A segurança de uma empresa não depende somente da própria organização, mas também da segurança da sua cadeia de suprimentos de TI (supply chain) e dos prestadores de serviços, que representam potenciais pontos fracos na segurança de qualquer organização.
Prestadores de serviços e fornecedores têm sido utilizados para comprometer grandes organizações. A violação do Target, nos Estados Unidos, por exemplo, começou com a quebra de um fornecedor de soluções de aquecimento, ventilação e ar condicionado. E esse caso é apenas a ponta do iceberg. Muitos fornecedores da cadeia de suprimentos têm insuficiência de recursos ou de pessoal dedicados à segurança: eles podem não ter ferramentas suficientes para identificar se estão se tornando vítimas de um ataque direcionado.
Os responsáveis pelas ameaças que teriam como alvo as partes da cadeia de suprimentos de TI usam de várias artimanhas como parte de suas táticas, técnicas e processos (TTP). Entre elas, podem estar o comprometimento do código fonte, do firmware, de websites e portais internos, além do acesso direto à rede de fornecedores de confiança.
Alguns podem dizer que a segurança dos fornecedores não faz parte das responsabilidades de um CSO (Chief Security Officer), considerando que ele já tem que se preocupar com a segurança de sua própria organização. Ao mesmo tempo em que isso pode ser verdade, a segurança dos fornecedores tem impacto direto na segurança da organização.
Seguem 4 orientações básicas:
- Proteja a sua própria rede
Será que a sua organização já tem defesas suficientes contra os ataques direcionados? Existem sensores e uma equipe de resposta a incidentes pronta para o caso de eventuais ataques? Existem soluções de segurança tanto nos terminais, como nas portas de entrada? Antes de uma organização questionar as falhas de segurança dos seus fornecedores, elas devem ter certeza de que sua própria casa está em ordem.
- Coordenar as políticas de segurança
Tanto quanto possível, fornecedores e clientes devem ter políticas de segurança integradas. Políticas inconsistentes podem criar falhas de segurança em uma organização, que podem ser usadas como movimento lateral para que um atacante (cracker) execute com sucesso um ataque.
- Auditoria de código binário e firmware
Correções e atualizações de procedimentos devem ser examinadas para garantir que uma auditoria adequada está sendo feita antes de novos softwares/hardwares serem implantados na organização. Auditorias de códigos fonte podem encontrar backdoors, credenciais não criptografadas e outras potenciais vulnerabilidades. Auditorias binárias podem verificar arquivos comprometidos para assegurar que somente versões não alteradas do software serão instaladas.
- Coordenar equipes de segurança
Recursos de segurança de fornecedores e clientes devem funcionar juntos para proteger suas redes sobrepostas. O compartilhamento de informações sobre ameaças e reuniões regulares podem garantir que todas as potenciais ameaças sejam tratadas de forma adequada e o mais rápido possível.
As empresas precisam se concentrar em proteger o que consideram mais importante – seus dados referentes ao negócio e sua imagem perante ao mercado – de uma forma bem planejada. Um aspecto da proteção de dados que pode ser esquecido é o modo como os outros acessam seus dados. Se uma organização falha em considerar isso, então sua segurança de dados pode se tornar seu elo mais frágil. Uma avaliação completa dos riscos de segurança e privacidade deve considerar a segurança dos provedores de TI terceirizados.
Além do que foi exposto acima, fornecedores devem tomar medidas para proteger seus próprios sistemas. Existem produtos projetados com a tecnologia necessária para ajudar a detectar ameaças que chegam via e-mail. Combinado com a reputação da web e caixas de proteção avançadas para inspecionar arquivos anexos, essas ferramentas são capazes de ajudar a detectar várias ameaças que tentam invadir a rede de uma organização.
Fernando Cardoso, especialista em segurança digital da Trend Micro.
