Lima Langkah Cisco untuk Keamanan Siber Pihak Ketiga yang Efektif
Cukup sulit menopang keamanan siber di dalam dinding bisnis Anda sendiri. Tetapi melakukan hal yang sama untuk pasukan mitra yang membentuk rantai pasokan global? Itu hampir tidak mungkin.
Hampir seminggu berlalu tanpa berita tentang serangan siber lain terhadap rantai pasokan perusahaan besar. Dan lebih sering daripada tidak, saluran untuk serangan adalah pihak ketiga dengan kontrol yang lemah.
Dalam rantai pasokan modern, pihak ketiga dapat berupa entitas apa pun yang menjual suku cadang, produk, layanan, dukungan, perangkat lunak — daftarnya terus berlanjut. “Bagi saya, ini terdiri dari siapa pun selain kami yang pada titik mana pun dalam tahapan rantai nilai benar-benar terlibat dalam solusi kami,” kata Edna Conway, kepala petugas keamanan rantai nilai global dengan Cisco Systems, Inc.
Cisco menyukai istilah "rantai nilai" — yang telah dicoba oleh sejumlah perusahaan dan konsultan tanpa hasil untuk menggantikan "rantai pasokan" sebagai deskripsi umum untuk perjalanan produk ke pasar ujung-ke-ujung — karena ini menunjukkan alam semesta yang lebih besar dari entitas independen yang terlibat dalam upaya itu. Namun, terlepas dari apakah seseorang merangkul buzzspeak perusahaan atau tidak, tidak diragukan lagi bahwa proliferasi mitra menimbulkan masalah keamanan siber yang serius. Tanpa sistem dan prosedur yang memadai, salah satu dari mereka dapat menjadi mangsa upaya aktor jahat, termasuk perusahaan saingan, pemerintah, pemeras, dan bahkan peretas bawah tanah.
Conway menawarkan pendekatan lima langkah berikut untuk menyiapkan rencana keamanan siber yang efektif untuk hubungan pihak ketiga.
1. Ketahui “siapa, apa, dan di mana” rantai pasokan Anda. Terbukti dengan sendirinya meskipun kelihatannya, banyak perusahaan tidak memiliki pegangan pada semua pihak yang berkontribusi dalam beberapa cara untuk bisnis. Hal itu terutama terjadi dalam rantai pasokan multi-tingkat — dan sulit untuk memikirkan produk manufaktur saat ini yang tidak bergantung pada struktur seperti itu.
2. Cari cara untuk berkomunikasi secara efektif dengan semua pihak tersebut. Conway tidak mengacu pada semua interaksi yang mencakup masalah geopolitik atau kontinuitas pasokan, hanya interaksi yang secara khusus menangani masalah keamanan. Dengan demikian, ia menjelaskan tiga jenis ancaman utama:manipulasi (ketika informasi diubah), spionase (negara-bangsa dan industri), dan gangguan (melibatkan upaya untuk menutup bisnis). Dia mengatakan mungkin sulit untuk memberi kesan kepada pengembang lisensi perangkat lunak atau penyedia layanan cloud pihak ketiga tentang pentingnya menjaga ketiga ancaman tersebut. Hal yang sama berlaku untuk individu di lantai pabrik, yang perhatiannya mungkin difokuskan untuk menjaga agar lini tetap berjalan. “Dibutuhkan pelatihan untuk menjadikan keamanan sebagai bagian dari pemikiran sehari-hari siapa pun dalam peran apa pun,” kata Conway.
3. Kembangkan arsitektur yang “fleksibel dan elastis”. Pendekatan Cisco terhadap keamanan rantai pasokan mencakup 11 domain terpisah yang mencerminkan kompleksitas prosesnya. Desain, pengembangan, pengiriman, dan layanan:setiap disiplin memiliki hubungan dengan pihak ketiga, menciptakan kemungkinan titik lemah yang tak terhitung jumlahnya baik di dalam maupun di luar organisasi. Strategi menjelaskan fakta bahwa berbagai bidang produksi memerlukan pedoman yang unik untuk operasi mereka. “Kami menulis persyaratan sedemikian rupa sehingga Anda dapat memetakannya, sehingga hanya persyaratan yang didasarkan pada sifat dari apa yang Anda berikan kepada kami yang berlaku,” kata Conway. “Semua orang mendapatkan versi yang disesuaikan.”
4. Sematkan keamanan ke dalam semua yang Anda lakukan dengan semua pihak ketiga. Conway mendesak perusahaan untuk mengajukan pertanyaan:"Mengapa kami menggunakannya, dan bagaimana kinerjanya menurut metrik layanan kami?" Ironisnya, ketika “Kualitas” didengungkan dalam spanduk dan rapat umum perusahaan, konsep tersebut tidak “dijiwai secara persuasif” di dalam organisasi. Ketika berbicara tentang keamanan siber sekarang, kualitas bukanlah slogan atau fungsi tersendiri, kata Conway — kualitas ditanamkan dalam setiap proses dalam rantai pasokan. Cisco memberikan poin kepada pihak ketiga sesuai dengan kepatuhan mereka terhadap kualitas, dan keamanan adalah bagian penting dari ukuran itu. “Kami membuatnya bermakna secara matematis, jadi jika Anda hebat sebagai pemasok tetapi mengerikan dalam hal keamanan, Anda mungkin tidak tetap menjadi pemasok pilihan,” katanya.
5. Setiap orang harus mengukur . Conway telah berusaha keras untuk mengukur kinerja di seluruh organisasi. “Kami menetapkan tingkat toleransi terhadap spesifikasi dan proses kami sendiri,” katanya. “Pada akhirnya, kami menjadikan keamanan sebagai bahasa bisnis.”
Inisiatif keamanan Cisco tidak diterapkan sekaligus. Conway, yang sebelumnya menjabat sebagai pengacara luar untuk perusahaan yang berspesialisasi dalam masalah kekayaan intelektual, menjadi CSO-nya pada awal 2000-an. Alih-alih langsung menerapkan "arsitektur monolitik" sejak awal, ia mengambilnya secara bertahap, dimulai dengan mitra sistem manufaktur elektronik (EMS) Cisco, kemudian pindah ke produsen sirkuit cetak, teknik, dan tuan rumah mitra saluran yang membentuk jaringan perusahaan. “rantai nilai.”
Dalam memberitakan Injil keamanan siber, Conway menganggap penting untuk berkomunikasi dengan suite eksekutif, yang pandangan dunianya berakar pada untung dan rugi. “Saya ingin menerjemahkan tingkat toleransi saya ke dalam risiko dolar,” katanya. “Kita semua perlu berbicara dalam bahasa bisnis.”
