Melindungi Rantai Pasokan Global Dengan Data Tanpa Batas

Serangan keamanan siber rantai pasokan bukanlah hal baru, tetapi masih jauh dari kendali.

Sebuah studi baru-baru ini dari Resilience 360 ​​menemukan bahwa ada hampir 300 insiden keamanan siber yang berdampak pada entitas rantai pasokan pada 2019. Dengan rata-rata berbagi data bisnis dengan lebih dari 500 pihak ketiga, tidak mengherankan jika Ponemon Institute melaporkan bahwa sekitar 61% perusahaan AS telah mengalami pelanggaran data dalam rantai pasokan mereka.

Sementara ketegangan geopolitik mendorong sebagian besar serangan itu, 2020 telah memberi jalan bagi badai peluang yang sempurna, karena COVID-19 telah memaksa sebagian besar tenaga kerja global untuk pindah ke pekerjaan jarak jauh. Organisasi dari pemerintah hingga bisnis harus bertanggung jawab untuk melindungi data yang mereka proses dan bagikan. Dengan kolaborasi yang sangat penting untuk mempertahankan inovasi dan produktivitas, hal ini harus dilakukan tanpa menghambat aliran ide dan informasi, atau membuat sistem dan proses tidak dapat berjalan.

Ketika COVID-19 melanda AS dengan kekuatan pada kuartal pertama tahun ini, organisasi merespons dengan memindahkan karyawan ke pekerjaan jarak jauh hampir dalam semalam. Pada Juni 2020, 42% pekerja Amerika yang luar biasa melakukan bisnis dari jarak jauh dari rumah dan bermigrasi ke kantor. Dengan tenaga kerja yang sangat mobile, dan ekosistem pemasok yang menjadi semakin kompleks dan tersebar secara global, ancaman terhadap kekayaan intelektual dan informasi rahasia atau sensitif semakin meningkat.

Tim proyek menggunakan platform seluler dan cloud setiap hari untuk berbagi dan menyimpan data, yang berpotensi membuat data tersebut dapat diakses oleh pengguna yang tidak sah. Itu juga secara fisik dibawa ke luar organisasi pada ponsel cerdas, hard drive yang dapat dilepas, dan perangkat penyimpanan USB yang rentan terhadap pencurian dan kehilangan. Dalam konteks ini, data terus-menerus melintasi batas-batas perusahaan dan negara. Tidak ada lagi batas yang jelas untuk dipertahankan.

Sementara peretasan yang disengaja sekarang menjadi hal biasa, salah satu ancaman terbesar terhadap keamanan tetap pencurian, kehilangan, dan penyalahgunaan data saat bepergian. Penelitian dari Apricorn pada tahun 2018 mencatat bahwa 29% organisasi yang disurvei mengalami pelanggaran data sebagai akibat langsung dari pekerjaan seluler. Penelitian yang sama yang dilakukan pada tahun 2020 menunjukkan bahwa lebih dari separuh responden masih percaya bahwa pekerja jarak jauh akan mengekspos organisasi mereka pada risiko pelanggaran data.

Lebih lanjut, penelitian terbaru dari Digital Guardian menunjukkan peningkatan 123% dalam volume data yang diunduh ke media USB oleh karyawan sejak COVID-19 melanda, menunjukkan bahwa tim menggunakan penyimpanan yang dapat dilepas untuk membawa pulang sejumlah besar data. Kecuali jika perangkat ini dienkripsi, hanya masalah waktu sebelum kita melihat lonjakan pelanggaran data yang terkait dengan kerentanan pekerja jarak jauh.

Pendekatan keamanan berbasis kebijakan yang berpusat pada data akan melindungi informasi itu sendiri, di dalam dan di luar sistem pusat organisasi, baik saat bergerak maupun saat istirahat, sekaligus memungkinkan komunikasi yang aman. Jawabannya terletak pada pendekatan berlapis-lapis yang menggabungkan orang, proses, dan teknologi.

Mulai dari dalam. Keamanan bukan hanya tentang solusi teknologi. Pelatihan kesadaran keamanan dan program keterlibatan perlu diperluas ke tim mitra dan kontraktor. Tujuan Anda di sini adalah untuk membuat semua karyawan sadar akan nilai dan risiko yang terkait dengan data, serta untuk mendefinisikan dan memperkuat peran mereka dalam melindunginya.

Selain itu, terapkan praktik terbaik keamanan data, dan kelola penegakannya. Anda dapat memberikan keuntungan bagi organisasi Anda dengan membuat praktik dan kebijakan tentang cara berinteraksi dengan dan mengamankan data. Dengan menguraikan dan menerapkan praktik terbaik untuk tim dan rantai pasokan Anda, Anda membantu membangun budaya akuntabilitas.

Pikirkan data dalam hal siklus hidup. Setelah menciptakan praktik terbaik untuk bekerja dengan dan mengamankan data, organisasi harus melakukan audit komprehensif, yang meliputi:

• Data seperti apa yang disimpan, dan untuk tujuan apa;
• Siapa yang memiliki akses ke data tersebut;
• Di mana aliran data, dan
• Cara saat ini dikendalikan.

Hal ini akan mempermudah untuk menemukan area ketidakpatuhan, menunjukkan dengan tepat di mana data mungkin tidak terlindungi, dan mengidentifikasi teknologi, kebijakan, dan proses yang dapat meminimalkan paparan risiko.

Terapkan keamanan. Tetapkan strategi yang mencakup pendokumentasian dan penegakan kebijakan yang mengontrol cara data sensitif ditangani dan digunakan, dan yang diperluas ke semua titik akhir, termasuk mitra dan kontraktor. Enkripsi harus menjadi elemen kunci dari strategi. Jika perangkat media yang dapat dilepas jatuh ke tangan yang salah, informasi terenkripsi akan menjadi tidak dapat dipahami oleh siapa pun yang mencoba mengaksesnya.

Terutama dalam "normal baru" kerja jarak jauh, departemen TI harus meneliti, mengidentifikasi, dan mengamanatkan perangkat penyimpanan seluler terenkripsi standar perusahaan, dan menerapkan penggunaannya melalui kebijakan daftar putih. Perangkat harus dapat dikonfigurasi sebelumnya untuk mematuhi persyaratan keamanan , seperti kekuatan sandi.

Dan, karena kita berbicara tentang rantai pasokan, persyaratan harus ditulis ke dalam kontrak pihak ketiga — menetapkan, misalnya, alat dan teknologi yang harus digunakan, dan kapan harus diperbarui. Organisasi mungkin mengambil pendekatan yang lebih proaktif dan menetapkan persyaratan ini ke dalam proses permintaan proposal (RFP), sehingga ekspektasi ditetapkan sebelum pihak ketiga dipilih.

Mengukur, memantau, dan melaporkan. Untuk tim TI dan keamanan, ungkapan "Anda tidak dapat mengelola apa yang tidak dapat Anda ukur" sangat tepat. Audit kepatuhan yang berkelanjutan, baik di dalam organisasi maupun di seluruh rantai pasokan, memberikan visibilitas yang cepat terhadap pelanggaran kebijakan, sehingga pelanggaran tersebut dapat diatasi melalui pelatihan atau prosedur pendisiplinan. Pemantauan juga akan memberikan jejak audit mendetail yang memungkinkan organisasi menunjukkan posisi kepatuhannya, serta catatan akurat dari setiap perilaku pengguna yang tidak patuh.

Kombinasi langkah-langkah teknis dan organisasi dapat membantu mengurangi paparan risiko dalam rantai pasokan, sekaligus memungkinkan pertukaran dan mobilitas informasi yang aman saat kita terus bekerja dari rumah. Bisnis yang mengontrol data mereka dengan tepat dapat melindungi kerahasiaan, keamanan nasional, dan reputasi mereka sendiri tanpa mengorbankan efisiensi, kelincahan, atau keunggulan kompetitif mereka.

Rantai pasokan yang terus berkembang, ditambah dengan perubahan dramatis dalam cara dan tempat kami bekerja, berarti bahwa organisasi harus terus berfokus pada keamanan pihak ketiga. Dengan membuat rencana keamanan data strategis yang diaudit dan diukur di sepanjang jalan, dengan penekanan pada kesadaran dan pelatihan karyawan, kami dapat mengamankan rantai pasokan kami meskipun ada batasan fisik.

Jon Fielding adalah direktur pelaksana di Apricorn , produsen perangkat penyimpanan data USB terenkripsi perangkat keras.