Os ataques cibernéticos às cadeias de suprimentos estão causando um impacto generalizado.

A transformação digital após a pandemia envolveu um processo de digitalização em toda a cadeia de suprimentos, tanto na parte upstream quanto na parte downstream, de todas as organizações. A combinação de problemas na cadeia de suprimentos de microchips e o surgimento de inúmeros malwares parece ter criado uma tempestade perfeita.1

As cadeias de suprimentos globais em várias indústrias enfrentam o desafio de um ambiente dinâmico e imprevisível. Incertezas geopolíticas persistentes, combinadas com regulamentações e sanções internacionais emergentes, aumentam o risco de penalidades e interrupções na cadeia de suprimentos.2 O risco cibernético, principalmente o risco de terceiros e quartos, acrescenta dramaticamente a essa complexidade. Embora a visibilidade e a confiabilidade das cadeias de suprimentos sejam amplamente fortalecidas pela conectividade digital, os atores mal-intencionados também se fortalecem pela superfície expandida de ataques resultante. Um dos maiores desafios ao gerenciar ataques cibernéticos em cadeias de suprimentos atualmente é entender o perfil de ameaças da empresa estendida e os controles básicos.

O impacto de um ataque à cadeia de suprimentos pode ser amplo. Com potencialmente milhares de fornecedores, um evento na cadeia de suprimentos pode resultar em consequências variadas além da interrupção dos negócios. Os riscos para a segurança das pessoas são uma preocupação chave. Por exemplo, um fabricante de equipamentos originais (OEM) automotivos que depende de dispositivos de outros OEMs pode produzir carros conectados em risco. Além disso, existem os riscos políticos introduzidos por fornecedores sediados em locais geopoliticamente voláteis, ou novos riscos introduzidos por fornecedores que operam em um ambiente regulatório mais desafiador. As complexidades e os impactos potenciais desses ataques à cadeia de suprimentos destacam a necessidade de uma gestão eficaz de riscos, deixando uma coisa inegavelmente clara: a supervisão abrangente e o entendimento dos riscos de terceiros são cruciais.

As descobertas do CyQu da Aon fornecem uma visão essencial sobre esse problema. Aqui está o que os clientes da Aon relataram.

Descobertas do CyQu da Aon: Relatório dos Clientes da Aon

Ao examinar as descobertas do CyQu, os clientes em diversas indústrias relataram apenas uma melhoria marginal na gestão de riscos de terceiros, com uma pontuação média global de 2.2 em 2022. Para contextualizar, uma pontuação de 2.2 representa um nível baixo de maturidade na gestão de riscos de terceiros, sugerindo que a maioria das organizações ainda está nos estágios iniciais do estabelecimento de práticas robustas de gestão de riscos. Isso é destacado pelo fato de que o domínio de terceiros recebeu a pontuação mais baixa no CyQu entre os nove domínios avaliados. É importante ressaltar que nenhuma indústria alcançou até o momento uma abordagem madura e sistemática para gerenciar riscos de terceiros. Essas descobertas destacam os desafios significativos que as empresas enfrentam na gestão do risco da cadeia de suprimentos e a necessidade urgente de estratégias de gestão de riscos mais abrangentes e eficazes. Esse resultado não é surpreendente. Compreender o risco que todos os fornecedores representam é uma verdadeira dificuldade, e a conexão cada vez maior em toda a infraestrutura tecnológica de uma empresa aumenta exponencialmente o risco de terceiros.

Ao analisar por setor, as indústrias da construção e manufatura melhoraram seu perfil geral de risco de terceiros de “inicial” para “básico”. No entanto, a construção relatou maturidade de risco “inicial” apenas em diligência de terceiros, “básica” em gerenciamento de contratos e “gerenciada” em gerenciamento de inventário de terceiros.

As empresas de serviços profissionais viram uma melhoria no perfil de risco nessas mesmas categorias. A pontuação nas empresas de serviços profissionais (2.5) alinhou o setor com as indústrias de finanças e seguros e software de informação e tecnologia – historicamente os melhores desempenhos em risco de terceiros, parcialmente devido ao ambiente regulatório que molda suas decisões de segurança.

De acordo com os dados suplementares de Tecnologia Operacional, 54% dos clientes não possuíam autenticação de múltiplos fatores (MFA) para acesso remoto de terceiros à tecnologia operacional, aumentando assim o risco de violações de rede.