Hierdie somer se wêreldwye IT-onderbreking, wat miljoene rekenaars en gegronde lugdienste wêreldwyd afgeneem het, het gedemonstreer hoe moeilik dit is om 'n moderne digitale voorsieningsketting te bestuur. Kan effektiewe kliënterisikobestuur help om die gapings te vul?

Op 19 Julie het berigte begin verskyn van 'n massiewe onderbreking in Windows-stelsels wat oor verskeie industrieë versprei het. Eindpunte was af en kon nie behoorlik herlaai nie, wat gelei het tot die beduidendste IT-onderbreking in die geskiedenis. Die probleem het ontstaan ​​uit 'n logiese fout in 'n opdatering van CrowdStrike se sekuriteitsagteware, wat volgens Microsoft 8.5 miljoen stelsels laat afskakel het . Herstel was 'n komplekse, handmatige proses. Saam met die gekanselleerde vlugte het bankkliënte en gesondheidsorgpasiënte ook gely, aangesien die onderbreking finansiële transaksies beïnvloed het en selfs chirurgiese prosedures vertraag het.

"Die onlangse voorval versterk hoe toenemende afhanklikheid van onderling gekoppelde IT-stelsels die risiko-oppervlak uitgebrei het," sê Mark E. Green, voorsitter van die Huis se Binnelandse Veiligheidskomitee, wat op 24 September getuienis van CrowdStrike sal aanhoor. Dit is moeiliker as ooit om voorsieningskettingrisiko te bestuur, nie net gegewe die grootte van daardie kettings nie, maar die kompleksiteit van die sagtewareprodukte en -prosesse wat hulle verskaf.

"Het jou so gesê" sê die GAO

Die Amerikaanse regering se Verantwoordingskantoor sê nie graag dat hulle dit vir jou gesê het nie, maar wil jou ook daaraan herinner dat hulle dit wel gedoen het. In 'n blogplasing na die voorval het hulle sterk ooreenkomste uitgewys tussen hierdie onbedoelde fout en die kuberaanval wat SolarWinds en sy kliënte in 2020 in gevaar gestel het.

Sedert Mei 2010 het die GAO 1610 aanbevelings gemaak wat vier uitdagingsgebiede vir kuberveiligheid dek. Een hiervan – die vestiging van 'n omvattende kuberveiligheidstrategie en die uitvoering van effektiewe toesig – is die primêre fokusarea vir voorsieningskettingrisiko. In 'n Junie-verslag oor regeringspogings om kuberrisiko te verminder, het die GAO gesê agentskappe het misluk om 43% van die aanbevelings in hierdie gebied te implementeer.

Die bestuur van 'n gekonsolideerde voorsieningsketting

"Die federale regering moet stappe doen om effektiewe toesig uit te voer, insluitend die monitering van die globale voorsieningsketting," het die GAO in sy verslag bygevoeg. Maar hoe implementeer jy effektiewe toesig oor 'n magtige maatskappy wat die grootste deel van die mark beheer?

Dan Geer, wat bygedra het tot die X Windows-stelsel en Kerberos en nou 'n senior genoot by In-Q-Tel is, het bekendheid verwerf in sy 2003-verslag, CyberInsecurity: The Cost of Monopoly , oor hoe tegnologie-monokulture sekuriteit beïnvloed . Dit het genoeg senuwees in korporatiewe tegnologie getref dat hy die dag na die publikasie daarvan afgedank is.

21 jaar later en 'n week na die CrowdStrike-onderbreking, het hy ons aan die probleem herinner:

"Ons weet dat beskermende oortolligheid nie net gebeur nie, en ons weet dat 'n biljoen toestelle ewe veel geen beskerming bied nie, maar eerder die teenoorgestelde," het hy gesê. "Ons weet dat die bron van risiko afhanklikheid is, en ons weet dat totale risiko eweredig is aan totale afhanklikheid."

Soos Geer uitwys, is markkonsolidasie wat miljoene toestelle oplewer, 'n ekonomiese neiging. Windows het meer as 70% van die rekenaarbedryfstelselmark, en twee maatskappye—Microsoft en CrowdStrike—besit 44% van die eindpuntbeskermingsmark tussen hulle.

Hierdie tendens het nie teruggekeer sedert 2003 nie. Dit sal ook nie in die toekoms terugkeer nie. Daar is baie redes waarom maatskappye dieselfde sagteware as hul eweknieë kies, wat wissel van beskikbaarheid (die aantal beskikbare oplossings konsolideer met verloop van tyd) tot risiko-aversie (niemand het ooit ontslaan omdat hy IBM gekoop het nie) en bestuurbaarheid (dit is makliker om te bestuur en te ondersteun) 'n vloot van 'n duisend Windows-masjiene as 'n verskeidenheid van verskillende eindpuntbedryfstelsels).

Groot maatskappye doen ongetwyfeld hul bes om beste praktyke vir kuberveiligheid te volg, maar foute gebeur. Die Amerikaanse regering se Kuberveiligheidsoorsigraad het bevind dat Microsoft se sekuriteitskultuur "onvoldoende was en 'n hersiening benodig" nadat kubermisdadigers hul stelsels gekap en 'n kriptografiese sleutel gekompromitteer het wat hulle toegang tot senior bestuurders se rekeninge gegee het. CrowdStrike, hoewel dit gepas selfvernietigend was solank dit nie te veel kos nie , het 'n foutiewe opdatering vrygestel wat hulle nie kon opvang nie.

Microsoft en CrowdStrike het op 10 September 'n geslote vergadering gehou om te bespreek hoe hulle kan verhoed dat hierdie soort ding weer gebeur. Hulle het maatreëls bespreek soos om minder op kernmodus staat te maak, waar sagteware met foute die uiterste skade kan veroorsaak wat in Julie gesien is. Soos CrowdStrike verduidelik , verg dit 'n bietjie werk van Microsoft se kant.

CrowdStrike het ook gesê dat dit nou ander maatreëls sal volg, soos die gebruik van kanarievrystellings - 'n basiese beste praktyk vir skaalontplooiing - om skade aan 'n kleiner aantal masjiene te beperk.

Alhoewel dit prysenswaardig is dat sulke groot maatskappye hierdie lesse nou leer, is dit kommerwekkend dat hulle dit doen op hul kliënte se sent.

Wat kliënte daaraan kan doen

Dit is belangrik om verskafferbestuurskontroles soos dié in ISO 27001 Aanhangsel A 5.22 te volg , maar soos ISMS.online sê, is dit belangrik om pragmaties te wees oor hoeveel invloed jy op 'n groot verskaffer kan hê.

Nietemin het ISO 27001 baie te bied rakende voorbereiding vir voorvalle. Dit begin met beplanning vir risiko deur deeglike assessering, soos uiteengesit in ISO 27001 klousule 6. Dit bied ook waardevolle leiding in Beheer 5.30 , wat organisasies voorberei vir besigheidskontinuïteit in die geval van 'n probleem.

Hierdie praktyke beskerm dalk nie 'n maatskappy teen 'n groot voorval stroomop in die voorsieningsketting nie, maar hulle kan help om die impak van sulke gebeure stroomaf te verminder, en help om dienste vir kliënte en sakevennote te handhaaf.