Pourquoi la sécurité de la chaîne d'approvisionnement est un risque pour l'économie mondiale

La sécurité de la chaîne d’approvisionnement logicielle aide à protéger tous les composants, processus et activités liés à la création et au déploiement de logiciels. La chaîne d’approvisionnement logicielle englobe l’ensemble du cycle de vie du développement logiciel (SDLC), y compris le code propriétaire et tiers, les interfaces et protocoles, les pratiques et outils de développement, l’infrastructure et les méthodes de déploiement, ainsi que les composants physiques.

Lettres, conférences et plus sur les fonds spéculatifs du deuxième trimestre 2022

Les équipes de développement sont chargées de sécuriser la chaîne d’approvisionnement des produits logiciels et de fournir la preuve des efforts de sécurité aux consommateurs. La sécurité de la chaîne d’approvisionnement est un élément essentiel de la gestion de la chaîne d’approvisionnement axée sur les risques inhérents à la gestion des fournisseurs externes, des fournisseurs, du transport et de la logistique.

Pourquoi la sécurité de la chaîne d’approvisionnement est-elle un risque pour l’économie mondiale ?

Les opérations quotidiennes de la chaîne d’approvisionnement peuvent être complexes, nécessitant des services et des produits pour atteindre leur cible à temps. Tout ce qui interfère avec un processus peut entraîner des dommages opérationnels, financiers et de réputation importants.

Les chaînes d’approvisionnement modernes ont une grande surface, ce qui augmente le risque de vulnérabilités de sécurité à toutes les étapes de la chaîne d’approvisionnement. Les incidents de sécurité affectant les fournisseurs ou vendeurs tiers peuvent avoir un impact sur d’autres entreprises de la chaîne d’approvisionnement.

Les fournisseurs doivent fournir des contrôles de sécurité plus flexibles et accessibles pour faire face aux pénuries de main-d’œuvre qualifiée, aux risques associés aux services SaaS abordables et à une connectivité élevée. Voici quelques-uns des types d’organisations qui doivent tenir compte de la sécurité de la chaîne d’approvisionnement  :

/li>

/li>

/li>

/li>

L’hyperconnectivité entre les tiers permet d’accélérer la croissance mais rend les organisations dépendantes de fournisseurs externes pour assurer la sécurité. Dans certains cas, ils peuvent ne pas connaître leurs dépendances, ce qui complique la sécurisation de la chaîne d’approvisionnement.

La protection de la chaîne d’approvisionnement nécessite de comprendre comment fonctionnent leurs contrôles de sécurité des données et où ils s’étendent, ainsi que l’efficacité de leurs passerelles et de leurs processus de gestion des risques. La gestion des risques de la chaîne d’approvisionnement peut être difficile, mais c’est possible. Cela implique d’intégrer les processus de gestion de la chaîne d’approvisionnement dans la stratégie générale de gestion des risques.

Comment assurer la sécurité de la chaîne d’approvisionnement

Les meilleures pratiques suivantes peuvent aider à sécuriser la chaîne d’approvisionnement d’une organisation et à prévenir les attaques qui exploitent l’accès de tiers.

Actifs d’inventaire et privilèges d’accès

Les organisations doivent disposer d’un inventaire détaillé et à jour des actifs. Cette étape comprend l’enregistrement des spécifications pour tous les matériels, logiciels, correctifs, mises à jour et modèles de trafic. Une visibilité élevée est essentielle pour atténuer les attaques sur des composants spécifiques de la chaîne d’approvisionnement, en particulier dans les environnements distribués avec accès à distance.

Cependant, la sécurisation de la chaîne d’approvisionnement nécessite une dimension supplémentaire : l’équipe de sécurité doit également inventorier les privilèges d’accès et les modèles de comportement pour suivre les utilisateurs. De nombreuses entreprises ne parviennent pas à identifier et à cartographier tous les utilisateurs externes accédant à leurs actifs et données d’entreprise, tels que les fournisseurs et les vendeurs, ce qui entraîne un angle mort de la gestion de la sécurité.

Les inventaires d’actifs et d’accès sont essentiels pour mesurer les menaces et suivre les informations d’identification des utilisateurs. Une autre façon de renforcer la confidentialité et la sécurité des données consiste à gérer les privilèges d’accès à l’aide de paramètres clairs et temporaires.

Utiliser des outils de test de sécurité automatisés

Voici des outils de test automatisés populaires qui peuvent aider à renforcer la sécurité de la chaîne d’approvisionnement des logiciels  :

Analyse de la composition logicielle (SCA)

les solutions SCA sont devenues un élément central des piles de sécurité.

Test de sécurité des applications statiques (SAST)

SAST est une technique de boîte blanche qui analyse le code propriétaire.

Tests dynamiques de sécurité des applications (DAST)

Les outils DAST recherchent les problèmes de sécurité dans les applications exécutées dans des environnements de production ou de test. Les outils DAST peuvent trouver des vecteurs d’attaque tels que les injections SQL (SQLi), les scripts intersites (XSS) et les injections de système d’exploitation.

Préparez-vous aux attaques de confusion de dépendance

Il y a des avantages évidents à tirer parti de l’expertise et du travail d’une grande communauté de développeurs, mais cela crée également une dépendance à l’égard de tiers, qui à leur tour s’appuient sur d’autres tiers. Les dépendances ont plus de dépendances, avec une longue chaîne de confiance qui peut être difficile à suivre.

Le principal risque de cybersécurité associé à la longue dépendance et aux chaînes d’approvisionnement est la confusion des dépendances ou les exploits de la chaîne de confiance. Les acteurs malveillants peuvent effectuer des attaques de confusion de dépendances en identifiant les dépendances internes dans la nomenclature du logiciel et en créant des packages malveillants portant le même nom. Les attaques poussent les packages vers des registres publics.

Finalement, les attaquants peuvent exploiter le système de gestion du comportement d’une organisation pour remplacer les composants défaillants par du code malveillant. Ces systèmes fonctionnent en trouvant les dépendances manquantes dans l’environnement où le code tente de s’exécuter, en se basant souvent sur un registre public pour extraire le code.

Le principal moyen de prévenir ces attaques est d’éduquer les développeurs sur les risques de confusion des dépendances. De nombreux développeurs ne sont pas conscients de ces attaques silencieuses.

Améliorer la gestion des risques liés aux tiers

Les organisations doivent étendre les stratégies de gestion des risques à des tiers en utilisant divers moyens. Par exemple, l’inclusion de politiques de sécurité dans les contrats des fournisseurs peut aider à définir des paramètres concernant la gestion du cycle de vie des données, les notifications et les exigences d’évaluation et à créer une base culturelle pour les collaborations de sécurité inter-organisationnelles.

Les organisations doivent également exiger des fournisseurs qu’ils valident leur posture de sécurité en effectuant des tests d’intrusion, en évaluant les cotes de sécurité et en se conformant aux réglementations telles que le RGPD et la certification du modèle de maturité de la cybersécurité.

La réalisation d’évaluations continues des risques et l’intégration d’inspections, de simulations et de questionnaires peuvent aider à tester les capacités de réponse aux incidents et à vérifier que les fournisseurs doivent réagir rapidement et efficacement lors d’incidents de sécurité.

Conclusion

j’ai expliqué pourquoi la chaîne d’approvisionnement des logiciels pose un risque pour l’économie mondiale. Les organisations qui fournissent des services critiques – y compris les hôpitaux, les fabricants et les détaillants alimentaires – gèrent toutes leurs opérations à l’aide de logiciels, qui peuvent contenir des composants inconnus ou non sécurisés. Pour se protéger contre ces risques, les organisations peuvent prendre plusieurs mesures :

• Actifs d’inventaire et privilèges d’accès – s’assurer que tous les composants de la chaîne d’approvisionnement sont bien compris et disposent du minimum de privilèges possibles
• Utiliser des outils de test de sécurité automatisés – tester les composants pour les vulnérabilités et corriger ou remplacer si des problèmes sont détectés
• Préparez-vous aux attaques de confusion de dépendance – prendre des mesures pour empêcher les attaquants malveillants de remplacer des éléments de la chaîne d’approvisionnement par des logiciels malveillants
• Améliorer la gestion des risques tiers – veiller à ce que tous les tiers (fournisseurs, sous-traitants et prestataires de services) soient soigneusement examinés pour identifier les risques

Espérons qu’en assumant la responsabilité de la sécurité de la chaîne d’approvisionnement et en mettant en œuvre ces mesures et d’autres similaires, les organisations pourront réduire les risques pour leurs propres opérations et pour la société dans son ensemble.