Cùng với sự phát triển của các hệ thống sản xuất, các chuyên gia kinh doanh và an toàn mạng đang phải đối mặt với những thách thức mới từ tấn công chuỗi cung ứng. Theo đó, doanh nghiệp có chuỗi cung ứng càng lớn hoặc phức tạp, nguy cơ bị tấn công càng cao. Hậu quả mà các doanh nghiệp phải gánh chịu rất đa dạng: rò rỉ thông tin, xáo trộn hoặc gián đoạn hoạt động kinh doanh, doanh thu giảm sút, ảnh hưởng tới uy tín – thương hiệu, mất cơ hội được đầu tư, thậm chí phải ra hầu tòa…
Vào năm 2015, một số công ty lớn của Mỹ, bao gồm Amazon và Apple, đã phát hiện ra những con chip nhỏ, trái phép trên bo mạch máy chủ từ Supermicro, một công ty Mỹ do người nhập cư Đài Loan thành lập năm 1993. Con chip được lắp ráp bởi công ty Elemental, đối tác cung ứng máy chủ cho công ty Mỹ Supermicro trước khi được vận chuyển tới trung tâm dữ liệu của hàng chục tập đoàn công nghệ. Thiết bị này cho phép kẻ tấn công bí mật sửa đổi các máy chủ, vượt qua phần mềm kiểm tra an ninh và lấy được thông tin từ mạng nội bộ của các công ty kể trên.
Ví dụ lỗi trên bo mạch chủ của Supermicro minh họa những thách thức và rủi ro ngày càng tăng của chuỗi cung ứng toàn cầu, chủ yếu là bất kỳ thành phần nào của hệ thống cũng có thể được sửa đổi mà không để lại dấu vết và sau đó bị truy cập từ xa. Lỗi Supermicro là ví dụ điển hình về các lỗ hổng do bên thứ ba cài đặt, lắp ráp mà ngay cả các tổ chức kiểm tra an ninh tinh vi nhất cũng phải đối mặt khi cố gắng ngăn chặn các cuộc tấn công an toàn mạng chuỗi cung ứng.
Một ví dụ khác là bê bối Hồ sơ Paradise, khi hơn 13 triệu tài liệu lưu trữ chi tiết các mánh khóe trốn thuế nước ngoài của các tập đoàn lớn, chính trị gia và người nổi tiếng bị rò rỉ ra bên ngoài. Nguồn gốc của vụ rò rỉ này là do đâu? Giống như Hồ sơ Panama trước đó, các công ty luật chính là liên kết yếu nhất.
Các ví dụ trên cho thấy những thách thức và rủi ro ngày càng gia tăng từ chuỗi cung ứng toàn cầu. Nguyên nhân chính dẫn tới các cuộc tấn công chuỗi cung ứng là do sự bảo mật lỏng lẻo ở quy trình vận hành, hợp tác giữa các bên. Cụ thể, nhiều doanh nghiệp cho phép các nhà cung ứng tiếp cận với các thông tin “nhạy cảm”, mà chính những thông tin đó có thể gây ảnh hưởng tới doanh nghiệp khi bị lộ ra ngoài.
Thông thường, toàn bộ cơ chế bảo vệ chuỗi cung ứng của một tổ chức, doanh nghiệp chỉ đơn giản là yêu cầu các nhà cung cấp hoàn thành một danh sách kiểm tra bằng văn bản. Tuy nhiên, điều đó hầu như không cung cấp sự bảo vệ hay bảo đảm cần thiết nào.
Vì vậy, các tổ chức nên sở hữu khả năng đánh giá mức độ ảnh hưởng tiềm tàng mà một cuộc tấn công mạng có thể gây ra. Khi một mối đe dọa đã được xác định, bắt buộc phải điều tra vấn đề trong nội bộ. Tiến hành đánh giá rủi ro trên các lĩnh vực dễ bị tổn thương từ nhiều góc độ sẽ giúp các công ty đo lường sự rủi ro.
Dưới đây là 5 bước chính mà các doanh nghiệp có thể thực hiện để bảo vệ chống lại các cuộc tấn công chuỗi cung ứng.
Ưu tiên quản trị rủi ro của bên thứ ba
Các tổ chức, doanh nghiệp nên có một bộ phận quản trị rủi ro để xem xét và đánh giá các nhà cung cấp, đối tác, khách hàng trước khi tiến hành đàm phán, tránh mọi rủi ro, thất bại có thể xảy ra.
Việc giám sát một cách chặt chẽ những rủi ro an toàn mạng bên thứ ba đem lại những lợi ích nhất định cho doanh nghiệp. Một khi công ty xác định được tất cả những nhà cung cấp và ai trong số họ có quyền truy cập vào dữ liệu nhạy cảm, họ sẽ chủ động được các phương pháp giúp đánh giá khả năng bảo mật.
Xác định và ưu tiên xử lý các lỗ hổng trong chuỗi cung ứng
Tấn công chuỗi cung ứng là một trong những cuộc tấn công tinh vi và nguy hiểm nhất, được sử dụng ngày càng nhiều trong các tấn công bảo mật nhiều năm trở lại đây. Nó nhắm vào những điểm yếu trong hệ thống liên kết nguồn nhân lực, tổ chức, cơ sở vật chất và trí tuệ liên quan đến sản phẩm: từ giai đoạn phát triển ban đầu cho đến người dùng cuối.
Mặc dù cơ sở hạ tầng của nhà cung cấp có thể được bảo mật, nhưng có khả năng tồn tại những lỗ hổng trong cơ sở vật chất của bên sản xuất, gây phá hoại chuỗi cung ứng, dẫn đến an toàn dữ liệu bị vi phạm nghiêm trọng.
Chính vì thế, các nhóm quản trị rủi ro của bên thứ ba cần xác định và ưu tiên xử lý tất cả các vấn đề liên quan tới an toàn, an toàn mạng của những chuỗi cung ứng quan trọng.
Kiểm soát rủi ro từ các nhà cung cấp tham gia chuỗi cung ứng
Làm việc với các nhà cung cấp ở các bước chính bao gồm nhà sản xuất, người sản xuất, sửa đổi hoặc phân phối các thành phần trong chuỗi cung ứng. Khi chọn nhà cung cấp có thể hợp tác, tốt nhất nên xem xét lượng dữ liệu nhạy cảm mà nhà cung cấp đang xử lý, chẳng hạn như dữ liệu nhận dạng cá nhân, thông tin sức khỏe được bảo vệ hoặc giao dịch tài chính. Với các thông tin này, các biện pháp giảm thiểu rủi ro phù hợp phải được đưa ra để bảo vệ dữ liệu nhạy cảm.
Việc đánh giá cách thức các bên thứ ba tiếp cận dữ liệu tuyệt mật của mình còn giúp các công ty đảm bảo rằng chỉ có những cá nhân phù hợp mới có thể tiếp cận dữ liệu với mục đích đúng đắn.
Xây dựng phòng thí nghiệm tập trung vào việc phát hiện ra các lỗi phần cứng và phần mềm
Trong trường hợp của Supermicro, lỗi không được phát hiện cho đến khi Amazon kiểm tra kỹ bo mạch chủ trong phòng thí nghiệm của mình. Bước này cũng là một vấn đề lớn đối với nhiều tổ chức, doanh nghiệp bởi không phải đơn vị nào cũng có kinh phí và nguồn lực để hỗ trợ và duy trì phòng thí nghiệm riêng, toàn thời gian. Tuy nhiên, đây là một biện pháp rất hiệu quả trong bối cảnh hiện nay, vì vậy các tổ chức, doanh nghiệp nếu có đủ khả năng nên áp dụng.
Ứng dụng blockchain và các công nghệ hyperledger khác để xác minh chuỗi cung ứng
Bảo vệ chuỗi cung ứng đòi hỏi một cơ chế để xác minh mọi thông tin và sửa đổi dọc theo chuỗi cung ứng. Blockchain và các công nghệ hyperledger (một công nghệ mã nguồn mở với nền tảng blockchain) khác cho phép thực hiện điều này mà không cần quản lý và kiểm soát tập trung, từ đó đảm bảo tính minh bạch trong chuỗi cung ứng và bảo vệ các phân khúc dễ bị tổn thương trước các cuộc tấn công tiềm ẩn.
Điểm mấu chốt để ngăn ngừa rủi ro bị tấn công chuỗi cung ứng là các doanh nghiệp cần thiết lập một nhóm quản trị rủi ro bên thứ ba. Đồng thời kiểm soát chặt chẽ quy trình hợp tác với các nhà cung cấp, chọn hợp tác với các bên có cam kết bảo mật thông tin, có quy trình xử lý đầu việc rõ ràng, khoa học, và áp dụng các công nghệ mới như blockchain và hyperledger.
