Blau Langkah-langkah Cisco untuk Keamanan Siber Pihak Ketiga yang Kuat
Sulit cukup untuk memperkuat keamanan siber di dalam dinding bisnis Anda sendiri. Namun melakukan hal yang sama untuk pasukan mitra yang membentuk rantai pasok global? Itu hampir mustahil.
Hampir tidak ada minggu yang lepas tanpa berita tentang seranggan siber lain terhadap rantai pasok perusahaan besar. Dan lebih sering dari tidak, saluran untuk insiden tersebut adalah pihak ketiga dengan kontrol yang lemah.
Dalam rantai pasok modern, pihak ketiga dapat menjadi entitas apa pun yang menjual bagian, produk, layanan, dukungan, perangkat lunak — daftarnya terus berlanjut. "Bagi saya, itu mencakup siapa pun selain kami yang pada titik manapun dalam tahapan rantai nilai sebenarnya terlibat dalam solusi kami," kata Edna Conway, chief security officer of global value chain dengan Cisco Systems, Inc.
Cisco mengutamakan istilah "value chain" — yang sejumlah perusahaan dan konsultan telah mencoba tanpa sukses untuk menggantikan "supply chain" sebagai deskriptor umum untuk perjalanan end-to-end produk ke pasar — karena itu menunjukkan universo yang lebih luas dari entitas independen yang terlibat dalam upaya tersebut. Namun apakah seseorang menerima buzzspeak korporat atau tidak, tidak ada keraguan bahwa proliferasi mitra menimbulkan isu serius keamanan siber. Tanpa sistem dan prosedur yang memadai, salah satu dari mereka bisa menjadi korban upaya pelaku jahat, termasuk perusahaan rival, pemerintah, pengecer dan bahkan hacker di bawah tanah.
Conway menawarkan pendekatan lima langkah berikut untuk menetapkan rencana keamanan siber yang efektif untuk hubungan pihak ketiga.
1. Ketahui "siapa, apa dan di mana" rantai pasok Anda. Meskipun tampak jelas, banyak perusahaan tidak memiliki kontrol atas semua pihak yang berkontribusi dengan cara apa pun pada bisnis. Ini terutama terjadi dalam rantai pasok multi-tingkat — dan sulit untuk memikirkan produk manufaktur saat ini yang tidak bergantung pada struktur tersebut.
2. Kerjakan cara untuk berkomunikasi secara efektif dengan semua pihak tersebut. Conway tidak merujuk pada semua interaksi yang mencakup isu geopolitik atau kelanjutan pasokan, hanya yang secara khusus mengatasi isu keamanan. Sebagai akibatnya, ia menjelaskan tiga jenis ancaman utama: manipulasi (ketika informasi diubah), spionase (baik negara maupun industri), dan gangguan (melibatkan upaya untuk menutup bisnis). Katanya sulit untuk menegaskan pada pengembang lisensi perangkat lunak atau penyedia layanan cloud pihak ketiga pentingnya memegang tiga ancaman ini. Hal yang sama berlaku untuk individu di lantai pabrik, yang perhatiannya mungkin difokuskan pada menjaga baris produksi berjalan. "Butuh pelatihan untuk membuat keamanan menjadi bagian dari pemikiran sehari-hari siapa pun dalam peran apa pun," kata Conway.
3. kembangkan arsitektur "fleksibel dan elastis." Pendekatan Cisco terhadap keamanan rantai pasok mencakup 11 domain diskrit yang mencerminkan kompleksitas prosesnya. Desain, pengembangan, pengiriman dan pelayanan: setiap disiplin memiliki hubungan dengan pihak ketiga, menciptakan kemungkinan titik lemah yang tak terhitung baik di dalam maupun di luar organisasi. Strategi ini mengakui fakta bahwa berbagai area produksi memerlukan pedoman yang unik untuk operasi mereka. "Kami menulis persyaratan dengan cara yang memungkinkan Anda memetakan mereka, sehingga hanya yang berdasarkan pada sifat apa yang Anda berikan kepada kami yang berlaku," kata Conway. "Setiap orang mendapatkan versi yang disesuaikan."
4. Sematkan keamanan ke dalam segala sesuatu yang Anda lakukan dengan semua pihak ketiga. Conway mendorong perusahaan untuk bertanya: "Mengapa kami menggunakan mereka, dan bagaimana mereka berkinerja menurut metrik layanan kami?" Ironisnya, dulu ketika "Kualitas" dipuji-bual di bendera dan rally semangat korporat, konsep itu tidak "ditumbuhkan dengan persuasif" dalam organisasi. Ketika datang ke keamanan siber saat ini, kualitas bukan slogan atau fungsi diskrit, kata Conway — itu ditanamkan dalam setiap proses dalam rantai pasok. Cisco memberikan poin kepada pihak ketiga sesuai dengan kepatuhan yang terbukti mereka terhadap kualitas, dan keamanan adalah bagian kunci dari ukuran itu. "Kami membuatnya secara matematis bermakna, jadi jika Anda luar biasa sebagai pemasok tetapi buruk dalam keamanan, Anda mungkin tidak akan tetap menjadi pemasok pilihan," katanya.
5. Semua orang harus mengukur. Conway telah mendorong keras untuk mengukur kinerja di seluruh organisasi. "Kami menetapkan tingkat toleransi terhadap spesifikasi dan proses kami sendiri," katanya. "Pada akhirnya, kami membuat keamanan berbicara bahasa bisnis."
Inisiatif keamanan Cisco tidak diimplementasikan sekaligus. Conway, yang sebelumnya melayani sebagai attorney luar perusahaan yang spesialis dalam isu kekayaan intelektual, menjadi CSO-nya pada awal 2000-an. Alih-alih segera menerapkan "arsitektur monolitik" dari awal, ia melakukannya dalam tahapan, mulai dengan mitra electronic manufacturing systems (EMS) Cisco, kemudian beralih ke produsen papan sirkuit, rekayasa dan sekelompok mitra saluran yang membentuk "value chain" perusahaan.
Dalam menyebarkan injil keamanan siber, Conway menganggap penting untuk berkomunikasi dengan suite eksekutif, yang pandangannya berakar pada keuntungan dan kerugian. "Saya ingin menterjemahkan tingkat toleransi saya menjadi risiko dolar," katanya. "Kita semua perlu berbicara bahasa bisnis."
