaffa sig överblick över och insyn i sina försörjningskedjor.

Det paradoxala i situationen är så klart att en stor anledning att lägga ut hanteringen av försörjningskedjor är att slippa lägga ner tid, energi och pengar på att ha full insyn i dem. Tanken är i stället att betala för att få en tjänst, till exempel transport, utförd, utan att behöva ha full koll på alla detaljer. Den tiden är alltså över.

Extremt viktig checklista
Arbetet med att skaffa sig insyn, due diligence som det kallas, innebär ökade kostnader på flera olika sätt. Inte minst för den tid som ett företags anställda måste lägga ner. Det är värt att ha i åtanke när kalkyler görs för att köpa in tjänster. Det kanske innebär att alternativet att sköta hanteringen av försörjningskedjor i egen regi blir mer attraktivt.

Vad är det som behöver kollas? Inte minst följande:

  • Har de applikationer, andra mjukvaror och molntjänster som används tagits fram med riktlinjer för säker utveckling?
  • Vilka säkerhetslösningar har leverantörer och deras underleverantörer på plats? Kan de visa dokumentation av dem? Har de gjort stress- och penetrationstester som de kan redovisa? Har de personal som jobbar med cybersäkerhet? Används Zero-Trust som strategi?
  • Hur ser cybersäkerheten ut i ”glappen”, eller överlämningarna, mellan olika aktörer som är inblandade? Ges minsta möjliga åtkomst som krävs?
  • Vem är det som levererar en viss funktion, till exempel för transport eller logistik? Vad är det för företag? Hur ser dess historik ut vad gäller cybersäkerhet?
  • Vilka underleverantörer tas i bruk? Vad är det för slags företag? Alla frågor som är relevanta för leverantörer är självklart också relevanta för underleverantörer.

Det här kan ses som övergripande beskrivningar. Inhämtningen av information behöver göras på en detaljerad nivå, vilket ställer krav på kompetens på de företag som vill undersöka cybersäkerhet. Ju fler länder som är inblandade, så väl fysiskt för tillverkning, lager, transporter, med mera, som för ägande av och nationaliteter verksamma i företaget, desto svårare blir det att genomföra undersökningar och analyser.

Den verkligt jobbiga insikten i sammanhanget är att man inte har något val. Ett företag som inte har koll på sina försörjningskedjor kan inte hävda att det har bra cybersäkerhet. Det blir ett lätt byte, direkt eller indirekt, för supply chain-attacker.

Bättre kontroll underlättas om staten ställer större krav på företag och myndigheter att ta tag i problemen, till exempel via lagstiftning, vilket är på gång till viss del med den kommande nya versionen av EUs NIS-direktiv. Även branschorganisationer, exempelvis för redovisningsbyråer, börser, certifieringsorganisationer, med flera, kan dra sitt strå till stacken med både krav och stöd av olika typer.

Emanuel Lipschütz
CCDE, 4xCCIE, Teknikchef,
Conscia Sverige

Allra viktigast är att se dina leverantörers cybersäkerhet som din egen cybersäkerhet. Säkerhet blir inte starkare än den svagaste länken i kedjan. Det är dags sätta i gång med ett fördjupat säkerhetsarbete.

REKLAMSAMARBETE

The Clean Feed – en podcast om hur vi gör Internet lite säkrare 

Besedo är ett svenskgrundat kunskapsföretag, inriktat på att öka kvalitet, kundnytta och värde för företag som har användargenererat innehåll på webben. Bland kunderna i...

FLER NYHETER

Kombinationen av AI och ransomware måste möta motstånd

Det här är en opinionstext. Åsikter som uttrycks är skribentens egna.I dagsläget skapar inte AI främst nya cyberhot utan förstärker redan befintliga hot. Tekniken...

REKLAMSAMARBETE

Cybersäkerhetslagen: ”Små företag måste agera nu”

Med cybersäkerhetslagen tar Sverige viktiga kliv framåt för att skydda kritisk infrastruktur och samhällsfunktioner från cyberhot. Antalet sektorer som omfattas ökar och det är...

Datamulor kan frakta information åt Försvars­makten

Ny teknik gör att det går att använda allt fler informationskällor inom militär ledning, och mängden information som kan hämtas in ökar rekordsnabbt. Samtidigt...

REKLAMSAMARBETE

”Generativ AI är fullkomligt avgörande för effektiv cybersäkerhet – både nu och i framtiden”

Den 13 juni, klockan 9.30, bjuder Aktuell Säkerhet och SentinelOne in till ett frukostwebinar om hur du kan använda generativ AI för effektivare cybersäkerhet,...

Kaspersky Lab stänger ner sin verksamhet i USA

Handelskammaren menar att det föreligger en nationell säkerhetsrisk i att Ryssland ska kunna använda Kasperskys mjukvara för att spionera. Detta efter att de genomfört...

Utredning kring en förbättrad process för säkerhetsprövningar får tilläggsdirektiv

En särskild utredare har fått i uppdrag att bland annat överväga vilka krav som ska ställas på ett underlag vid en säkerhetsprövning, bedöma om...

REKLAMSAMARBETE

Ny hotaktör med fokus på ryska mål observerad – sprider sig nu till andra delar av världen

Kaspersky Lab skriver i sin rapport att gruppen använder sig av ett sofistikerat cyberspionageverktyg som används för övervakning, datainsamling och exfiltrering via Microsoft Graph,...

Granskning: Snowflake-attacken exempel på oroande trend inom cyberhot

Ett stort antal cyberattacker och dataintrång har präglat nyhetsflödet under 2024 – både i Sverige och globalt. Ett av de största angreppen upptäcktes i...

Efter kriget i Ukraina: Cyberrevanschism

Det här är en opinionstext. Åsikter som uttrycks är skribentens egna.Ryssland har tagit rejält med stryk i kriget även om de ryska styrkorna lärde...

Ryssland laddar för OS i Paris med påverkanskampanj 

– Jag tror nästan säkert att vi kommer att få se rysk inblandning i sommar-OS. Allt sedan 2016 då Ryssland förbjöds att tävla under...

Han blir ny affärsområdeschef för Security hos Enaco

Rickard Hammarberg kommer närmast från en tjänst inom affärsutveckling hos Caverion. Med sin omfattande kunskap och expertis kommer Rickard att spela en central roll...

Regeringen har presenterat ny nationell säkerhetsstrategi

– När regeringen tillträdde för snart två år sedan var det med ett tydligt mandat att ta tag i Sveriges inre och yttre säkerhet....

Ny generaldirektör för IMY

Eric Leijonram är för närvarande chefsjurist på Finansinspektionen. Han har en bakgrund från bland annat domstol, Regeringskansliet och Kriminalvården. Utöver detta har Eric Leijonram...

Offentliga sektorn måste lära sig att hantera cyberattacker

Det här är en opinionstext. Åsikter som uttrycks är skribentens egna.Sedan början av 2024 har flera svenska organisationer fallit offer för cyberattacker utförda av...

ASIS-sommarmingel med historiskt säkerhetsföretag

Jessica Fixelius bjöd på en kort presentation av Pinkerton som grundades i USA redan 1850 av Allan Pinkerton som världens första privatägda detektivbyrå. Företaget...

Uppdrag att utveckla samverkan med civilsamhället i det brottsförebyggande arbetet

– Brottsligheten måste bekämpas och förebyggas med hela samhällets samlade förmåga. Det civila samhällets organisationer erbjuder viktiga insatser på området och bidrar med erfarenheter...