Cyberbezpieczeństwo w logistyce to nie tylko obowiązek IT

Przez wiele lat cyberbezpieczeństwo było postrzegane jako temat techniczny. Coś, co IT zarządzało w tle. Zapory sieciowe, poprawki, oprogramowanie antywirusowe. Konieczne, ale nie strategiczne. Ten czas minął, pisze Andreas Anyuru (na zdjęciu poniżej), CTO Consafe Logistics.

Dziś systemy zarządzania magazynem i platformy łańcucha dostaw są głęboko osadzone w operacjach biznesowych. Kontrolują przepływ towarów, automatyzację, robotykę, rezerwacje transportowe i dostawy do klientów. Gdy przestają działać, przestają działać operacje. Przestaje działać przychód. Zaufanie klientów jest wystawione na próbę.

Cyberbezpieczeństwo w logistyce nie jest już kwestią IT. To kwestia ciągłości działania biznesu. To kwestia na poziomie zarządu. To kwestia przywództwa.

Nowy krajobraz ryzyka dla łańcuchów dostaw

Często czytamy w wiadomościach o atakach ransomware lub dużych wyciekach danych. Mniej widoczne jest to, jak te incydenty zwykle się zaczynają. Rzadko zaczynają się od dramatycznego włamania. Częściej zaczynają się cicho, od znanej luki w szeroko używanej technologii.

Dostawca wypuszcza poprawkę bezpieczeństwa. Niektóre firmy aktualizują od razu. Inne odkładają. Operacje trwają. Nadchodzi sezon szczytowy. Testowanie zajmuje czas. Aktualizacja jest przesuwana na kolejny kwartał.
W międzyczasie, atakujący automatyzują swoje skany. Szukają systemów, które nie zostały zaktualizowane. I je znajdują.

W środowiskach łańcucha dostaw konsekwencje są potęgowane. System zarządzania magazynem nie tylko zarządza danymi. Kontroluje operacje fizyczne. Przenośniki, sortery, robotyka, przepływy kompletacji. Wiele działa 24/7. Zatrzymanie ich nie jest jak ponowne uruchomienie aplikacji biurowej. Może oznaczać opóźnione dostawy, kary umowne i uszkodzenie reputacji.

W ostatnich latach kilku producentów motoryzacyjnych w Azji i Wielkiej Brytanii musiało wstrzymać produkcję na tygodnie po incydentach cybernetycznych. W niektórych przypadkach uważano, że systemy były odizolowane. Wpływ finansowy był znaczny. Wpływ operacyjny jeszcze większy. Lekcja jest jasna. Izolacja to nie ochrona. Złożoność to nie bezpieczeństwo.

Czy łańcuch dostaw pozostaje w tyle?

Wiele firm z pierwszego i drugiego poziomu w Europie zainwestowało imponująco w automatyzację, cyfryzację i integrację. Platformy WMS są połączone z ERP, systemami zarządzania transportem, dostawcami automatyzacji i usługami chmurowymi. Ta łączność zwiększa efektywność i widoczność w całym łańcuchu wartości. Ale łączność także zwiększa powierzchnię ataku.

Jednocześnie wciąż widzimy środowiska działające na starszych platformach, które nie są już wspierane. Aktualizacje są odkładane, ponieważ operacje są stabilne. „Jeśli działa, po co to zmieniać?” to zrozumiałe pytanie z perspektywy operacyjnej. Z punktu widzenia cyberbezpieczeństwa, jest to rosnąca luka.

Dobrym przykładem jest niedawne ujawnienie poważnej luki w szeroko używanym frameworku, stojącym za wieloma nowoczesnymi aplikacjami. Natychmiast wydano poprawkę. Dla firm korzystających z obsługiwanych platform luka mogła zostać złagodzona w ramach normalnej konserwacji. Dla tych na nieobsługiwanych platformach, poprawka nie była dostępna. Zagrożenie pozostało.

Sama luka nie była unikalna. Nowe będą się pojawiać nadal. Prawdziwa różnica polegała na zdolności do reakcji.

Dojrzałość w cyberbezpieczeństwie to reakcja

Żadna firma nie może zagwarantować, że luki nigdy się nie pojawią. To, co definiuje dojrzałość, to zdolność do działania, gdy się pojawią.

Wymaga to więcej niż narzędzi. Wymaga zarządzania, procesów i współpracy między IT a operacjami. Wymaga jasności, kto jest właścicielem ryzyka. Wymaga wyraźnej ścieżki aktualizacji i dyscypliny, by ją podążać.

Wymaga także uznania, że cyberbezpieczeństwo to ciągła inwestycja, a nie jednorazowy projekt.
Standardy takie jak ISO 27001 zapewniają uporządkowany sposób pracy z bezpieczeństwem informacji. Regularne audyty, modelowanie zagrożeń, bezpieczne praktyki rozwoju i testy penetracyjne przyczyniają się do zmniejszania ryzyka z czasem. Monitorowanie w czasie rzeczywistym środowisk SaaS i automatyczne skanowanie luk pomagają wykrywać podejrzane zachowania na wczesnym etapie.

Ale nawet najbardziej zaawansowany framework nie zrekompensuje przestarzałego, nieobsługiwanego oprogramowania. Jeśli platforma nie może być zaktualizowana, nie można jej zabezpieczyć.

Pytania, które powinna zadać każda grupa przywódcza

Dla liderów na poziomie C w firmach z intensywnym łańcuchem dostaw, rozmowa powinna przesunąć się od szczegółów technicznych do strategicznego nadzoru. Oto kilka ważnych pytań do refleksji:
• Czy wiemy, które z naszych krytycznych systemów łańcucha dostaw działają na obsługiwanych platformach?
• Jak szybko możemy zastosować poprawki bezpieczeństwa bez zakłócania operacji?
• Czy istnieje jasna, finansowana mapa drogowa modernizacji i aktualizacji?
• Czy IT i operacje są zgodne co do własności ryzyka i reakcji na incydenty?
• Czy regularnie testujemy naszą odporność, a nie tylko nasze zapobieganie?
To nie są pytania IT. To pytania o odporność biznesu.

Dlaczego to jest ważne teraz

Łańcuchy dostaw są bardziej cyfrowe, bardziej połączone i bardziej zautomatyzowane niż kiedykolwiek. Jednocześnie, niepewność geopolityczna i zorganizowana cyberprzestępczość rosną. Atakujący rozumieją przewagę w zakłócaniu logistyki. Gdy towary przestają się poruszać, wpływ szybko rozprzestrzenia się na różne branże.

Zaufanie jest trudne do zbudowania i łatwe do utraty. Klienci oczekują niezawodności. Inwestorzy oczekują stabilności. Regulatorzy oczekują należytej staranności. Cyberbezpieczeństwo w logistyce dotyczy więc ochrony nie tylko systemów. Chodzi o ochronę operacji, reputacji i długoterminowej konkurencyjności.

Wspólna odpowiedzialność

Uważamy, że cyberbezpieczeństwo w środowiskach łańcucha dostaw musi być traktowane jako wspólna odpowiedzialność dostawców technologii i klientów. Dostawcy muszą projektować bezpieczne, aktualizowalne platformy i systematycznie pracować nad bezpieczeństwem. Klienci muszą priorytetowo traktować obsługiwane środowiska i ciągłe doskonalenie.

Razem możemy przesunąć dyskusję od reagowania na incydenty do budowania odporności. Bo prawdziwe pytanie już nie brzmi, czy zagrożenia cybernetyczne będą rosnąć. Będą. Prawdziwe pytanie brzmi, czy nasze łańcuchy dostaw są gotowe na reakcję. A to decyzja przywództwa.